"Güvenliğiniz İçin" İzleniyorsunuz: BTK'dan Siber Denetimin Yeni Merkezine

Devletler yüzyıllar boyunca yolları, sınırları ve şehirleri korudu. Artık bunların yanı sıra veri merkezlerini, fiber optik kabloları, bulut sistemlerini ve dijital ağları koruyor. Güvenlik kavramı fiziksel mekânın ötesine dijital uzama da taşınırken, egemenliğin araçları değişiyor. 

Enerji sistemlerinden bankacılığa, hastanelerden kamu hizmetlerine kadar gündelik hayatın büyük bölümü artık dijital altyapıya bağlı. Bir siber saldırı elektrik şebekesini, ulaşımı ya da kamusal hizmetleri durdurabilecek sonuçlar yaratabiliyor. Bu yüzden siber güvenlik, devletlerin son yirmi yılda güvenlik politikalarının merkezine yerleşiyor. 

Ancak güvenliğin alanı genişledikçe, korunacak şeyin sınırları da belirsizleşiyor. Dijital ağlar aynı zamanda iletişimin, haberin ve kamusal tartışmanın gerçekleştiği alanlar. Dolayısıyla bu ağları korumak için geliştirilen araçların, zamanla kamusal alan üzerinde yeni bir denetim mekanizması tesis etme ihtimali de ortaya çıkıyor. Devletin yanı sıra internet altyapısını işleten şirketler, arama motorları, sosyal medya platformları ve veri merkezleri de insanların neye erişebildiği ve hangi bilginin dolaşıma girebildiği üzerinde büyük bir güç taşıyor.

1990’larda internetin, sınırları ve devlet egemenliğini aşacağı düşünülmüştü. Ancak “sınırsız ve devletsiz ağ” fikri gerçekleşmedi. Jack Goldsmith ve Tim Wu’nun ‘İnterneti Kim Kontrol Ediyor?’ kitabında anlattıkları gibi devletler dijital alan üzerindeki egemenliklerini kaybetmek yerine, internet servis sağlayıcıları, arama motorları ve platformlar gibi aracılar üzerinden yeniden kurdu. 

Dijital alan, hem korunması gereken bir güvenlik sahasına hem de devletler ile şirketlerin egemenlik kurmaya çalıştığı bir kamusal alana dönüştü.

Siber güvenliğin nerede sona erdiği, dijital kamusal alan üzerindeki denetimin nerede başladığı sorusu; bugün Türkiye için önemli bir soru. Türkiye’de siber güvenlik kurumları yeniden düzenleniyor. Cumhurbaşkanlığı’na bağlı Siber Güvenlik Başkanlığı’nın 2025’te kurulmasının ardından, 2026’da Bilgi Teknolojileri ve İletişim Kurumu’nun (BTK) siber güvenlikle bağlantılı bazı görev ve yetkileri Başkanlığa devredildi.

BTK ortadan kalkmıyor; elektronik haberleşme piyasasını düzenleme, işletmecileri yetkilendirme, frekans yönetimi, tüketici hakları ve telekomünikasyonda rekabet denetimi gibi denetleme-düzenleme görevlerini sürdürüyor. Buna karşılık siber güvenlikle bağlantılı operasyonel görevler, bunların yürütüldüğü teknik altyapı, veri merkezleri ve ilgili personel doğrudan Cumhurbaşkanlığı’na bağlı yeni Başkanlıkta toplanıyor.

Yeni Tehdit, Yeni Güvenlik: Dijital Dünya

Siber güvenliğin dünya genelinde giderek merkezi bir devlet politikası hâline gelmesinin son derece somut tarihsel nedenleri var. 2007’de Estonya’nın Tallinn kentindeki Sovyet dönemi bir anıtın taşınması üzerine Rusya ile yaşanan siyasi gerilimin ardından, ülkenin parlamentosu, bakanlıkları, bankaları ve medya kuruluşları haftalar süren yoğun siber saldırıların hedefi oldu. Saldırılar büyük ölçüde sistemlere aşırı miktarda trafik yönlendirerek internet hizmetlerini kullanılamaz hâle getiren DDoS saldırılarıydı. Bazı kamu hizmetleri, bankacılık işlemleri ve haber siteleri ciddi biçimde aksadı. Saldırıların Rus devleti tarafından doğrudan yönetildiği kanıtlanmasa da olay, siber saldırıların bir ülkenin idari ve ekonomik işleyişini ciddi biçimde sekteye uğratabileceğini gösterdi. Özellikle NATO açısından siber savunmada önemli bir dönüm noktası oldu. 

