ISO/IEC 27001:2022, bir kuruluşun bilgi varlıklarını risk temelli bir yönetim sistemiyle koruma şartlarını tanımlayan uluslararası standarttır. Belgenin kendisi genel bir kanunla herkese zorunlu kılınmamıştır. Ancak bazı sektörlerde lisans, yetki veya başvuru şartı olarak doğrudan istenir; bazılarında ise müşteri sözleşmesi ve ihale şartnamesi üzerinden fiilen zorunlu hale gelir. Bu yazı, hangi firmanın hangi gerekçeyle ISO 27001 belgesine ihtiyaç duyduğunu üç grupta ele alıyor.
Not: Yönetmelikler sık güncellenir. Belge şartı, ilgili kurumun yürürlükteki metninden teyit edilmelidir.
İçindekiler
ISO 27001 belgesi genel bir kanunla herkese zorunlu kılınmamıştır. Ancak EPDK lisans sahipleri, elektrikli araç şarj ağı işletmecileri, GİB e-Fatura özel entegratörleri ve bazı finans kuruluşları için sektörel mevzuat üzerinden doğrudan şart haline gelir. Diğer sektörlerde ise müşteri sözleşmeleri ve ihale şartnameleri belgeyi fiilen zorunlu kılar.
Mevzuatın Doğrudan Aradığı Sektörler
Aşağıdaki sektörlerde bilgi güvenliği, düzenleyici kurumun denetim konusudur. Belge şartı burada ya açıkça yazılıdır ya da bilgi sistemleri mevzuatı üzerinden doğrudan bağlayıcı hale gelir.
EPDK Kapsamındaki Şirketler
EPDK, enerji sektörünü Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği çerçevesinde denetler. Lisans sahipleri için kurumsal bilişim sistemi ve endüstriyel kontrol sistemlerinin TS ISO/IEC 27001 standardına uygun işletilmesi ve TÜRKAK akrediteli bir kuruluşa belgelendirilmesi şartı aranır.
- Elektrik, doğalgaz, petrol ve LPG lisans sahipleri TS ISO/IEC 27001 belgelendirmesi yaptırmak zorundadır.
- Mart 2026 değişikliğiyle elektrikli araç şarj ağı işletmecileri de kapsama alındı; şarj yazılımı ve uzaktan erişim altyapısı TS ISO/IEC 27001'e uygun olmalıdır.
- Denetçi personelin ISO 27001 Başdenetçi veya CISA sertifikasına sahip olması şartı yürürlükte.
BDDK Kapsamındaki Finans Kuruluşları
Bankalar, faktoring, finansal kiralama ve finansman şirketleri BDDK'nın bilgi sistemleri mevzuatına tabidir. Bu mevzuat, kurumdan bir bilgi güvenliği yönetim sistemi kurmasını ve bunu bağımsız olarak denetletmesini bekler. ISO 27001 Bilgi Güvenliği Yönetim Sistemi bu beklentinin fiilen en yaygın karşılığıdır; ancak BDDK mevzuatı doğrudan "ISO 27001 belgesi" ibaresini şart koşmaz.
Ödeme ve elektronik para kuruluşları: Güncel yetkili kurum TCMB'dir. TCMB'nin bilgi sistemleri düzenlemesi ISO 27001'i doğrudan zorunlu tutmaz; sertifika "önerilen" araçlar arasında yer alır. Menkul kıymet mutabakat kuruluşları için TCMB ile SPK düzenlemeleri birlikte esas alınır.
GİB E-Fatura Özel Entegratörleri
Özel entegratör olmak isteyen firmalar, GİB'in e-Fatura Özel Entegrasyon Kılavuzu'nda tanımlı şartları sağlamak zorundadır. 2026 itibarıyla güncel kılavuz, başvuru sahiplerinden TÜRKAK onaylı ISO 27001 belgesinin yanı sıra iş sürekliliği için ISO 22301 ve BT hizmet yönetimi için ISO 20000-1 belgelerini de arıyor.
