قانون تركيا الجديد للأمن السيبراني رقم 7545: النطاق والمبادئ وما يعنيه للشركات الأجنبية
دخل قانون الأمن السيبراني التركي رقم 7545، وهو أول تشريع مستقل للأمن السيبراني في البلاد، حيّز النفاذ منذ 19 مارس 2025. وهو يعامل الأمن السيبراني باعتباره جزءًا من الأمن القومي، ويُسند الإشراف إلى جهة تنظيمية واحدة، ويطال الشركات الأجنبية استنادًا إلى نشاطها داخل الفضاء السيبراني التركي، لا إلى مكان تأسيسها. يشرح هذا الدليل من يشمله القانون، والمبادئ الأساسية، ورئاسة الأمن السيبراني الجديدة، والالتزامات التي باتت تسري على الشركات المملوكة للأجانب، والعقوبات الجزائية والإدارية التي تبلغ أعلى شريحة للغرامة الإدارية (المحددة بمئة مليون ليرة تركية عند سنّ القانون؛ وتُعاد قيمة مبالغ الغرامات بالليرة دوريًا، لذا تحقق من الرقم الحالي) أو 5% من إجمالي إيرادات المبيعات السنوية.
ما هو القانون رقم 7545 ولماذا يهمّك
اعتُمد القانون رقم 7545 (Siber Güvenlik Kanunu) في 12 مارس 2025 ودخل حيّز النفاذ في 19 مارس 2025، وهو يوم نشره في الجريدة الرسمية (العدد 32846). وهو أول تشريع تركي شامل ومستقل للأمن السيبراني.
قبل القانون رقم 7545، كان الأمن السيبراني موزّعًا على منظومة مبعثرة: قواعد خاصة بكل قطاع، ولوائح ثانوية متفرقة، ومواد جرائم الحاسوب في قانون العقوبات التركي (القانون رقم 5237، المواد 243-246 من TCKTCKقانون العقوبات التركي رقم 5237القانون الذي يحدد الجرائم وعقوباتها في تركيا — ومنها الاحتيال وخيانة الأمانة والتزوير وغسل الأموال والجرائم المرتكبة في إطار نشاط تنظيم.المعجم →)، ونظام حماية البيانات بموجب قانون حماية البيانات الشخصية رقم 6698 (KVKKKVKKقانون حماية البيانات الشخصية رقم 6698قانون حماية البيانات في تركيا — قواعد جمع البيانات الشخصية وحفظها ونقلها، والهيئة التي تُنفّذها.المعجم →). أما القانون الجديد فيجمع رسم السياسات والإشراف والإنفاذ تحت سلطة وطنية واحدة، ويؤطّر الأمن السيبراني باعتباره جزءًا لا يتجزأ من الأمن القومي.
وبالنسبة للمستثمرين الأجانب، فإن النقطة الجوهرية هي مدى الشمول: فالالتزامات لا تقتصر على الشركات المملوكة لأتراك. ينص القانون صراحةً على انطباقه على الأشخاص الطبيعيين والاعتباريين الأجانب الذين يمارسون نشاطًا أو يقدّمون خدمات أو يحتفظون بوجود داخل الفضاء السيبراني التركي.
هل ينطبق القانون على شركتك؟
المعيار بموجب القانون رقم 7545 هو النشاط والوجود في الفضاء السيبراني التركي، لا الجنسية أو مكان التأسيس. فالشركة الأجنبية التي لا مكتب لها في تركيا قد تظل مشمولة إذا تعاملت مع شبكات أو مستخدمين أو بيانات تركية. استعمل الجدول أدناه كفرز أولي، ثم استعن بمحامٍ لتأكيد موقفك الدقيق.
| وضعك | الموقف المرجّح بموجب القانون رقم 7545 |
|---|---|
| تدير شركة تابعة أو فرعًا في تركيا يشغّل أنظمة معلوماتية | مشمول بصفتك كيانًا اعتباريًا خاضعًا للقانون |
| تبيع خدمات برمجية (SaaS) أو خدمات عبر الإنترنت لعملاء في تركيا | مشمول على الأرجح من خلال الوجود والنشاط في الفضاء السيبراني |
| تستضيف بيانات على خوادم موجودة في تركيا | مشمول على الأرجح |
| تُورّد أو تشغّل أنظمة لقطاع بنية تحتية حرجة (انظر أدناه) | مشمول، مع أثقل الالتزامات |
| تمارس فقط أنشطة استخباراتية أو عسكرية محددة خاضعة لقوانينها الخاصة | مستثنى من هذا النظام |
يشمل القانون المؤسسات العامة، والمنظمات المهنية ذات صفة المؤسسة العامة، والأفراد، والكيانات الاعتبارية وغير المسجَّلة النشطة في الفضاء السيبراني. وإذا كنت بصدد اتخاذ قرار بدخول السوق أو إعادة الهيكلة، فبإمكان فريقنا تقديم المشورة بشأن تأسيس أو هيكلة كيانك التركي بحيث يكون الامتثال مدمجًا منذ اليوم الأول.