Birkaç yıl sonra, İran’ın Natanz nükleer tesisindeki endüstriyel kontrol sistemlerini Stuxnet isimli zararlı bir yazılım hedef aldı. Santrifüjlerin çalışma hızlarına müdahale ederek fiziksel ekipmana zarar verdi. Siber saldırı artık gerçek dünyadaki stratejik altyapıya fiziksel zarar verebiliyordu. Yani siber uzay alanı, giderek gerçek bir ulusal güvenlik meselesi oldu. 

Modern devletin temel meşruiyet kaynaklarından biri her zaman güvenlik olmuştur. Hobbes’un Leviathan’ında egemenin varlık gerekçesi, bireylerin tek başlarına sağlayamayacağı güvenliği tesis etmekti. Şimdi, dijital çağ ile devletin “koruması gereken” alan genişledikçe, müdahale alanı da genişliyor.  Bir mesele “güvenlik” başlığı altına girdiğinde, normalde daha sert biçimde tartışılacak müdahaleler meşrulaşıyor, kolayca kabul görmeyecek yetkilerin önünü açılıyor.

Yeni Siber Güvenlik Başkanlığı’nın temel amaçları arasında verinin ülkede tutulması, yerli ve milli çözümlerin teşvik edilmesi ve milli güvenliği tehdit edebilecek kritik verilerin korunması sayılıyor. Ancak Başkanlığın yetki alanı yalnızca veri güvenliğiyle sınırlı değil. İnternet alan adlarına ilişkin bazı görevler ve yasal dinlemeye teknik imkân sağlanması da bu yapıda toplanıyor. Yeni düzenlemeye göre Başkanlık, “gecikmesinde sakınca bulunan hâllerde” resen ya da güvenlik ve istihbarat kurumlarının talebi üzerine tedbir kararı alabiliyor; karar ilgili işletmeci, erişim sağlayıcı, veri merkezi veya içerik sağlayıcı tarafından iki saat içinde uygulanmak zorunda. Ardından karar 24 saat içinde sulh ceza hâkiminin onayına sunuluyor; hâkim 48 saat içinde karar vermezse tedbir kendiliğinden kalkıyor. Böylece müdahale önce fiilen uygulanıyor, yargısal denetim ise sonradan devreye giriyor. 

Burada temel bir ayrımı yapmak gerekiyor. Siber güvenlik, en yalın hâliyle bilgi sistemlerini, ağları, verileri ve bunlara bağlı hizmetleri yetkisiz erişime, saldırıya, bozulmaya ya da kesintiye karşı korumayı ifade ediyor. Bir elektrik şebekesinin hacklenmesi, bir kamu kurumunun veri tabanına sızılması ya da bir bankanın sistemlerinin devre dışı bırakılması bu alanın doğrudan konusu. Buna karşılık dezenformasyon, siyasi içerik, platform moderasyonu ya da kamusal tartışmanın yönlendirilmesi kendi başına siber güvenlik değil. Asıl mesele, birbirinden ayrı olan bu alanların son yıllarda aynı güvenlik mimarisi içinde giderek daha fazla yan yana gelmesi. 

Yakın geçmişte dünyada yaşanan bazı büyük olaylar, bu sınırları bulanıklaştırıyor. 2013’te ABD Ulusal Güvenlik Ajansı’nın (NSA) eski çalışanı Edward Snowden’ın gazetecilere verdiği belgeler, NSA’nın çok geniş ölçekli gözetim programları yürüttüğünü ortaya çıkardı. NSA, terör ve ulusal güvenlik gerekçeleriyle telefon kayıtları, internet trafiği ve dijital iletişime ilişkin büyük miktarda veriye erişiyordu. Dijital ağları güvenlik ve istihbarat amacıyla izleyebilme kapasitesi, aynı zamanda milyonlarca insanın iletişimini görebilen kitlesel bir gözetim mekanizmasına dönüşmüştü.