Dikkat: Başvuru hazırlığında kılavuzun güncel sürümünü doğrudan GİB'den kontrol edin; belge şartının kapsamı sürümler arasında değişebilir. Entegre yönetim sistemi kapsamında üç standardı birlikte yürütmek denetim yükünü azaltır.
Belgeyi Dolaylı Gerektiren Sektörler
Bu grupta belge bir kanun maddesiyle değil, müşterinin kendi mevzuat yükümlülüğünün sözleşmeye aktarılmasıyla veya ihale şartnamesiyle gerekli hale gelir.
Yazılım, SaaS, Bulut ve Veri Merkezi Hizmetleri
Yazılım geliştiren, SaaS sunan veya bulut ve veri merkezi hizmeti veren firmalar için tek bir genel yasal zorunluluk yoktur. Ancak bu firmalar müşterilerinin verisini barındırdığı için bankalar, kamu kurumları ve kurumsal şirketlerle yapılan sözleşmelerde ISO 27001 sıkça aranan bir şarttır.
Gümrük ve Dış Ticaret (YYS)
Yetkilendirilmiş Yükümlü Statüsü (YYS) kriterleri arasında bilgi sistemlerinin ve kayıtların güvenliği yer alır. Bazı YYS başvuru kılavuzlarında ISO 9001 ve ISO 27001 belgelerine sahip olmak ön koşul olarak sayılır. Mevzuatın genel metni ISO 27001'i tek başına açıkça şart koşmasa da başvuru dosyasında bu belge güçlü bir kanıt olarak kullanılır.
Kamu Sektörü ve Kamu İhaleleri
Cumhurbaşkanlığı Dijital Dönüşüm Ofisi'nin Bilgi ve İletişim Güvenliği Rehberi, kamu kurumları ve kritik altyapı işleticileri için bağlayıcı bir kontrol çerçevesi sunar. Bu rehber yükleniciye doğrudan belge zorunluluğu getirmez. Ancak kamu kurumları teknik şartnamelerde hizmet sağlayıcıdan ISO 27001 belgesi veya rehbere uyum isteyebilir.
Kritik nokta: Kamu İhale Genel Tebliği'nin 74.4'üncü maddesi uyarınca ISO 27001 belgesinin bütün isteklilerden teklif aşamasında yeterlik kriteri olarak istenmesi hukuka uygun değildir. İhaleye gireceğiniz şartnamede bu ayrımı kontrol edin. Genel çerçeve için ihalelerde istenen belgeler rehberimize bakabilirsiniz.
Yasal Zorunluluk Yokken Gerekli Olan Şirketler
Bazı şirketlerde belge bir kanun maddesinden değil, iş kaybı riskinden doğar. Aşağıdaki üç grup bu durumdadır.
KVKK Veri Sorumluları
6698 sayılı Kanun'un 12. maddesi uygun güvenlik düzeyini şart koşar. KVKK ve ISO 27001 ilişkisi konusunda kritik nokta: belge KVKK uyumu yerine geçmez; ancak "makul tedbir aldım" savunmasını belgeler.
Global B2B Tedarik Zinciri
Büyük uluslararası alıcılar güvenlik anketi ve denetimi uygular. ISO 27001 belgesi olan tedarikçi, bu anketlerin büyük bölümünü tek belgeyle yanıtlar. Avrupa ve Kuzey Amerika onay listelerinde belge çoğu zaman ilk elemenin geçilmesini sağlar.
Teknoloji Startup'ları
Kurumsal müşteri satışında güvenlik sorgusu satış döngüsünün parçasıdır. Belge satış ekibinin güvenlik sorularını yanıtlama yükünü azaltır; yatırımcı due diligence sürecinde de olgunluk kanıtı olarak değerlendirilir.
