Türkiye'de Sızma Testi Gereklilikleri: BDDK, TCMB, Güvenlik Rehberi ve 7545 Sayılı Kanun

Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, 15 Mart 2020 tarihli Resmî Gazete'de (sayı 31069) yayımlandı. Haziran 2020'deki bir değişikliğin ardından maddelerin ilk grubu 1 Temmuz 2020'de, geri kalanı 1 Ocak 2021'de yürürlüğe girdi.

• 18. maddenin 7. fıkrası: banka, bilgi sistemleri aracılığıyla sunduğu hizmetlerin tasarımında, geliştirilmesinde, uygulanmasında ya da işletilmesinde hiçbir rolü olmayan bağımsız ekiplere en az yılda bir kez sızma testi yaptırır.
• 18. maddenin 2. fıkrası: rutin sızma testlerini yapmaktan ya da yaptırmaktan bankanın siber olaylara müdahale ekibi (SOME) sorumludur.
• 3. madde, sızma testini, açıklıklar istismar edilmeden önce bunları bulmaya yönelik test olarak tanımlar.

Yönetmelik, test uzmanlarının TSE belgesine sahip olmasını şart koşmaz ve kapsamı internete açık, iç ya da değişiklik sonrası testler olarak ayırmaz. Yıllık test bir alt sınırdır: yıllık testler arasında SOME'nin rutin testler yürütmesi beklenir.

Ödeme ve elektronik para kuruluşları Merkez Bankası (TCMB) tarafından denetlenir. TCMB'nin Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ'i (Resmî Gazete 1 Aralık 2021, sayı 31676, 2023'te değiştirildi) Türkiye'deki en ayrıntılı test kuralını belirler:

• md. 12/3: sızma testleri, iç ve dış tehditleri kapsayan senaryolar izlenerek, kuruluşta hiçbir bilgi güvenliği rolü olmayan ve ulusal ya da uluslararası bir sızma testi sertifikasına sahip kişilerce en az yılda bir kez yapılır.
• md. 12/4: testler Ek 5'teki yöntemi izler.
• md. 12/5: bulgular, yönetim kurulunca onaylanan bir eylem planı çerçevesinde önceliğe göre giderilir.
• md. 12/6: TCMB'ye sunulan yıllık rapor ihlalleri, sızma testi sonuçlarını ve kritik açıklıkları kapsar.

Bilgi ve İletişim Güvenliği Tedbirleri konulu 2019/12 sayılı Cumhurbaşkanlığı Genelgesi, Bilgi ve İletişim Güvenliği Rehberi'ni tüm kamu kurumları ve kritik altyapı işletmecileri için zorunlu kılar ve en az yılda bir kez uyum denetimi öngörür. Güncel sürüm olan 1 Mart 2026 tarihli v1.1, eski Dijital Dönüşüm Ofisi'nin yetkilerini devralan Siber Güvenlik Başkanlığı tarafından yayımlanmaktadır.

3.1.11 numaralı Sızma Testleri ve Güvenlik Denetimleri bölümü, varlık grubunun kritiklik derecesine göre kademelenir:

• 1. derece: belgelenmiş ve sosyal mühendisliği de içeren bir kapsamla, gizlilik sözleşmesi çerçevesinde düzenli aralıklarla dış ve iç sızma testleri ile güvenlik denetimleri; farklı kullanıcı profilleriyle test; görevler ayrılığı ilkesiyle düzeltmelerin yeniden test edilmesi; bulguların karşılaştırılabilir bir ölçekle puanlanması.
• 2. derece: en az yılda bir kez sızma testleri ve güvenlik denetimleri.
• 3. derece: düzenli kırmızı takım tatbikatları ve herhangi bir donanım ya da yazılım ağa katılmadan önce bir açıklık taraması ile güvenlik denetimi.

Genelge ayrıca kritik verilerin (nüfus, sağlık, genetik ve biyometrik veriler) yurt içinde saklanmasını şart koşar ve kamu verilerinin, kurumun kendi sistemleri ya da kontrolündeki yerli sağlayıcılar dışında bulut depolama hizmetlerinde tutulmasını yasaklar.

Türkiye, sızma testi firmalarını TSE Sızma Testi Yapan Firma Belgesi ile belgelendirir: TS 13638 kapsamında A, B ve C seviyeleri, kademeli uzman kaydı ve TSE'nin yıllık denetimleri.