قطاعات البنية التحتية الحرجة الخمسة عشر
تتحمل الشركات المرتبطة بالبنية التحتية الحرجة أوسع الالتزامات بموجب القانون. وقد حدّد مجلس الأمن السيبراني رسميًا قطاعات البنية التحتية الحرجة في 5 مايو 2026. والقطاعات الخمسة عشر هي:
- البنية التحتية الرقمية
- الخدمات الرقمية
- الاتصالات الإلكترونية
- الطاقة
- المال والتمويل
- الغذاء والزراعة
- الصناعة التحويلية
- الخدمات العامة
- الإعلام واتصالات الأزمات
- البريد والشحن
- الصحة
- الصناعة الدفاعية
- إدارة المياه
- النقل
- الفضاء
المبادئ الأساسية وراء القانون
تخبرك المبادئ الواردة في القانون رقم 7545 بالكيفية التي يُرجَّح أن تقرأ بها الجهة التنظيمية القواعد الأكثر تفصيلًا. وتشمل هذه المبادئ:
- الأمن القومي: يُعامَل الأمن السيبراني باعتباره جزءًا لا ينفصل عن الأمن القومي التركي.
- المأسسة والاستدامة: يجب أن يُدمَج الأمن في الهياكل والعمليات لا أن يُعالَج بصورة ارتجالية.
- الحلول المحلية والوطنية: يُشجَّع استخدام المنتجات والخدمات المطوَّرة محليًا والمرخَّصة.
- المسؤولية المشتركة: كل فاعل في المنظومة مسؤول عن حمايتها.
- سيادة القانون والحقوق الأساسية: يجب أن تبقى التدابير مشروعة ومتناسبة ومحترمة للخصوصية.
تتقاطع مبادئ الخصوصية والحقوق الأساسية مع قانون KVKK (القانون رقم 6698) والحمايات المنصوص عليها في الدستور التركي. ومن الناحية العملية، ينبغي أن تدير امتثال الأمن السيبراني وامتثال البيانات الشخصية معًا. ونشرح هذا التداخل في دليلنا حول كيف يؤثر نظام حماية البيانات KVKK (القانون رقم 6698) على شركتك، ويمكنك الاطلاع على الصورة الأوسع بشأن كيف تنظّم تركيا التقنيات الناشئة.
رئاسة الأمن السيبراني ومجلس الأمن السيبراني
يخضع النظام لسلطة وطنية هي رئاسة الأمن السيبراني (Siber Güvenlik Başkanlığı)، التي أُنشئت بموجب المرسوم الرئاسي رقم 177 في 8 يناير 2025 وترتبط مباشرةً برئاسة الجمهورية. وقد عُيّن أول مدير للأمن السيبراني في تركيا في 24 أكتوبر 2025، ورفضت المحكمة الدستورية الطعن في المرسوم رقم 177 في 3 يونيو 2025، فبات الجهاز راسخًا في مكانه.
ويعلوها مجلس الأمن السيبراني (Siber Güvenlik Kurulu)، الذي يرأسه رئيس الجمهورية (ويرأسه نائب الرئيس عند غياب الرئيس)، والذي يضع الاستراتيجية والسياسة. وتشمل صلاحيات الرئاسة سلطة:
- إصدار الأنظمة والمعايير والمتطلبات التقنية والإدارية الملزمة؛
- إجراء عمليات التفتيش والتدقيق على الكيانات الخاضعة؛
- فرض الجزاءات والغرامات الإدارية؛
- ترخيص واعتماد منتجات وخدمات وكوادر الأمن السيبراني؛
- تحديد البنى التحتية الحرجة ووضع التزامات خاصة بها.