Özet Tablo: Hangi Firma Tipi İçin Zorunluluk Var?
| Sektör / Firma Tipi | Zorunluluk Durumu | Dayanak / Neden |
|---|---|---|
| EPDK lisans sahipleri (elektrik, doğalgaz, petrol, LPG) | Düzenleyici çerçeve içinde beklenir; TÜRKAK akrediteli belgelendirme şartı aranır | Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği; TS ISO/IEC 27001 belgelendirme şartı |
| Elektrikli araç şarj ağı işletmecileri | Mart 2026 itibarıyla doğrudan zorunlu | Şarj Hizmeti Yönetmeliği değişikliği; yazılım ve uzaktan erişim altyapısının TS ISO/IEC 27001'e uygunluğu |
| Bankalar, faktoring, finansal kiralama, finansman şirketleri | Bilgi güvenliği yönetim sistemi zorunlu; ISO 27001 fiilen standart, doğrudan belge şartı değil | BDDK bilgi sistemleri mevzuatı ve bağımsız denetim tebliği |
| Ödeme ve elektronik para kuruluşları | Düzenleyici çerçeve içinde; ISO 27001 doğrudan zorunlu değil, önerilen araç | TCMB bilgi sistemleri düzenlemesi |
| GİB e-Fatura özel entegratörleri | Başvuru şartı; ISO 27001 + ISO 22301 + ISO 20000-1 birlikte ve TÜRKAK onaylı | GİB Özel Entegrasyon Kılavuzu (güncel sürüm) |
| Yazılım, SaaS, bulut ve veri merkezi firmaları | Yasal zorunluluk yok; sözleşmesel olarak sık istenir | Müşteri ve ihale şartnameleri |
| YYS sahibi veya adayı firmalar | Bazı başvuru kılavuzlarında ISO 9001 ve ISO 27001 ön koşul olarak sayılır | Gümrük mevzuatı YYS kriterleri ve başvuru kılavuzları |
| Kamu ihalelerine giren yükleniciler | Şartnameye bağlı; teklif aşamasında yeterlik kriteri olarak istenmesi hukuka aykırı olabilir | Dijital Dönüşüm Ofisi Bilgi ve İletişim Güvenliği Rehberi; Kamu İhale Genel Tebliği md. 74.4 |
| KVKK kapsamında yoğun kişisel veri işleyenler | Zorunlu değil; tedbir kanıtı olarak önerilir | 6698 sayılı Kanun, madde 12 |
| Global B2B tedarik zincirindeki firmalar | Zorunlu değil; ticari olarak gerekli | Alıcı güvenlik denetimleri |
| Teknoloji startup'ları | Zorunlu değil; satış ve yatırım için avantaj | Kurumsal müşteri ve yatırımcı incelemesi |
ISO 27001 ile Entegre Edilebilecek Diğer Standartlar
ISO 27001 tek başına kurulabilir. Aynı organizasyonda birden fazla standart uygulanacaksa ortak maddeler (doküman yönetimi, iç tetkik, yönetim gözden geçirmesi, düzeltici faaliyet) tek yapıda toplanabilir.
ISO 27701
Kişisel veri yönetim sistemi. ISO 27001'e eklenen bir uzantıdır; KVKK ve GDPR yükümlülükleriyle ilişkilendirmeyi kolaylaştırır.
ISO 20000-1
BT hizmet yönetim sistemi. E-fatura entegratörleri ve yönetilen hizmet sağlayıcıları için GİB başvurusunda ISO 27001 ile birlikte aranır.
ISO 22301
İş sürekliliği yönetim sistemi. Kesinti anında kritik hizmetlerin nasıl sürdürüleceğini tanımlar. ISO 27001:2022'deki BT hazırlığı kontrolüyle doğrudan ilişkilidir.
ISO 9001
Kalite yönetim sistemi. Süreç yaklaşımı ve doküman altyapısı ortak olduğu için entegre yönetim sisteminin temelini oluşturur.
Entegre denetim avantajı: Belgelendirme kuruluşu tek denetimle birden fazla standardı değerlendirebilir; bu denetim gün sayısını ve iç kaynak yükünü azaltır. ISO 27001'in 2022 sürümüne geçiş süresi 31 Ekim 2025 itibarıyla sona ermiştir. Bugün geçerli bir belge ISO/IEC 27001:2022'ye göre düzenlenmiş olmalıdır. Geçiş süreci ayrıntıları için ISO 27001:2022 revizyonu rehberimize bakabilirsiniz.