Dijital egemenliğin en ileri örneklerinden biri Çin'in “Büyük Güvenlik Duvarı” (Great Firewall) modeli. Bu model, yalnızca içerik filtrelemekle kalmayıp, internet servis sağlayıcıları üzerinden otomatik bir sansür uyguluyor. Örneğin WeChat gibi yaygın uygulamalarda “insan hakları” ya da “bağımsızlık” gibi ifadeler; hükümet eleştirisiyle, Tibet ve Hong Kong gibi siyasi meselelerle, protestolarla ya da muhalif isimlerle ilişkilendirildiklerinde sansürü tetikleyebiliyor. Bu filtreler siyasi gündeme göre değişebiliyor. Mesaj gönderenin ekranında iletildi gibi görünüyor; ancak sunucu tarafında kelime taranıyor ve alıcıya asla ulaştırılmıyor. Çin bu dönüşümün en uç örneklerinden biri. 

Siyasi İktidar Bugün Neyi Koruyor?

Türkiye’de ise siber güvenlik ve içerik denetimi yetkilerinin merkezileşme süreci, Bilgi Teknolojileri ve İletişim Kurumu’nun (BTK) dönüşümü üzerinden izlenebiliyor.

BTK, idari ve mali özerkliğe sahip, özel bütçeli bir düzenleyici ve denetleyici kamu kurumu. Ulaştırma ve Altyapı Bakanlığı ile ilişkili olarak faaliyet gösteriyor. 2000 yılında "Telekomünikasyon Kurumu" adıyla kurulduğunda temel mesele serbestleşen telekomünikasyon piyasasını düzenlemekti. O dönemin ana tartışması rekabet, lisanslandırma ve özel sektörün pazara girişiydi. BTK bugün hala bu rekabet düzenleme işlevini sürdürüyor. 

Fakat internetin gündelik hayatın merkezine yerleşmesiyle birlikte kurumun faaliyet alanı da değişmeye başladı. 2005'te Telekomünikasyon İletişim Başkanlığı'nın (TİB) kurulmasıyla iletişimin denetlenmesine ilişkin teknik altyapı kurumsal yapıya eklendi. 2008'de kurumun adı Bilgi Teknolojileri ve İletişim Kurumu'na dönüştü. 2013'te BTK bünyesinde Ulusal Siber Olaylara Müdahale Merkezi (USOM) kuruldu. İlk kez kritik altyapıların ve kamu kurumlarının siber saldırılara karşı korunması kurumsal bir görev olarak tanımlandı. 2016'da TİB kapatıldı ve görevleri BTK'ya devredildi. 

BTK’nın karar organı olan Kurulun atanma biçimi de zaman içinde değişti. 2000 yılında başkan ve üyeler, Bakanlar Kurulu tarafından atanıyordu. 2018’de Cumhurbaşkanlığı Hükümet Sistemi’ne geçilmesiyle bu yetki Cumhurbaşkanı’na geçti. 2025’te Cumhurbaşkanlığı’na bağlı Siber Güvenlik Başkanlığı kuruldu; 2026’da ise BTK’nın telekomünikasyon piyasasını düzenleme ve rekabeti denetleme gibi asli görevleri dışında kalan siber güvenlik bağlantılı yetkileri bu yeni yapıya devredildi.

Kurumlar dönüşürken, güvenlik kavramı da esnedi, sınırları belirsizleşti. Buna dair somut bir örnek, 2012 yılı Sayıştay raporunda yer alıyor. Kamu İhale Kanunu, normal şartlarda devlet kurumlarının tüm harcamalarını şeffaf ve denetlenebilir ihalelerle yapmasını zorunlu kılıyor; sadece doğrudan "güvenlik" veya "istihbarat" faaliyetleriyle ilgili özel alımlarda istisnaya izin veriyor. Raporda TİB’in, yalnızca bu özel alımlarda değil, ofis malzemelerinden inşaat işlerine kadar bütün mal ve hizmet alımlarını ihale kanununa tabi olmadan gerçekleştirdiği vurgulanıyor. TİB’in savunması ise rapordaki ifadelerden şöyle özetlenebilir: “Yaptığımız işin tamamı hassas ve güvenlik niteliğinde.”   

