SPK VII-128.10 Uyum Danışmanlığı — Aracı Kurumlar ve Yatırım Kuruluşları

VII-128.10 aracı kurumlara ne getiriyor?

Sermaye Piyasası Kurulu’nun Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete’de yayımlandı ve 30 Haziran 2025’te yürürlüğe girdi. Tebliğ, 5 Ocak 2018 tarihli ve 30292 sayılı Resmî Gazete’de yayımlanan Bilgi Sistemleri Yönetimi Tebliği’ni (VII-128.9) yürürlükten kaldırdı. Dayanağı 6362 sayılı Sermaye Piyasası Kanununun 128 inci maddesinin birinci fıkrasının (h) bendidir. Otuz dört maddelik metin, bilgi güvenliği politikasından ağ güvenliğine, kimlik ve erişim yönetiminden değişiklik yönetimine kadar bilgi sistemlerinin tamamını tek çerçevede düzenler. Aracı kurumlar için önemli olan nokta şudur: yükümlülük seti sabit değil, kuruluşun türüne ve yetki kapsamına göre değişir.

Hangi aracı kurumlar tam kapsamda?

Tebliğin 30 uncu maddesinin birinci fıkrası, bazı kuruluş tiplerini belirli hükümlerden muaf tutar ve bu listede dar yetkili aracı kurumlar da yer alır. Dar yetkili aracı kurumlar, diğerlerinin yanı sıra 8 inci maddenin beşinci, altıncı ve yedinci fıkralarını, 26 ncı maddeyi, 28 inci maddeyi ve 29 uncu maddeyi bütünüyle uygulamak zorunda değildir. Kısmî yetkili ve geniş yetkili aracı kurumlar bu muafiyet listesinde yer almaz; tebliğin tamamına tabidir. Yatırım hizmeti sunan bankalar ise bilgi sistemleri bağımsız denetimi bakımından ayrı bir rejimdedir: III-62.2 sayılı tebliğ, bankalar ile sigorta ve finansal kiralama, faktoring şirketlerinin kendi özel mevzuatlarına tabi olduğunu belirtir.

Bunun pratik anlamı, yetki belgesi kapsamının bilgi sistemleri bütçesini doğrudan belirlemesidir. Emir iletimine aracılık faaliyetiyle sınırlı bir dar yetkili kurumla, işlem aracılığı, portföy aracılığı ve bireysel portföy yöneticiliği yürüten geniş yetkili bir kurumun karşılaştığı gereklilikler aynı değildir. Yetki belgesi genişletildiğinde bilgi sistemleri yükümlülükleri de aynı anda genişler; bu geçişin ihmal edilmesi, denetimde en sık rastlanan yapısal bulgudur.

Sızma testi ve risk analizi ne sıklıkta yapılır?

Tebliğin 8 inci maddesi bilgi sistemleri risk yönetimini düzenler. Beşinci fıkra uyarınca risk analizi yılda en az bir kez yapılır ve bilgi sistemlerinde önemli değişiklik olduğunda tekrarlanır. Altıncı fıkra, bilgi sistemlerinin yılda en az bir kez sızma testine tabi tutulmasını zorunlu kılar. Yedinci fıkra testin tebliğin ekindeki usule göre yürütülmesini, ulusal veya uluslararası sertifikalara sahip bağımsız üçüncü taraflarca yapılmasını ve raporun testin tamamlanmasından itibaren bir ay içinde, en geç izleyen yılın 31 Ocak tarihine kadar iletilmesini öngörür. Bu üç fıkra, muafiyet listesinde yer aldığı için dar yetkili aracı kurumlar bakımından zorunlu değildir; kısmî ve geniş yetkili kurumlar için ise takvimi belirleyen ana kalemdir.

Bilgi sistemleri sürekliliği ve yurt içi sistem zorunluluğu

27 nci madde, kurum, kuruluş ve ortaklıkların birincil ve ikincil sistemlerini yurt içinde bulundurmasını zorunlu kılar. İkincil sistemin konumu, birincil sistemle aynı afet riskini taşımayacak şekilde seçilir. Kritik iş süreçleri için kabul edilebilir kesinti süresi ve azami veri kaybı değerleri tanımlanır; birincil sistemlerin tamamen devre dışı kalması hâlinde faaliyete en geç yirmi dört saat içinde devam edilmesi beklenir. Süreklilik testleri her yıl tekrarlanır ve kritik sistemler için yedekten geri dönüş testi de bu kapsamdadır. 7 nci maddenin altıncı fıkrası uyarınca bilgi sistemleri süreklilik planı, iş sürekliliği planının bir parçası olarak hazırlanır.

