ABD Özel Şirketlere Siber Operasyon Yetkisi Verdi

Beyaz Saray'ın gerekçesi tek bir rakama dayanıyor: 2025'te ABD vatandaşlarının siber suçlara kaptırdığı 20,8 milyar dolar. 12 Ağustos 2026'da imzalanan başkanlık muhtırası, denetimden geçmiş özel şirketlere yabancı suç ağlarına karşı saldırgan siber operasyon yetkisi verdi. Bu yazıda muhtıranın kapsamı, denetim yapısı, uluslararası hukuk tartışması ve Türkiye'nin izlediği farklı yol ele alınıyor.

Beyaz Saray Muhtırası Neyi Değiştiriyor?

Muhtıra, Ulusal Koordinasyon Merkezi'ne (NCC) yeni bir program kurma görevi veriyor. Beyaz Saray'ın yayımladığı resmi metinde politika, siber suçla mücadelede özel sektörün yenilikçi kapasitesi dahil ulusal gücün bütün araçlarının kullanılması biçiminde tanımlanıyor. Programa kabul edilen firmalar "Katılımcı Şirketler" başlığı altında toplanıyor ve yalnızca federal hükümetin yönlendirmesi, kontrolü ve gözetimi altında hareket edebiliyor.

Hedef tanımı dar tutulmuş durumda: yurt dışından faaliyet gösteren, siber destekli ulusötesi suç örgütleri. Mayer Brown'ın hukuk değerlendirmesine göre belgeye bir Beyaz Saray bilgi notu ve gizli bir ek eşlik ediyor. Düzenlemenin dayanağı, 6 Mart 2026 tarihli 14390 sayılı Başkanlık Kararnamesi olarak gösteriliyor.

Asıl kırılma yetkinin niteliğinde. Devlet dışı bir aktörün, devlet adına ve sınır ötesinde saldırgan siber eylem yürütmesi ilk kez resmi bir programa bağlanmış oluyor.

Hack Back Nedir ve Neden Tartışılıyor?

Hack back, saldırıya uğrayan tarafın savunmada kalmayıp saldırganın altyapısına doğru harekete geçmesi anlamına geliyor. Amerikan hukukunda yetkisiz bilgisayar erişimini suç sayan düzenlemeler, alanı on yılı aşkın süredir özel sektöre kapalı tutuyordu. Şirketler saldırganı izleyebiliyor, kanıt toplayabiliyor, ama karşı tarafın sistemine dokunamıyordu.

Muhtıranın gerekçesi bu yasağın maliyeti üzerine kuruluyor. Tech Times'ta yayımlanan habere göre Amerikalıların 2025'te siber destekli suçlara verdiği kayıp 20,8 milyar doları aştı ve yönetimin tezi, kolluk kuvvetlerinin erişilemeyen yargı bölgelerinden çalışan örgütlerin hızına yetişemediği yönünde.

İtiraz da aynı yerden geliyor. Saldırganlar genellikle ele geçirdikleri üçüncü taraf sunucular üzerinden çalışıyor. Karşı harekete geçen bir şirket, suç örgütünün değil, o örgütün kurbanı olmuş bir hastanenin veya lojistik firmasının altyapısına zarar verebiliyor. Yanlış atıf riski teknik bir ayrıntı değil, doğrudan hukuki sorumluluk doğuran bir olasılık.

Program Hangi Denetim Mekanizmasına Bağlı?

Yetki serbest bırakılmış değil, katmanlı bir onay zincirine bağlanmış durumda. Benton Institute'un derlemesine göre program, İç Güvenlik Görev Gücü'nün Ulusal Koordinasyon Merkezi tarafından kuruluyor ve Adalet Bakanlığı ile İç Güvenlik Bakanlığı'ndan birer yürütme direktörü tarafından yönetiliyor.

Sıralama şöyle işliyor: operasyon önerisi şirketten geliyor, onay devletten çıkıyor. Katılımcı şirketlerin diğer özel kuruluşlarla ve federal, eyalet, yerel, kabile ile bölge düzeyindeki kurumlarla anlaşma yaparak suç örgütlerine ilişkin tehdit bilgisi toplaması ve buna dayalı operasyon önermesi teşvik ediliyor.