Böylece güvenlik ve istihbarat faaliyetleri için tanınan istisna, ofis malzemesinden yapım işlerine kadar yayılıyor. “Güvenlik” kurumun faaliyetlerini denetim dışına çıkarmak için kullanışlı bir gerekçe hâline geliyor. Kavramın ve -kavrama dayandırılan gerekçelerle- kurumların yetkileri genişlerken, yurttaşın alanı daralıyor.

Yurttaş açısından bu durum günlük hayatının tam ortasında: erişebildiği sitelerde, okuyabildiği haberlerde, kullanabildiği sosyal medya hesaplarında, dijital mecrada ne söyleyebileceğinde ve nihayet mahkeme salonunda. 

Siber güvenlik için geliştirilen devasa teknik kapasite, kamusal alanı sınırlayan bir gözetim aleti olarak da iş görüyor. Güvenlik kavramı iktidar için gerektiğinde idari ve hukuki sorumlulukları örten bir zırh, yurttaş içinse her an kapanabilecek bir tuzak. Dijital ayak izinin bir anda “millî güvenlik tehdidi” sayılabileceği endişesi, yurttaşı dijital mecralarda parmak ucunda yürümeye zorluyor. Üstelik müdahale, yargı denetimini beklemeden gerçekleşebiliyor. “Gecikmesinde sakınca bulunan hâllerde” alınan karar iki saat içinde uygulanıyor; hukuka uygunluğu ise ancak sonradan denetleniyor. Yurttaşın erişimi ve sözü anında müdahalenin konusu olabilirken, bu müdahalenin arkasındaki kararları kimin, nasıl aldığı yurttaşın ulaşamadığı yerlere gizleniyor.

Tek Yönlü Aynanın Önündeki Yurttaş, Ardındaki Kim?

İfade Özgürlüğü Derneği’nin EngelliWeb 2025 raporu, çarpıcı istatistikler ortaya koyuyor. 2025 yılı sonu itibarıyla Türkiye’den erişimi engellenen toplam web sitesi ve alan adı sayısı 1.505.484’e ulaşarak tarihi bir rekor kırdı. Sadece 2025 yılı içinde engellenen 232.441 alan adının %84’ü (196.570 adet), herhangi bir yargı kararı olmaksızın, doğrudan BTK Başkanı’nın idari tedbir kararlarıyla erişime kapatıldı.

Elbette bu sayıların tamamı siyasi ifade ya da haber içeriklerinden oluşmuyor; yasa dışı bahis ve başka suç kategorileri de bu toplamın içinde. Ancak “millî güvenlik ve kamu düzeni” gerekçesiyle işletilen 5651 sayılı Kanun’un 8/A maddesine bakıldığında kamusal alan üzerindeki müdahale doğrudan görülüyor. Yalnızca 2025’te bu madde kapsamında 145 haber sitesi ve alan adı, 2 bin 118 haber, 995 X hesabı, 1.592 X paylaşımı, 249 Facebook içeriği, 379 Instagram adresi ve 706 YouTube videosu erişime engellendi. Bir önceki yıl 20 olan engellenmiş X hesabı sayısının 995’e, 127 olan haber sayısının 2 bin 118’e çıkması, “gecikmesinde sakınca bulunan hâller” için öngörülen bir güvenlik tedbirinin ne ölçüde geniş bir kullanım alanına kavuştuğunu gösteriyor.  

BTK’nın müdahale araçları sadece erişim engellemeleriyle de sınırlı değil. Kurum, özellikle toplumsal gerilim dönemlerinde internet trafiği bant genişliğinin %90’a kadar daraltılması (throttling) yöntemini bir "kriz yönetim aracı" olarak sıklıkla kullanıyor.  

Erişim engelleri arttıkça yurttaş da bu sınırları aşmanın yollarını arıyor. Türkiye’de geniş kitlelerin özellikle Gezi döneminden itibaren daha sık kullanmaya başladığı VPN’ler, kullanıcının internet trafiğini başka bir sunucu üzerinden yönlendirerek erişim engellerini aşmasına ve bağlantısını kısmen gizlemesine imkân veriyor. Ancak zamanla denetim, yalnızca içeriğin kendisinden onu aşmaya yarayan araçlara da yöneldi. 2023 sonunda başlayan ve 2025’te genişleyen uygulamalar kapsamında BTK, 16 farklı VPN servisine ait 454’ten fazla sunucu adresine erişimi engelledi.