Aracı kurumlarda bu maddenin ağırlığı, emir iletim ve işlem altyapısının kesintiye tahammülünün düşük olmasından gelir. Yirmi dört saatlik hedef, felaket kurtarma merkezinin varlığından çok, devreye alma prosedürünün yazılı, test edilmiş ve personel tarafından bilinir olmasıyla karşılanır.

Bilgi sistemleri iç denetimi neden dışarıdan alınamaz?

29 uncu madde, kısmî ve geniş yetkili aracı kurumların yılda en az bir kez bilgi sistemlerine yönelik iç denetim gerçekleştirmesini ister. Bu denetim dışarıdan hizmet alımıyla icra edilemez; Bilgi Sistemleri Bağımsız Denetim lisansına sahip ve sistemlerin tasarımı ile işletiminden bağımsız personel tarafından yürütülür. Danışmanlık firmalarının bu denetimi kurum adına yapması mümkün değildir. Bizim rolümüz, iç denetim fonksiyonunun kurulması, denetim programının ve çalışma kâğıtlarının hazırlanması, denetçi kadrosunun yetkinlik planlamasının yapılması ve bulguların kapatılmasıdır. Ayrıca 7 nci maddenin beşinci fıkrası, üst yönetime doğrudan raporlayan, çatışan görevleri bulunmayan ve alanında en az beş yıl deneyimli bir bilgi güvenliği sorumlusunun görevlendirilmesini ister.

Bağımsız bilgi sistemleri denetimi kaç yılda bir?

Bağımsız denetim, ayrı bir tebliğle düzenlenir. Bilgi Sistemleri Bağımsız Denetim Tebliği (III-62.2), 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete’de yayımlanan III-62.2.b sayılı tebliğle değiştirilmiş ve 30 Haziran 2025’te yürürlüğe girmiştir. Değişik 30 uncu maddeye göre kısmî ve geniş yetkili aracı kurumlar iki yılda bir bilgi sistemleri bağımsız denetimine tabidir. Dar yetkili aracı kurumlar için periyodik bir denetim yükümlülüğü öngörülmemiştir. Denetim raporu, sorumlu denetçinin imzasıyla kesinleşir, kesinleşmesini izleyen ilk iş günü yönetim kurulu başkanına teslim edilir ve denetim döneminin bittiği ayı izleyen ay içinde Kurula gönderilir.

Bu denetimi yalnızca Kurulca yetkilendirilmiş bağımsız denetim kuruluşları yapabilir. Kale Belgelendirme bir bağımsız denetim kuruluşu değildir ve bu denetimi üstlenmez; yaptığımız iş, kurumu denetime hazır hâle getirmek ve denetimden çıkan bulguları kapatmaktır.

Uyum takvimi nedir?

Tebliğin geçici 1 inci maddesi geçiş sürelerini belirler. Kripto varlık hizmet sağlayıcılar dışındaki kurum, kuruluş ve ortaklıklar 31 Aralık 2025 tarihine kadar mülga VII-128.9 sayılı tebliğe uymaya devam etmiş, tebliğin hükümlerine bu tarihe kadar uyum sağlamakla yükümlü tutulmuştur. 29 uncu maddenin üçüncü fıkrasına uyum için tanınan süre ise 31 Aralık 2026’dır. Dolayısıyla iç denetim yapısını kurmamış aracı kurumlar için 2026 yılı, kadro, lisans ve denetim programı açısından son fırsat penceresidir.

Uyum projesi nasıl ilerliyor?

1. 01

   Kapsam tespiti

   Yetki belgesi kapsamı ve kuruluş tipi üzerinden hangi maddelerin uygulanacağı, hangilerinin 30 uncu madde muafiyetine girdiği madde madde belirlenir.

2. 02

   Boşluk analizi

   Mevcut politika, prosedür ve teknik yapılandırmalar tebliğ maddeleriyle tek tek karşılaştırılır; her bulguya sorumlu ve termin atanır.

3. 03

   Politika ve prosedür seti

   Bilgi güvenliği politikası, risk yönetimi, varlık yönetimi, görevler ayrılığı, kimlik ve erişim yönetimi, log yönetimi, değişiklik yönetimi ve dış hizmet alımı dokümanları yazılır.

4. 04

   Süreklilik çalışması

   Kritik iş süreçleri belirlenir, kabul edilebilir kesinti ve azami veri kaybı değerleri kararlaştırılır, ikincil merkez tasarımı gözden geçirilir, yıllık test senaryoları hazırlanır.

5. 05

   Risk analizi ve sızma testi planlaması

   Yıllık risk analizi yöntemi kurulur; sızma testinin kapsamı, sağlayıcı yetkinliği ve raporlama takvimi tebliğin ekindeki usule göre planlanır.