ومن النتائج العملية قاعدة المشتريات: يجب على المؤسسات العامة ومشغّلي البنية التحتية الحرجة استخدام المنتجات والخدمات المرخَّصة أو المعتمدة من الرئاسة فقط. وينبغي للموردّين الأجانب التخطيط مسبقًا لمسار الترخيص هذا، وإدراجه ضمن الاستراتيجية على مستوى مجلس الإدارة. وحيثما يؤثر الأمن السيبراني في بنية الصفقة أو مخاطر الاستثمار، يقدّم فريقنا استشارات الشركات وعمليات الاندماج والاستحواذ للمستثمرين الأجانب.
الالتزامات الرئيسية للشركات
تُعاير الالتزامات وفقًا للقطاع ولصفة البنية التحتية الحرجة، لكن على المنظمات الخاضعة أن تتوقع مجموعة أساسية منها:
- الإبلاغ عن الحوادث: الإبلاغ عن الحوادث والثغرات السيبرانية إلى الرئاسة دون تأخير (الالتزام القانوني قائم؛ أما الصيغة والحدود والمهل الدقيقة فتنتظر اللائحة الثانوية).
- التدابير الأمنية: تطبيق واستدامة ضمانات تقنية وإدارية متناسبة مع المخاطر.
- التعاون في التدقيق: إبقاء الأنظمة متاحة للتفتيش ومنح المفتشين المعيَّنين ما يحتاجونه من وصول وبنية تحتية ومعلومات.
- استخدام المنتجات المرخَّصة: على الجهات العامة والبنية التحتية الحرجة اقتناء منتجات وخدمات الأمن السيبراني المرخَّصة من الرئاسة فقط.
- الحوكمة: ترسيخ الأمن السيبراني ضمن الرقابة على المخاطر على مستوى مجلس الإدارة، مع سياسات موثَّقة ومساءلة واضحة.
العقوبات: الأحكام الجزائية والغرامات الإدارية
يدعم القانون رقم 7545 التزاماته بأحكام جزائية وغرامات إدارية معًا، فعدم الامتثال يشكّل تعرّضًا خطيرًا. وتقع الجرائم الجزائية في المادة 16 وتسري إلى جانب جرائم الحاسوب القائمة في قانون العقوبات التركي (القانون رقم 5237، المواد 243-246).
الجرائم الجزائية بموجب المادة 16
| الفعل | العقوبة |
|---|---|
| رفض أو إعاقة تقديم ما هو مطلوب من معلومات أو مستندات أو برمجيات أو بيانات أو أجهزة للسلطات/المفتشين | السجن من 1 إلى 3 سنوات + غرامة قضائية من 500 إلى 1500 يوم |
| ممارسة نشاط خاضع للتنظيم دون الترخيص المطلوب | السجن من 2 إلى 4 سنوات + غرامة قضائية من 1000 إلى 2000 يوم |
| الإخلال بالتزامات السرية | السجن من 4 إلى 8 سنوات |
| الحصول غير المشروع على بيانات الخدمات العامة الحرجة أو تسريبها أو إفشاؤها | السجن من 3 إلى 5 سنوات |
| شنّ هجوم سيبراني على عناصر القوة السيبرانية الوطنية | السجن من 8 إلى 12 سنة |
| الاحتفاظ بالبيانات المتحصّلة من مثل هذا الهجوم أو نقلها أو بيعها | السجن من 10 إلى 15 سنة |
كما تشدّد المادة 16 هذه العقوبات: بمقدار الثلث إذا كان الجاني موظفًا عامًا، وبما بين النصف والضعف إذا ارتُكبت الجريمة داخل تنظيم. وينبغي التحقق من ترقيم البنود الفرعية الدقيق ومن معاملة تعدّد الجناة استنادًا إلى النص الحالي للقانون قبل الاعتماد عليه.
الغرامات الإدارية
يمكن للرئاسة فرض غرامات إدارية متصاعدة، مع تخصيص أثقل الشرائح لانتهاكات البنية التحتية الحرجة. والمبالغ بالليرة التركية أدناه هي القيم المحددة عند سنّ القانون؛ وتُعاد قيمة أرقام الغرامات الإدارية بالليرة دوريًا، لذا تحقق من الأرقام الحالية قبل الاعتماد عليها:
| الانتهاك | الغرامة |
|---|---|
| الأفراد المخلّون بواجب التعاون في التفتيش | 100,000 - 1,000,000 ليرة تركية (وفق ما سُنّ) |
| الانتهاكات العامة للواجبات القانونية | 1,000,000 - 10,000,000 ليرة تركية (وفق ما سُنّ) |
| انتهاكات واجبات البنية التحتية الحرجة | 10,000,000 - 100,000,000 ليرة تركية (وفق ما سُنّ) |
| الشركات التجارية التي تعيق التدقيق / تخلّ بواجباتها تجاه المفتشين | حتى 5% من إجمالي إيرادات المبيعات السنوية |
كيف يتموضع القانون رقم 7545 إلى جانب KVKK
قد يفعّل حادث سيبراني واحد نظامين في آنٍ معًا. وهما نظامان منفصلان، لكلٍّ منهما جهة تنظيمية وغرامات مستقلة، لذا قد تتحمّل واجبات بموجبهما معًا عن الحدث ذاته.
