トルコの新しいサイバーセキュリティ法第7545号：適用範囲、原則、そして外国企業への影響

トルコ初の独立したサイバーセキュリティ法である第7545号は、2025年3月19日から施行されています。本法はサイバーセキュリティを国家安全保障の一部として位置づけ、単一の規制当局に権限を集約し、外国企業に対しては設立地ではなくトルコのサイバー空間における活動内容を基準として適用されます。本ガイドでは、適用対象者、基本原則、新設されたサイバーセキュリティ庁、外国資本の企業に課される義務、そして最上位の行政制裁金区分（法制定時には1億トルコリラと設定。トルコリラ建ての制裁金額は定期的に再評価されるため、最新額をご確認ください）または年間総売上高の5％に達する刑事罰・行政罰について解説します。

第7545号法とは何か、なぜ重要なのか

第7545号法（Siber Güvenlik Kanunu）は2025年3月12日に採択され、官報（第32846号）に掲載された2025年3月19日に施行されました。これはトルコ初の包括的かつ独立したサイバーセキュリティ法です。

第7545号法の制定前、サイバーセキュリティは寄せ集めの規律の中に存在していました。すなわち、分野別のルール、散在する下位規則、トルコ刑法（第5237号法、TCK第243条〜第246条）のコンピューター犯罪に関する条文、そして個人データ保護法第6698号（KVKKKVKK個人データ保護法（第6698号）トルコのデータ保護法——個人データの収集・保管・移転の規律と、それを執行する当局。用語集 →）に基づくデータ保護制度です。新法は政策立案、監督、執行を単一の国家当局の下に集約し、サイバーセキュリティを国家安全保障と不可分の一部として枠づけています。

外国投資家にとって重要な点はその適用範囲です。義務はトルコ資本の企業にとどまりません。本法は、トルコのサイバー空間において活動し、サービスを提供し、または存在を有する外国の自然人および法人に対して明示的に適用されます。

本法は貴社に適用されるか

第7545号法における基準は、国籍や設立地ではなく、トルコのサイバー空間における活動と存在です。トルコに事業所を持たない外国企業であっても、トルコのネットワーク、利用者、またはデータに関わる場合には適用対象となり得ます。以下の表を第一次的な判断材料としてご利用いただき、その上で正確な立場については弁護士にご確認ください。

本法は、公的機関、公的機関としての地位を有する専門職団体、個人、ならびにサイバー空間で活動する法人および法人格なき団体を対象としています。市場参入や組織再編を検討している場合、当事務所のチームは、コンプライアンスを初日から組み込む形でトルコ法人の設立や組織構築についてご助言できます。

15の重要インフラ分野

重要インフラに関連する企業は、本法上最も広範な義務を負います。サイバーセキュリティ委員会は2026年5月5日に重要インフラ分野を正式に指定しました。15の分野は次のとおりです。

• デジタルインフラ
• デジタルサービス
• 電子通信
• エネルギー
• 金融
• 食料・農業
• 製造
• 公共サービス
• メディア・危機コミュニケーション
• 郵便・貨物
• 保健
• 防衛産業
• 水管理
• 運輸
• 宇宙

本法の背後にある基本原則

第7545号法の諸原則は、規制当局がより詳細なルールをどのように解釈する可能性が高いかを示しています。それらには以下が含まれます。

• 国家安全保障：サイバーセキュリティはトルコの国家安全保障と不可分のものとして扱われます。
• 制度化と持続可能性：セキュリティは、その場しのぎで対応するのではなく、組織構造とプロセスに組み込まれなければなりません。
• 国産・国内的解決策：国内で開発され、認可された製品およびサービスの利用が奨励されます。
• 責任の共有：エコシステム内のすべての主体が、その保護について責任を負います。
• 法の支配と基本的権利：措置は適法かつ比例的であり、プライバシーを尊重するものでなければなりません。

プライバシーおよび基本的権利に関する原則は、KVKK（第6698号法）およびトルコ憲法上の保護と重なり合います。実務上、サイバーセキュリティのコンプライアンスと個人データのコンプライアンスは一体的に運用すべきです。この重なりについては、KVKK（第6698号法）のデータ保護制度が貴社に与える影響に関するガイドで説明しており、トルコが新興技術をどのように規制しているかという広い視点もご覧いただけます。

サイバーセキュリティ庁とサイバーセキュリティ委員会

本制度は、大統領令第177号により2025年1月8日に設立され、大統領府に直属する国家当局であるサイバーセキュリティ庁（Siber Güvenlik Başkanlığı）の下に置かれています。トルコ初のサイバーセキュリティ長官は2025年10月24日に任命され、憲法裁判所は2025年6月3日に第177号令に対する異議申立てを退けたため、本機関の地位は確固たるものとなっています。

その上位には、戦略と政策を定めるサイバーセキュリティ委員会（Siber Güvenlik Kurulu）があり、大統領（大統領が出席しない場合は副大統領）が議長を務めます。同庁の権限には、次の事項が含まれます。

• 規制上の行為、基準、ならびに拘束力のある技術的・行政的要件を定めること。
• 対象事業者に対する検査および監査を実施すること。
• 行政上の制裁および制裁金を科すこと。
• サイバーセキュリティ製品、サービス、人員を認可・認証すること。
• 重要インフラを特定し、それらに固有の義務を設定すること。