Sıkça Sorulan Sorular
ISO 27001 belgesi her şirket için zorunlu mudur?
Hayır. Belge genel bir kanunla tüm şirketlere zorunlu kılınmamıştır. Bazı sektörlerde (e-fatura özel entegratörlüğü, EPDK şarj ağı işletmeciliği gibi) başvuru veya yetki şartı olarak istenir. Birçok şirket için ise müşteri sözleşmesi ve ihale şartnamesi nedeniyle fiilen gereklidir.
ISO 27001 belgesi almamanın cezai veya yasal yaptırımı var mıdır?
Belge almamanın kendi başına bir cezası yoktur. Yaptırım, belgenin zorunlu olduğu sektörün mevzuatından gelir: lisans veya yetkinin askıya alınması, iptali ya da idari para cezası gibi. Ayrıca KVKK kapsamında yeterli güvenlik tedbirlerini almayan veri sorumluları için Kanun'da idari para cezaları öngörülmüştür.
ISO 27001 belgesi alma süreci ne kadar sürer?
Süre kuruluşun büyüklüğüne, kapsamına ve mevcut olgunluğuna bağlıdır. Küçük ve orta ölçekli bir firmada hazırlık genellikle 3 ila 6 ay, büyük ve çok lokasyonlu yapılarda 6 ila 12 ay sürebilir. Süreç kapsam ve risk analizi, dokümantasyon, iç tetkik, yönetim gözden geçirmesi ve belgelendirme kuruluşunun iki aşamalı denetiminden oluşur. Belge üç yıl geçerlidir ve yıllık gözetim denetimleri yapılır.
ISO 27001:2022 revizyonu neleri değiştirdi?
Ekim 2022'de yayımlanan revizyon, Ek A kontrol listesini 114 kontrolden 93 kontrole indirdi ve kontrolleri dört temada topladı: organizasyonel, insan, fiziksel ve teknolojik. 11 yeni kontrol eklendi; bunlar arasında tehdit istihbaratı, bulut hizmetleri güvenliği, konfigürasyon yönetimi, bilgi silme, veri maskeleme, veri sızıntısı önleme, izleme faaliyetleri, web filtreleme ve güvenli kodlama yer alır. Ana madde yapısı (4-10. maddeler) büyük ölçüde korunmuş, geçiş süresi 31 Ekim 2025'te sona ermiştir.
Kuruluşunuz için ISO 27001 kapsamını birlikte netleştirelim
Hangi mevzuat şartının firmanız için geçerli olduğunu ve belgelendirme kapsamının nasıl kurgulanması gerektiğini değerlendirmek için ön inceleme talep edebilirsiniz.
ISO 27001 kategorisindeki diğer rehberleri inceleyebilirsiniz.
- EPDK — Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği ve ilgili lisans mevzuatı (TS ISO/IEC 27001 belgelendirme şartı).
- EPDK — Şarj Hizmeti Yönetmeliği'nde 2026 yılında yapılan değişiklik (şarj ağı işletmecileri için ISO 27001 şartı).
- BDDK — Bilgi Sistemleri Bağımsız Denetim Tebliği (III-62.2) ve ilgili bilgi sistemleri mevzuatı.
- TCMB — Ödeme ve elektronik para kuruluşlarının bilgi sistemlerine ilişkin düzenlemeler.
- GİB — e-Fatura Özel Entegrasyon Kılavuzu (güncel sürüm; TÜRKAK onaylı ISO 27001, ISO 22301 ve ISO 20000-1 şartı).
- Gümrük ve Dış Ticaret Bakanlığı — Yetkilendirilmiş Yükümlü Statüsü başvuru kriterleri ve kılavuzları.
- Kamu İhale Kurumu — Kamu İhale Genel Tebliği, madde 74.4.
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 12.
- ISO/IEC 27001:2022 — Bilgi güvenliği yönetim sistemleri şartları ve Ek A kontrolleri.
- IAF — ISO/IEC 27001:2022 geçiş süresine ilişkin kararlar (31 Ekim 2025).