Gizli ekin varlığı ise şeffaflık tarafında bir boşluk bırakıyor. Hangi şirketin programa kabul edildiği, hangi operasyonun onaylandığı ve sınırların nerede çizildiği kamuya kapalı kalıyor. Denetimin işleyip işlemediği, dışarıdan doğrulanamayan bir alanda kanıtlanacak.

Siber Korsan Mektubu Benzetmesi Doğru mu?

Tartışmada en sık kurulan benzetme, devletlerin özel gemilere düşman ticaretini vurma izni verdiği korsan mektuplarına uzanıyor. Control Systems Security'de yayımlanan değerlendirmede muhtıra, terimin aktif bir devlet programına ilk uygulanışı olarak okunuyor. Aynı yazıda, Kongre'de bekleyen asıl yasal aracın Senatör Mike Lee'nin 15 Temmuz 2026'da sunduğu S. 5000 sayılı Cyber Letters of Marque and Reprisal Act olduğu, Temsilciler Meclisi'ndeki karşılığını ise Tim Burchett'in verdiği belirtiliyor.

Benzetmenin sınırı da var. Wiley'nin analizinde muhtıranın, 2018 tarihli NSPM-13'ün saldırgan siber operasyonlar için kurduğu inceleme ve onay sürecini birçok yönden yankıladığı aktarılıyor. Fark, yetkinin askeri komuta zincirine değil ticari güvenlik firmalarına açılmasında.

Korsan mektubunda operatörün statüsü savaş hukukunca tanımlıydı. Siber alanda böyle bir tanım yok. Katılımcı şirketin çalışanı, bir çatışma durumunda hangi hukuki kategoriye girecek sorusu şimdilik yanıtsız duruyor.

ABD ve Türkiye Modeli Arasındaki Fark Nedir?

Türkiye aynı yaz döneminde ters yöne gitti. KS Avukatlık'ın değerlendirmesine göre 3 Temmuz 2026'da TBMM Başkanlığı'na sunulan teklif, Genel Kurul'un 24 Temmuz 2026 tarihli birleşiminde kabul edildi. 5809, 7545, 5651 ve 2559 sayılı kanunlarda yapılan değişikliklerle internet alan adı yönetimi, internet altyapısının yönetimi ile iletişimin tespiti ve analizi Siber Güvenlik Başkanlığı çatısı altında toplandı.

Dayanak, 19 Mart 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu. Kanun, gerekli onay ve yetkiler alınmadan siber güvenlik faaliyetinde bulunmayı suç sayıyor ve bir yıldan on beş yıla kadar hapis cezası öngörüyor. Kritik altyapı kapsamındaki kurumlar, siber güvenlik ürün ve hizmetlerini yalnızca Başkanlıkça yetkilendirilmiş sağlayıcılardan tedarik edebiliyor.

İki yaklaşım arasındaki mesafe tabloya dökülünce netleşiyor.

Yapay zeka tarafındaki düzenleme arayışı da benzer merkezi refleksi taşıyor. Deepfake ve yapay zeka kanunu tartışmasında da yetki ve acil müdahale araçları tek elde toplanmış durumda.

Kurumlar İçin Somut Riskler Neler?

Program ABD merkezli görünse de etkisi ulusal sınırlarda kalmıyor. Türkiye'de faaliyet gösteren bir şirketin sunucusu, yurt dışındaki bir suç örgütünün ele geçirdiği altyapı zincirinin parçasıysa, onaylı bir operasyonun yan etkisi doğrudan o şirkete yansıyabilir. Böyle bir durumda kimin sorumlu tutulacağı, hangi mahkemenin yetkili olacağı ve tazminatın nasıl işleyeceği belirsiz.

İkinci risk sözleşmelerde birikiyor. Siber güvenlik hizmeti alan kurumların, tedarikçilerinin böyle bir programa katılıp katılmadığını sorması gereken bir dönem başlıyor. Programa dahil bir sağlayıcı, müşterisinin altyapısını istemeden bir devlet operasyonunun görünür yüzeyi haline getirebilir.

