Siber Güvenlik Olayında Sözleşmesel Sorumluluk
Siber saldırı veya sistem kesintisi, işletme ile hizmet sağlayıcı arasında sözleşmesel sorumluluk ve kişisel veri yükümlülükleri doğurabilir. Sorumluluk, sözleşmedeki güvenlik taahhütleri, olayın nedeni, alınan önlemler ve zararla saldırı arasındaki bağlantı üzerinden değerlendirilir.
Sözleşme ve hizmet seviyesi
Bulut, yazılım veya barındırma sözleşmesinde erişilebilirlik, yedekleme, olay bildirimi, güvenlik standardı ve veri iadesi gibi yükümlülükler tanımlanmalıdır. Hizmet seviyesi taahhüdünün ihlali, her zaman tüm zararların tazmin edileceği anlamına gelmez; sözleşme sınırları ve kusur incelenir.
Sözleşme ekleri ve güncel hizmet şartları, sorumluluk sınırlaması ve mücbir sebep hükümleriyle birlikte ele alınmalıdır. İmzalanan sürüm, sipariş formu ve değişiklik kayıtlarını saklayın.
Olayın kök nedenini belirleyin
Güvenlik logları, yedekler, erişim yetkileri, saldırı göstergeleri ve tedarikçi bildirimleri korunmalıdır. Teknik olay raporu zaman çizelgesi ve yöntemi açıklamalı; henüz teyit edilmemiş varsayımlar bulgu gibi yazılmamalıdır.
Dış uzman raporu, hizmet sağlayıcıyla yapılan yazışma ve sistem değişiklikleri zararın hangi aşamada oluştuğunu anlamaya yardımcı olur. Delil kaybını önlemek için olay müdahalesi sırasında kayıt saklama sorumlusu belirleyin.
Zarar ve illiyet bağı
İş kesintisi, veri kurtarma, müşteri talepleri ve üçüncü kişi iddiaları farklı zarar kalemleri olabilir. Her kalem belgelendirilmeli ve hizmet sağlayıcının davranışıyla bağlantısı gösterilmelidir. Varsayımsal ciro kaybı veya itibar etkisi tek başına yeterli olmayabilir.
Sözleşmede dolaylı zarar, üst sınır veya bildirim şartları bulunabilir. Bu maddelerin geçerliliği ve uygulanması somut sözleşme ile ilgili mevzuata göre değerlendirilmelidir.
Önleyici sözleşme ve süreç
Tedarikçi seçerken güvenlik kontrolleri, alt hizmet sağlayıcılar, denetim hakkı ve olay müdahale desteğini sözleşmeye ekleyin. Düzenli yedek testi ve iş sürekliliği planı teknik riski azaltırken hukuki sorumlulukları da netleştirir.
Sözleşme, olay raporu ve gider belgelerini birlikte düzenleyin. Bilişim hukuku hizmetlerimize göz atabilir, iletişime geçebilirsiniz.
Sıkça Sorulan Sorular
Siber saldırıda hizmet sağlayıcı tüm zararı öder mi?
Sorumluluk sözleşme, kusur, güvenlik yükümlülükleri ve zarar bağlantısına göre belirlenir; otomatik tam tazminat yoktur.
Sistem logları ne kadar süre saklanmalı?
Saklama gerekliliği hizmet türü, özel mevzuat, amaç ve kişisel veri kurallarına göre belirlenmelidir.
Konuyla ilgili hukuki bilgi için it hizmetlerimizi inceleyebilir veya Avkat ile iletişime geçebilirsiniz. Resmi kaynak: Türk Borçlar Kanunu.
İlgili makaleler
Bu içerik genel bilgilendirme amaçlıdır; hukuki görüş veya somut olaya özel danışmanlık yerine geçmez. Güncel mevzuat ve olay belgeleri ayrıca değerlendirilmelidir.