6. 06

   İç denetim altyapısı

   Denetim programı, çalışma kâğıtları ve raporlama şablonları hazırlanır; lisans ve bağımsızlık koşullarını sağlayacak kadro yapısı planlanır.

7. 07

   Bağımsız denetime hazırlık

   Kanıt dosyaları derlenir, önceki dönem bulguları kapatılır, denetim döneminin bitişine göre raporlama takvimi kurulur.

Proje çıktıları

• Kapsam ve muafiyet matrisi

  Tebliğin her maddesinin kurumunuza uygulanıp uygulanmadığını gerekçesiyle gösteren tablo.

• Boşluk analizi raporu

  Madde bazında mevcut durum, eksik ve aksiyon listesi.

• Politika ve prosedür kütüphanesi

  Yönetim kurulu onayına hazır, birbirine atıf yapan tutarlı doküman seti.

• Bilgi sistemleri süreklilik planı

  Kesinti ve veri kaybı hedefleri, devreye alma adımları ve yıllık test planı.

• Risk analizi dosyası

  Varlık envanteri, tehdit ve zafiyet değerlendirmesi, artık risk kabul kayıtları.

• İç denetim el kitabı

  Program, çalışma kâğıdı şablonları, bağımsızlık beyanları ve raporlama akışı.

• Denetim kanıt dizini

  Bağımsız denetçinin isteyeceği belgelerin önceden hazırlanmış hâli.

Sıkça Sorulan Sorular

Dar yetkili aracı kurumuz, tebliğ bizi bağlıyor mu?

Bağlıyor, ancak azaltılmış kapsamda. 30 uncu maddenin birinci fıkrası dar yetkili aracı kurumları bazı hükümlerden muaf tutar; bunlar arasında 8 inci maddenin beşinci, altıncı ve yedinci fıkraları ile 26, 28 ve 29 uncu maddeler bulunur. Geri kalan hükümler aynen uygulanır.

Yetki belgemizi genişletirsek ne olur?

Kısmî veya geniş yetkili hâle geldiğinizde muafiyet listesinden çıkarsınız. Yıllık sızma testi, uygulama güvenliği, değişiklik yönetimi ve bilgi sistemleri iç denetimi yükümlülükleri devreye girer; ayrıca iki yılda bir bağımsız bilgi sistemleri denetimi zorunlu olur. Bu nedenle yetki genişletme başvurusunun bilgi sistemleri tarafı önceden planlanmalıdır.

Sunucularımızı yurt dışında barındırabilir miyiz?

Hayır. 27 nci maddenin birinci fıkrası birincil ve ikincil sistemlerin yurt içinde bulundurulmasını zorunlu kılar. Tebliğ yalnızca sınırlı hâllerde istisna tanır; aracı kurumlar bu istisnaların kapsamında değildir.

Bilgi sistemleri iç denetimini danışmanlık firmasına yaptırabilir miyiz?

Yaptıramazsınız. 29 uncu madde bu denetimin dışarıdan hizmet alımıyla icra edilemeyeceğini açıkça belirtir ve denetimi yapacak personelin Bilgi Sistemleri Bağımsız Denetim lisansına sahip olmasını ve sistemlerin tasarım ile işletiminden bağımsız olmasını arar. Danışmanlık, denetimin kendisini değil hazırlığını kapsayabilir.

Bağımsız bilgi sistemleri denetimini siz yapabilir misiniz?

Hayır. Bu denetim yalnızca Sermaye Piyasası Kurulu tarafından yetkilendirilmiş bağımsız denetim kuruluşlarınca yapılabilir. Biz danışmanlık ve eğitim veriyoruz; denetime hazırlık, bulgu kapatma ve sürdürme çalışmalarını üstleniyoruz.

ISO 27001 belgesi VII-128.10 uyumu yerine geçer mi?

Geçmez. Tebliğ herhangi bir standart belgesini zorunlu tutmaz ve ISO/IEC 27001’e atıf yapmaz. Bir bilgi güvenliği yönetim sistemi kurmuş olmak uyum çalışmasını kolaylaştırır, çünkü politika, risk ve varlık yönetimi kayıtları büyük ölçüde ortaktır; ancak tebliğin madde bazlı gereklilikleri ayrıca karşılanmalıdır.

Ankara dışındayız, çalışma nasıl yürüyor?

Merkezimiz Ankara’dadır; aracı kurumların büyük bölümü İstanbul’da olduğundan çalışmayı uzaktan oturumlar ve planlı saha ziyaretleri şeklinde yürütüyoruz. Doküman çalışması ve gözden geçirme oturumları uzaktan, süreklilik testi ve yerinde inceleme gerektiren adımlar sahada yapılır.