Nesnelerin İnterneti (IoT) ekosistemi, akıllı sayaçlardan endüstriyel sensörlere kadar milyarlarca cihazı birbirine bağlayarak yeni siber güvenlik tehdit yüzeyleri oluşturmaktadır. Türkiye’de IoT güvenliği KVKK, BTK düzenlemeleri ve sektörel mevzuatın kesişim noktasında değerlendirilmektedir.

Yasal Çerçeve

IoT cihazlarının güvenliği 6698 sayılı KVKK, 5809 sayılı Elektronik Haberleşme Kanunu ve sektörel ikincil mevzuat kapsamında düzenlenmektedir. Veri sorumlusu yükümlülükleri ve teknik tedbir gereklilikleri her cihaz türü için ayrı değerlendirilmelidir.

Cihaz Güvenliği Standartları

IoT cihazlarının güvenli yapılandırılması için ETSI EN 303 645 standardı uluslararası referans niteliğindedir. Varsayılan şifrelerin değiştirilmesi, güvenlik güncellemelerinin sağlanması, veri aktarımının şifrelenmesi temel teknik gerekliliklerdir.

Üretici Sorumluluğu

IoT cihaz üreticileri ürünün yaşam döngüsü boyunca güvenlik desteği sağlamakla yükümlüdür. Tüketici mevzuatı kapsamında ayıplı ürün sorumluluğu ve KVKK kapsamında veri güvenliği yükümlülüğü birbirini tamamlar.

Veri Toplama ve İşleme

IoT cihazları sürekli veri toplaması nedeniyle veri minimizasyonu ilkesine özel önem verilmesini gerektirir. Konum verisi, sağlık verisi ve davranışsal veri gibi hassas kategoriler için açık rıza alınması zorunlu olabilir.

Tedarik Zinciri Güvenliği

IoT cihazlarının tedarik zinciri kontrolü siber saldırılara karşı kritik bir savunma katmanıdır. Bileşen bazlı güvenlik değerlendirmesi (SBOM – Software Bill of Materials) yaygınlaşmaktadır. Hassas sektörlerde yabancı menşeli cihazların kullanımı ek inceleme gerektirir.

Veri İhlali Bildirimi

IoT cihaz tabanlı veri ihlali halinde KVKK 12. madde çerçevesinde Kuruma 72 saat içinde bildirim yapılması zorunludur. Etkilenen veri sahipleri de makul sürede bilgilendirilmelidir.

Yargısal Yaklaşım

Veri güvenliği ve KVKK uyumu konusundaki idari yaptırımlara karşı açılan iptal davalarında idari yargı KVKK Kurulu kararlarının hukuka uygunluğunu kapsamlı şekilde denetlemektedir. Danıştay İDDK 26.11.2025 tarih ve 2025/2915 K. sayılı kararı idari yaptırımların değerlendirmesinde önemli ilkeler içermektedir.

Sıkça Sorulan Sorular

IoT cihazı veri sorumlusu mudur?

Cihazın veri toplama ve işleme amaçlarını belirleyen kişi veri sorumlusudur; bu çoğunlukla üretici veya hizmet sağlayıcısıdır.

Hangi sektörlerde IoT güvenliği daha kritiktir?

Sağlık, enerji, otomotiv ve akıllı şehir uygulamalarında IoT güvenliği özellikle kritik öneme sahiptir.

Veri ihlali bildirimi yapılmazsa ne olur?

İdari para cezası ve veri sahiplerinin tazminat talepleri gündeme gelebilir.

Sonuç

IoT güvenliği proaktif bir yaklaşım gerektirir. Cihaz tasarımından operasyonel kullanıma kadar her aşamada hukuki ve teknik uyum entegre yönetilmelidir.