Bugün yurttaş tek yönlü bir aynanın önünde duruyor: Görülüyor, izleniyor, kayıt altına alınıyor; fakat aynanın arkasını göremiyor. Onu kimin izlediği, hangi verinin toplandığı ve bu verilerle ne yapıldığı belirsiz. 

BTK, erişim engelleme kararlarının kapsamı, gerekçeleri ve sonuçlarına ilişkin anlamlı bir kamu verisi sunmuyor. Bu, verimizi toplayan ve işleyen teknoloji şirketleri için de geçerli; hangi veriyi nasıl işledikleri kadar, devletlerle hangi talepler ve yükümlülükler çerçevesinde ilişki kurdukları da çoğu zaman kamuoyuna açık değil. Bu alandaki tablonun görebildiğimiz kısmını ancak sivil toplumun bağımsız izleme çalışmalarından öğreniyoruz.

Dijital egemenliğin asıl meselesi burada: Kimin kimi görebildiği. Yurttaşın ne okuduğu, ne söylediği, hangi platformu kullandığı ve ardında hangi dijital izleri bıraktığı siyasi iktidar ve şirketler tarafından giderek daha ayrıntılı biçimde takip edilebilirken, bu gücü kullananların kararları perdelerin arkasında kalıyor. Yurttaş, kendisi hakkında giderek daha fazla şey bilen bu yapılar ve onların arasındaki kapalı devre pazarlıklar hakkında giderek daha az şey biliyor. 

İfade Özgürlüğü Derneği raporlarında belirtildiği üzere, sosyal medya platformları Türkiye'deki ağır yaptırım tehditleri karşısında siyasi iktidarın sansür aygıtına uyumlanıyorlar. Sosyal ağ sağlayıcılarının kullanıcı haklarını koruma vaatleri, devletin idari talepleri karşısında uygulanmıyor; bu detayları içeren kurumsal raporlar ise BTK tarafından "ticari sır" olarak kamuoyundan gizleniyor. Bir yanda her hareketi izlenen, profillenen ve erişimi kısıtlanan şeffaf bir toplum; diğer yanda kararlarını kapalı kapılar ardında alan, yargı denetiminden ve kamuoyu denetiminden muaf tutulan bir güç odağı beliriyor. Dijital sivil alanın son sığınakları da tehdit ediliyor.

Siyasi gücü ve sermayeyi elinde tutanların kendilerini kendiliğinden denetime açmasını beklemek bir yanılsama. İktidarlar eylemlerini şimdilik gölgede tutsa da, kurdukları sistem onları da kesintisiz bir biçimde kayda almaya devam ediyor. Fakat iz bırakmak, hesap vermekle aynı şey değil. Toplum adına karar veren güçlerin sınırını çizmek demokratik siyasetin görevi. 

Bugün yurttaş; önüne konan onay kutucuklarıyla, her gün yenilenen dijital "kullanım şartlarıyla" ve kamusal alanın sesini kısan ağır yaptırımlarla kuşatıldı. 

Yurttaşa dayatılan tüm bu kayıt ve şartların ötesinde değişmeyen tarihsel bir ilke var: Egemen, halkın kendisidir. Siyasi veya ekonomik iktidarlar egemen değildir; yönetenler, halka ait siyasal iradenin yerine geçemez. Onlar toplum adına hareket eden geçici yetkililerdir. 

Meselenin tek başına toplumsal güvenlikle ilgili olmadığı da açık. Burada tesis edilen güvenlik, siyasal ve ekonomik iktidarların kendi güçlerinin güvenliğidir. Başka bir deyişle iktidarın denetimsizliğinin güvencesidir.

Güvenlik gerekçesiyle sınırlarını genişleten, halkın denetiminden kaçan ve küresel şirketlerle kapalı kapılar ardında hizalanan bir iktidar pratiği, doğrudan bir egemenlik meselesidir.