| القانون رقم 7545 (الأمن السيبراني) | القانون رقم 6698 (KVKK) | |
|---|---|---|
| يحمي | الفضاء السيبراني والأمن القومي | البيانات الشخصية والخصوصية |
| الجهة التنظيمية | رئاسة الأمن السيبراني | هيئة حماية البيانات الشخصية (KVKK) |
| المُفعِّل النموذجي | حادث سيبراني أو هجوم أو إخفاق في التدقيق | انتهاك بيانات شخصية أو معالجة غير مشروعة |
| الإنفاذ | أحكام جزائية + غرامات إدارية (حتى 5% من رقم الأعمال) | غرامات إدارية + تعرّض جزائي منفصل بموجب TCK |
حيثما يكشف هجوم بيانات العملاء الشخصية، قد تحتاج إلى إخطار رئاسة الأمن السيبراني وهيئة KVKK، وفق قواعد ومواعيد مختلفة. ضع خطة استجابة واحدة للحوادث تفي بكليهما. وللجانب الخاص بحماية البيانات، اطّلع على دليلنا حول التعامل مع امتثال KVKK، ولمشهد التهديدات، انظر نظرتنا العامة على اتجاهات الجريمة السيبرانية واستراتيجيات الدفاع في تركيا.
ما الذي لا يزال قادمًا وما ينبغي متابعته
الإطار ساري المفعول، لكن جزءًا كبيرًا من التفاصيل التشغيلية ليس كذلك. تعامل مع الامتثال باعتباره هدفًا متحركًا وأعد التحقق من الوضع بانتظام.
- قائمة البنية التحتية الحرجة: حُدّدت رسميًا في 5 مايو 2026 (القطاعات الخمسة عشر أعلاه).
- حضور الرئاسة: أُطلق الموقع الرسمي في 14 مايو 2026، مع نماذج الإبلاغ والنشرات الأمنية.
- اللوائح التنفيذية: اللائحة (yönetmelik) والبلاغ (tebliğ) اللذان يحددان الحدود وصيغ الإبلاغ والمعايير التقنية وإجراءات التدقيق لم يُنشرا حتى منتصف 2026، بعد تجاوز مهلة القانون في 19 مارس 2026.
- اعتماد المنتجات: يُتوقّع فتح مسار الترخيص/الاعتماد لمنتجات الأمن السيبراني، مع أفق قانوني لاحق (أُشير إليه بـ19 مارس 2027)؛ وينبغي للموردّين الأجانب إعداد الوثائق مبكرًا.
كيف ينبغي للشركات الأجنبية أن تستعد
يغيّر وجود نظام واحد قابل للإنفاذ صورة الامتثال لأي شركة مرتبطة بتركيا. خطوات عملية أولى:
- قيِّم ما إذا كان نشاطك ووجودك يدخلانك ضمن النطاق، وما إذا كنت تتعامل مع أحد قطاعات البنية التحتية الحرجة الخمسة عشر.
- قابِل واجبات القانون رقم 7545 مع برنامجك الخاص بـKVKK (القانون رقم 6698) وأي قواعد جهات تنظيمية قطاعية، لسدّ الثغرات وتفادي الازدواجية.
- أنشئ عملية كشف وإبلاغ عن الحوادث قادرة على الإبلاغ إلى الرئاسة فورًا، واحتفظ بأدلة على كل إخطار.
- راجِع سلسلة توريد التقنية والعقود بحثًا عن متطلب المنتج المرخَّص، لا سيما إن كنت تبيع للبنية التحتية الحرجة أو تشغّلها.
- ضع الأمن السيبراني على جدول أعمال مجلس الإدارة بحوكمة موثَّقة، لأن الغرامات المرتبطة برقم الأعمال والتعرّض الجزائي الشخصي يجعلانه مخاطرة استراتيجية لا هامشًا تقنيًا.