実務上の帰結として調達ルールがあります。すなわち、公的機関および重要インフラ運用者は、同庁が認可または認証した製品およびサービスのみを使用しなければなりません。外国のベンダーは、この認可経路をあらかじめ想定し、取締役会レベルの戦略に織り込んでおくべきです。サイバーセキュリティが取引の構造や投資リスクに影響を及ぼす場合、当事務所のチームは外国投資家向けの会社法およびM&Aに関する助言を提供します。

企業にとっての主な義務

義務は分野および重要インフラとしての地位に応じて調整されますが、対象組織は次のような中核的義務を想定しておくべきです。

• インシデント通知：サイバーインシデントおよび脆弱性を遅滞なく同庁に報告すること（法定義務は適用されますが、具体的な書式、閾値、期限は下位規則の制定を待っています）。
• セキュリティ措置：リスクに比例した技術的・行政的保護措置を実施し維持すること。
• 監査への協力：システムを検査可能な状態に保ち、任命された検査官に必要なアクセス、インフラ、情報を提供すること。
• 認可製品の使用：公的機関および重要インフラについては、同庁が認可したサイバーセキュリティ製品およびサービスのみを調達すること。
• ガバナンス：文書化された方針と明確な説明責任をもって、サイバーセキュリティを取締役会レベルのリスク監督に組み込むこと。

制裁：刑事罰と行政制裁金

第7545号法は、その義務を刑事罰と行政制裁金の双方によって裏付けているため、違反は重大なリスクとなります。刑事犯罪は第16条に規定されており、トルコ刑法（第5237号法、第243条〜第246条）に既存のコンピューター犯罪と併存します。

第16条に基づく刑事犯罪

第16条はまた、これらの刑を加重します。すなわち、行為者が公務員である場合は3分の1、犯罪が組織内で行われた場合は2分の1から2倍までの範囲で加重されます。正確な下位条文の番号付けおよび複数行為者の取扱いについては、依拠する前に現行法に照らしてご確認ください。

行政制裁金

同庁は段階的な行政制裁金を科すことができ、最も重い区分は重要インフラ違反に留保されています。以下のトルコリラの区分は法制定時に設定された金額です。トルコリラ建ての行政制裁金額は定期的に再評価されるため、依拠する前に最新額をご確認ください。

第7545号法とKVKKの関係

一つのサイバーインシデントが、二つの制度を同時に発動させることがあります。両者は別個の制度であり、規制当局も制裁金も別々であるため、同一の事象について両方の義務を負う場合があります。

攻撃によって顧客の個人データが露出した場合、異なるルールとスケジュールに基づき、サイバーセキュリティ庁とKVKK当局の双方に通知する必要が生じることがあります。両者を満たす単一のインシデント対応計画を構築してください。データ保護の側面については、KVKKコンプライアンスへの対応に関するガイドをご覧いただき、脅威の状況については、トルコにおけるサイバー犯罪の動向と防御戦略の概説をご参照ください。

今後予定されている事項と注視すべき点

枠組みは施行されていますが、運用上の詳細の大部分はまだ整っていません。コンプライアンスは変化し続ける対象として扱い、定期的に状況を再確認してください。

• 重要インフラのリスト：2026年5月5日に正式に指定されました（上記の15分野）。
• 同庁の情報発信：公式ウェブサイトが2026年5月14日に開設され、報告書式とセキュリティ速報が提供されています。
• 施行規則：閾値、報告書式、技術基準、監査手続を定める yönetmelik（規則）および tebliğ（通達）は、法の2026年3月19日の期限を過ぎた2026年半ば時点でも公表されていませんでした。
• 製品認証：サイバーセキュリティ製品の認可・認証経路は、より後の法定期限（2027年3月19日と報じられています）をもって開始される見込みです。外国のベンダーは早期に文書を準備すべきです。

外国企業が講じるべき備え

単一の執行力ある制度は、トルコに関わるあらゆる事業のコンプライアンスのあり方を変えます。実務上の第一歩は次のとおりです。

1. 貴社の活動と存在が適用範囲に該当するか、また15の重要インフラ分野のいずれかに関与しているかを評価する。
2. 第7545号法上の義務を、貴社のKVKK（第6698号法）プログラムおよび分野別規制のルールと突き合わせ、隙間を埋め、重複を避ける。
3. 同庁へ速やかに報告できるインシデント検知・通知プロセスを整備し、各通知の証拠を保持する。
4. 特に重要インフラに販売または運用している場合、認可製品要件について技術サプライチェーンおよび契約を見直す。
5. 売上高連動の制裁金と個人に対する刑事責任により、サイバーセキュリティはIT上の脚注ではなく戦略的リスクとなるため、文書化されたガバナンスとともに取締役会の議題に載せる。

第7545号法の下位規則はなお整備が進んでおり、結論は個別の事実関係によって左右されるため、一般的な指針に依拠する前に、トルコの弁護士が貴社の立場を検討すべきです。サイバーセキュリティ法が貴社のトルコにおける事業にどのように適用されるかについては、Lexin Legalにお問い合わせください。また、外国人・投資家向けの法務サービスの全容もご覧ください。

よくあるご質問