Kamu alımlarında belge kesin bir şarta dönüşür. Sanayi ve Teknoloji Bakanlığı'nın kamu bilişim hizmet alımlarına katılacak isteklilerin yetkilendirilmesine ilişkin yönetmeliği (Resmî Gazete 29 Haziran 2022), bir ISO/IEC 27001 belgesiyle birlikte A veya B tipi TSE Sızma Testi Yapan Firma Belgesi gerektiren Sızma Testi Yetki Belgesi'ni oluşturur. 29 Eylül 2023'ten bu yana Kamu İhale Genel Tebliği'nin 89/A maddesi, testleri yapan alt yükleniciler dahil, sızma testi hizmeti ihalelerinde bu belgeyi şart koşar.

Bankalar, BDDK yönetmeliği kapsamında TSE düzenine bağlı değildir; bağımsız ekiplere ihtiyaç duyarlar. Ödeme kuruluşları ise TCMB tebliği kapsamında sertifikalı test uzmanlarına ihtiyaç duyar.

7545 sayılı Siber Güvenlik Kanunu (Resmî Gazete 19 Mart 2025) tek bir otorite olarak Siber Güvenlik Başkanlığı'nı kurdu ve ona her alıcı ya da üretici için önem taşıyan yetkiler verdi:

• Başkanlık, açıklık ve sızma testleri yapabilir ya da yaptırabilir (5. madde);
• siber güvenlik ürünlerinin ve firmalarının test, belgelendirme ve yetkilendirme süreçlerini yürütür (5. ve 6. maddeler);
• kamu kurumları ve kritik altyapılar için ürün, sistem ve hizmetler, Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş uzmanlardan ya da firmalardan sağlanmalıdır (md. 7/1-c);
• tespit edilen açıklıklar gecikmeksizin Başkanlığa bildirilmelidir (md. 7/1-b).

Ekim 2026 itibarıyla belgelendirme düzenine ilişkin yayımlanmış bir uygulama yönetmeliği bulamadık. Bir kamu kurumu ya da kritik altyapı işletmecisi için pratik sonuç, güvenlik testi ürün ve hizmetlerini, Başkanlığın yetkilendirme şartları tanımlandığı şekliyle bunları karşılayabilecek bir sağlayıcı aracılığıyla satın almaktır.

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 12. maddesinde veri sorumlularının kişisel verilere hukuka aykırı erişimi önlemesini ve verileri muhafaza etmesini şart koşar. Kişisel Verileri Koruma Kurumu'nun Kişisel Veri Güvenliği Rehberi (teknik ve idari tedbirler, Nisan 2025 baskısı), düzenli açıklık taramalarının ve sızma testlerinin gerekli olduğunu belirtir; ancak bir sıklık ya da test uzmanı yeterliliği belirlemez.

Yerelleştirme finans sektöründe açıktır:

• Bankalar: BDDK yönetmeliğinin 25. maddesinin 1. fıkrası birincil ve ikincil sistemlerin Türkiye'de tutulmasını şart koşar; aynı maddenin 5. fıkrası bunu dış kaynak kullanımı ya da bulut aracılığıyla kullanılan sistemlere ve bunların yedeklerine genişletir.
• Ödeme ve elektronik para kuruluşları: TCMB tebliğinin md. 21/1 hükmü birincil ve ikincil sistemlerin ve yedek veri merkezlerinin Türkiye'de bulunmasını şart koşar; bulut hizmetleri yurt içinde kurulmalıdır.
• Kamu sektörü: yukarıda belirtilen 2019/12 sayılı Genelgenin 1. ve 3. maddeleri.

Bir sızma testi; kimlik bilgileri, ağ haritaları ve sisteme nasıl sızılacağının kanıtlarını üretir. Bunları yurt dışında işleyen bir SaaS test platformu ya da barındırılan bir yapay zekâ modeli, dış kaynaklı her sistemle aynı yerelleştirme incelemesini hak eder. Kurumun kendi veri merkezinde, kendi modelleriyle çalışan bir appliance bu soruyu ortadan kaldırır. Bkz. egemen yapay zekâ red team rehberi.

