Bilim ve Uzay

BTK, Türkiye'de Satılan Tüm IoT Cihazları İçin Zorunlu Güvenlik Denetimleri Öneriyor

22 Ekim 2026

Türkiye'de telekomünikasyon sektörü genelinde ağ ve cihaz güvenliğini denetleme yetkisine sahip olan Bilgi Teknolojileri ve İletişim Kurumu (BTK), IoT alanında daha güçlü siber güvenlik düzenlemelerini hayata geçirirken yetki alanlarını da genişletiyor. Kapsamlı yeni bir IoT siber güvenlik denetim rejimine ilişkin resmi bir taslak henüz yayınlanmamış olsa da, yaklaşan değişikliklere işaret eden çok sayıda sinyal sektörde dönüşüm yaratabilir.

Öncelikle, BTK'nın IoT ve bağlantılı cihaz güvenliğini denetleme yetkisi büyük ölçüde mevcut yetkilerinde zaten örtülü olarak bulunmaktadır. BTK'nın kendi denetim özetine göre, kurumun pazarlama veya dağıtım amacıyla piyasaya sürülen radyo ve telekomünikasyon terminal ekipmanlarını veya halihazırda piyasada bulunan cihazları denetleme hakkı vardır. Bu, cihazların teknik düzenlemelere uygunluğunu kontrol etmeyi ve sağlık veya güvenliğe herhangi bir tehdit oluşturup oluşturmadıklarını değerlendirmeyi kapsar.

Bu yetki, bir ürünün üretici tarafından bir kez onaylanmasının ötesine geçmektedir. BTK'nın denetim yetkisi pazarlama, dağıtım veya piyasada bulunma aşamalarındaki cihazları kapsar, başka bir deyişle bir cihaz satışa hazırlanırken, satılırken veya satış tamamlandıktan sonra kullanımdayken bile uygulanabilir. BTK kendi ifadelerinde hedeflerini "son kullanıcıların/tüketicilerin güvenli ürünlere erişmesini sağlamak" olarak açıklamakta ve bunu ürünlerin güvenliğini ve ilgili düzenlemelere uygunluğunu değerlendirerek gerçekleştirmeyi amaçlamaktadır. BTK'nın sitesinde yer alan ve Teknik Düzenlemeler Dairesi Başkanlığı'na atıfta bulunan ayrı bir sayfa, denetim yetkilerinin kapsamını daha da vurgulamaktadır; bu sayfada Türkiye topraklarında telekomünikasyon kullanan tüm cihazları, piyasaya hazırlık aşamalarının her adımında ilgili düzenlemelere uygunluğunu sağlamak için analiz etmekle görevlendirildikleri belirtilmektedir.

IoT ve siber güvenlik bağlamında bu yetkilerin açıkça uygulandığı alan 5809 sayılı Elektronik Haberleşme Kanunu kapsamındadır. Ağ cihazları veya yazılım operatörleri için, hatta kurumsal siber güvenlik dönüşümleri yaşayan şirketler için bu kanunun incelenmesi, BTK'nın kapılarını çalabileceğini göstermektedir. Bu kanunun çeşitli maddeleri uyarınca BTK, bir operatörün ağ güvenlik önlemlerini nasıl uyguladığını denetleme yetkisine sahiptir ve ilgili olduğunu düşündüğü tüm veri veya belgeleri talep edebilir. Bu denetimler yalnızca BTK'nın inisiyatifiyle de gerçekleşmez; muhtemelen mağdur olan herhangi bir taraf, bir şirketin ağ güvenliğine karşı harekete geçilmesi için baskı yapabilir.

Bir diğer gelişme, Türkiye'nin son dönemde e-SIM'ler için Mobil Ağ Kodu (MNC) sistemine geçişinin bağlantılı cihaz denetimi için yeni bir yol oluşturmasıdır. 2023 yılı başlarında bildirildiği gibi, BTK Radyospektrum Düzenleme Dairesi, elektronik SIM kart teknolojisi kullanan Türkiye'deki her cihaz için Uluslararası Mobil Cihaz Kimliği (IMEI) kodu kullanımını zorunlu kılan bir karar yayınlamıştır. Önemli olarak, IMEI bir SIM kart üzerinde barındırılmaz ve bu nedenle kanun kapsamında telekom seviyesinde mobil cihaz olarak tanımlanan daha geniş bir bağlantılı nesne yelpazesine telekom tarzı kayıt zorunluluğu getirecektir. Eğer BTK'nın kritik veya endüstriyel cihazlar için e-SIM kullanımında ısrar ettiğini görürsek, bunu büyük olasılıkla kapsamlı siber güvenlik mevzuatı takip edecektir.

Başka bir etken ise BTK'nın kendi Kurul kararlarında atıfta bulunulan taslak düzenleyici değişiklikleridir. Çeşitli tartışma dokümanlarıyla birlikte yayınlanan "Denetim Faaliyetlerine İlişkin Yönetmeliğin Değiştirilmesine Dair Taslak Yönetmelik" başlıklı Kurul kararı, BTK'nın tüm denetim çerçevesinin şu anda yenilenmekte olduğunu göstermektedir. IMEI gerekliliklerine resmi bir statü kazandırmanın yanı sıra, kapsama alınacak cihazların kapsamının da yeniden çizildiğine dair işaretler bulunmaktadır.

Diğer kaynaklara bakıldığında, 7545 sayılı Siber Güvenlik Kanunu'na dayalı ikincil mevzuat, özellikle yeni cihaz türlerini kapsayacak şekilde mevcut yasaların güncellenmesi için daha fazla neden sunuyor gibi görünmektedir. Genel olarak bu mevzuat çalışmaları halen devam etmektedir ve Türkiye'nin Teknoloji, Medya ve Telekom sektörüne ilişkin hukuki rehberler, kritik veya hassas sektörlerdeki şirketlerin olay yönetimi, belgelendirme ve siber tedarik zinciri uygulamaları oluşturmaları yönünde teşvik edildiğini vurgulamaktadır. Taslak mevzuatın amacı IoT sektörlerini bu şemsiye altına almak veya onları kritik olarak yeniden tanımlamaksa, IoT siber güvenliği için tamamen yeni bir düzenleyici dalga ortaya çıkabilir.

Gerçekten de Türkiye'de IoT siber güvenliğinin yeni düzenlemelerin önemli bir alanı olacağı hipotezini destekleyecek bol miktarda materyal bulunmaktadır. İtiraz edilen nokta, BTK tarafından henüz bunları açıkça kapsayan bir taslak düzenlemenin sunulmamış olmasıdır, bu da işletmelerin ve tüketicilerin kendilerinden neler beklendiğini henüz bilmediği anlamına gelmektedir. Öte yandan, BTK'nın yurt içi ve yurt dışı siber güvenlik bütçesi, son zamanlarda uyarılan ülke çapındaki güvenlik açıkları, Türkiye'nin özel coğrafi konumunun gereklilikleri ve e-SIM'in tanıtılması, nispeten yakın bir gelecekte yeni bir stratejik yaklaşımın ortaya çıkmasına neden olabilecek faktörlerdir. BTK odaklı bu makalenin ele almadığı Türkiye'nin diğer gerekliliklerinin derinlemesine incelenmesi, ülkede bağlantılı nesnelerin düzenlenmesinde bir değişime işaret eden birkaç örneği daha ortaya çıkaracaktır.