ولأن اللائحة الثانوية بموجب القانون رقم 7545 لا تزال قيد التطوّر ولأن النتائج تتوقف على وقائع كل حالة، ينبغي أن يراجع محامٍ تركي موقفك قبل الاعتماد على أي إرشاد عام. تواصل مع Lexin Legal لمناقشة كيف ينطبق قانون الأمن السيبراني على عملياتك في تركيا، واستكشف مجموعتنا الكاملة من الخدمات القانونية للأجانب والمستثمرين.
الأسئلة الشائعة
متى دخل قانون الأمن السيبراني التركي رقم 7545 حيّز النفاذ؟
اعتُمد القانون رقم 7545 في 12 مارس 2025 ودخل حيّز النفاذ في 19 مارس 2025، وهو يوم نشره في الجريدة الرسمية (العدد 32846). وهو أول تشريع تركي مخصَّص وشامل للأمن السيبراني. ولا يزال كثير من التفاصيل التشغيلية متوقفًا على لائحة ثانوية لم تُنشر بعد حتى منتصف 2026.
هل ينطبق القانون رقم 7545 على الشركات الأجنبية؟
نعم، احتمالًا. ينطبق القانون استنادًا إلى النشاط والوجود في الفضاء السيبراني التركي لا إلى الجنسية. فالشركة الأجنبية التي تخدم عملاء أتراكًا أو تستضيف بيانات في تركيا أو تدير عمليات مرتبطة بشبكات تركية قد تقع ضمن النطاق، وتكون الالتزامات أثقل ما تكون على الشركات المرتبطة بقطاعات البنية التحتية الحرجة الخمسة عشر المحددة.
ما هي رئاسة الأمن السيبراني؟
رئاسة الأمن السيبراني (Siber Güvenlik Başkanlığı) هي الجهة التنظيمية الوطنية، وقد أُنشئت بموجب المرسوم الرئاسي رقم 177 في 8 يناير 2025 وترتبط برئاسة الجمهورية. وهي تصدر القواعد والمعايير، وتجري عمليات التفتيش، وتفرض الغرامات، وترخّص منتجات وخدمات الأمن السيبراني، وتحدد البنى التحتية الحرجة. ويعلوها مجلس الأمن السيبراني الذي يرأسه رئيس الجمهورية.
ما هي العقوبات بموجب قانون الأمن السيبراني؟
تحدد المادة 16 أحكامًا جزائية تتراوح من سنة إلى ثلاث سنوات (رفض تقديم المعلومات المطلوبة للمفتشين، مع غرامة قضائية) وصولًا إلى 8 حتى 12 سنة للهجوم السيبراني على القوة السيبرانية الوطنية، و10 حتى 15 سنة للاحتفاظ بالبيانات المتحصّلة من مثل هذا الهجوم أو نقلها أو بيعها. وتتراوح الغرامات الإدارية من 100,000 ليرة تركية للأفراد إلى 100,000,000 ليرة تركية لانتهاكات البنية التحتية الحرجة (وهذه هي المبالغ بالليرة المحددة عند سنّ القانون؛ وتُعاد قيمتها دوريًا، لذا تحقق من الأرقام الحالية)، وحتى 5% من إجمالي إيرادات المبيعات السنوية حين تعيق شركة تجارية عملية تدقيق.
ما علاقة القانون رقم 7545 بقانون حماية البيانات في تركيا؟
هما نظامان منفصلان لكن متداخلان، لكلٍّ منهما جهة تنظيمية وغرامات مستقلة. وينبغي إدارة واجبات الأمن السيبراني بموجب القانون رقم 7545 جنبًا إلى جنب مع واجبات البيانات الشخصية بموجب قانون حماية البيانات الشخصية رقم 6698 (KVKK). فقد يفعّل حادث واحد كليهما، وفق قواعد ومواعيد مختلفة، لذا يُستحسن إدارة خطة استجابة منسّقة واحدة للحوادث.
هل صدرت اللوائح التنفيذية بموجب القانون رقم 7545 بعد؟
ليس بالكامل. حُددت قائمة البنية التحتية الحرجة المؤلفة من 15 قطاعًا رسميًا في 5 مايو 2026 وأُطلق موقع الرئاسة في 14 مايو 2026، لكن اللوائح والبلاغات التفصيلية التي تحدد الحدود وصيغ الإبلاغ وإجراءات التدقيق لم تُنشر حتى منتصف 2026، بعد تجاوز مهلة القانون في 19 مارس 2026. ولأن هذا المجال سريع التغيّر، ينبغي أن تتحقق من الوضع الراهن قبل الاعتماد عليه.