1. 1Bankalar: yıllık bağımsız sızma testini planlayın ve SOME'nizin yıllık testler arasında yürüttüğü rutin testleri tanımlayın.
2. 2Ödeme ve elektronik para kuruluşları: iç ve dış tehdit senaryoları oluşturun, kuruluşta güvenlik rolü olmayan sertifikalı test uzmanları kullanın, Ek 5'i izleyin ve TCMB'ye sunulacak yıllık raporu hazırlayın.
3. 3Kamu kurumları ve kritik altyapılar: varlık gruplarını kritikliğe göre sınıflandırın; ardından Güvenlik Rehberi kapsamında düzenli testleri (1. derece), en az yıllık testleri (2. derece) ve kırmızı takım tatbikatlarını (3. derece) planlayın.
4. 4Kamu ihaleleri: isteklilerden ve alt yüklenicilerden Sızma Testi Yetki Belgesi isteyin.
5. 5Her güvenlik aracının test verilerini nerede işlediğini ve sakladığını BDDK md. 25, TCMB md. 21 ya da 2019/12 sayılı Genelgeye göre kontrol edin.
6. 6Her düzeltmeyi görevler ayrılığı ilkesiyle yeniden test edin ve kanıtları denetçi için saklayın.

Mevzuata göre gereklilikler sayfası Türkiye'yi diğer yargı bölgeleriyle karşılaştırır.

Zero Hunt, on-premise bir appliance üzerinde çalışan otonom bir yapay zekâ red team'dir: ağların ve altyapının black-box ve gray-box sızma testlerini veri merkezinizin içinden, kendi modelleriyle yürütür; böylece bulgular ve kimlik bilgileri Türkiye'den çıkmaz. Yıllık bağımsız testlerin arasında güvenlik ekibinin sürekli test yapmasını ve her düzeltmeyi yeniden test etmesini sağlar. Operatörler, hangi eylemlerin onay bekleyeceğini belirleyen beş otonomi seviyesinden birini seçer ve her bulgu Ed25519 ile imzalanmış, hash zinciriyle bağlı kanıtlarla desteklenir.

Zero Hunt bulguları ISO/IEC 27001, PCI DSS ve SWIFT CSP dahil 34 çerçeveye eşler. BDDK'ya, TCMB'ye ya da Güvenlik Rehberi'ne özgü bir rapor şablonu sunmaz ve TSE ya da Siber Güvenlik Başkanlığı belgesine sahip değildir. Türkiye'de yerel iş ortakları aracılığıyla sunulur; bkz. iş ortağı programı.

Bir Türk bankası ne sıklıkla sızma testi yapmalıdır? En az yılda bir kez, test edilen hizmetlerde hiçbir rolü olmayan bağımsız ekiplerce (BDDK yönetmeliği, 18. maddenin 7. fıkrası); arada bankanın siber olaylara müdahale ekibi tarafından rutin testler yapılır.

Sızma testi uzmanlarının TSE belgesine ihtiyacı var mı? Kamu ihalelerinde evet: Sızma Testi Yetki Belgesi, A veya B tipi bir TSE belgesi gerektirir. Bankalar, BDDK kuralı kapsamında bağımsız ekiplere ihtiyaç duyar. Ödeme ve elektronik para kuruluşları ise ulusal ya da uluslararası sızma testi sertifikasına sahip test uzmanlarına ihtiyaç duyar.

Bilgi ve İletişim Güvenliği Rehberi neyi şart koşuyor? Düzenli dış ve iç sızma testleri ile güvenlik denetimlerini; 2. ve üzeri kritiklik derecesi için en az yılda bir kez, 3. derecede ise düzenli kırmızı takım tatbikatlarını. Kamu kurumları ve kritik altyapı işletmecileri için zorunludur.

Bir Türk bankası yurt dışında barındırılan bir bulut sızma testi platformu kullanabilir mi? Bankalar, dış kaynak ve bulut sistemleri ile bunların yedekleri dahil birincil ve ikincil sistemlerini Türkiye'de tutmak zorundadır. Test verilerini yurt dışında işleyen ya da saklayan bir araç, kullanılmadan önce 25. maddeye göre incelenmelidir.

2025 tarihli Siber Güvenlik Kanunu ile ne değişti? Siber güvenlik ürünlerini ve firmalarını belgelendiren Siber Güvenlik Başkanlığı kuruldu. Kamu kurumları ve kritik altyapılar için ürün ve hizmetler, Başkanlığın yetkilendirdiği ve belgelendirdiği firmalardan sağlanmalıdır.