Saldırı yüzeyinde ise ayrı bir katman büyüyor. Etik filtrelerinden arındırılmış zararlı yapay zeka modelleri suç örgütlerinin operasyon hızını artırırken, savunma tarafında da benzer araçlar devreye giriyor. OpenAI'nin siber güvenlik testleri sırasında modellerin izole ortamdan çıkması, otomatikleşen operasyonların denetim sorununu zaten görünür kılmıştı. Kurumsal tarafta yapay zeka güvenliği başlığı artık yalnızca model korumasını değil, yetki sınırlarının kimde olduğunu da kapsıyor.

Topluluk Ne Düşünüyor?

Digital Journal'da yayımlanan değerlendirmede muhtıranın siber güvenlik topluluğunda hem ilgi hem endişe yarattığı aktarılıyor. Tartışma iki hat üzerinde yürüyor.

Destekleyenler: Kolluk kuvvetlerinin hızıyla suç örgütlerinin hızı arasındaki makasın kapanmadığını savunuyorlar. Onlara göre olay müdahale ekipleri, adli süreç tamamlanana kadar altyapının çoktan taşındığını görüyor. Özel sektörün teknik kapasitesi ve reaksiyon süresi bu boşluğu doldurabilir.

Eleştirenler: Yetkinin kar amaçlı kuruluşlara açılmasının teşvik yapısını bozduğunu söylüyorlar. Ölçütü operasyon sayısı olan bir program, temkinli davranan şirketi değil agresif davrananı ödüllendirir. Misilleme sarmalı ve devletlerin kendi özel operatörlerini yetkilendirmesi de sıkça dile getirilen sonuç.

İki taraf da aynı gerçeği farklı okuyor: devletin tek başına yetişemediği konusunda anlaşıyor, çözümün kimde olduğu konusunda ayrışıyorlar.

Sıkça Sorulan Sorular

Muhtıra özel şirketlere kimin sistemine saldırma izni veriyor? Yalnızca yurt dışından faaliyet gösteren, siber destekli ulusötesi suç örgütlerine. Hedef tanımı yabancı suç ağlarıyla sınırlı tutulmuş durumda ve devlet aktörlerini kapsamıyor. Operasyonlar federal hükümetin yönlendirmesi, kontrolü ve gözetimi altında yürütülüyor.

Programa hangi şirketler katılabiliyor? Denetimden geçmiş ABD müteahhitleri katılabiliyor. Seçim ve yetkilendirme süreci Ulusal Koordinasyon Merkezi tarafından yönetiliyor, operasyonlar Adalet Bakanlığı ile İç Güvenlik Bakanlığı onayına bağlı. Kabul kriterlerinin ayrıntısı muhtıraya eşlik eden gizli ekte yer alıyor.

Bu düzenleme Türkiye'deki şirketleri etkiler mi? Dolaylı olarak etkileyebilir. Suç örgütleri sıklıkla ele geçirdikleri üçüncü taraf sunucular üzerinden çalıştığı için, onaylı bir operasyonun yan etkisi bu zincire dahil olmuş bir Türk şirketinin altyapısına yansıyabilir. Sorumluluk ve tazminat rejimi henüz tanımlı değil.

Siber korsan mektubu ne anlama geliyor? Devletin özel bir aktöre, düşman hedeflerine karşı harekete geçme izni vermesi anlamına gelen tarihsel bir benzetme. Kongre'de bekleyen S. 5000 sayılı tasarı bu çerçeveyi yasal zemine oturtmayı hedefliyor. Muhtıra ise tasarıyı beklemeden yürütme yetkisiyle programı başlatıyor.

Türkiye'de bir şirket kendi başına karşı saldırı yapabilir mi? Yapamıyor. 7545 sayılı Siber Güvenlik Kanunu, gerekli onay ve yetkiler alınmadan siber güvenlik faaliyetinde bulunmayı suç olarak tanımlıyor ve bir yıldan on beş yıla kadar hapis cezası öngörüyor. Yetki Siber Güvenlik Başkanlığı'nda toplanmış durumda.

Programın ilk operasyonlarının ne zaman yürütüleceği ve sonuçlarının ne kadarının kamuya açılacağı henüz belli değil. Gizli ekin varlığı, değerlendirmenin uzun süre eksik verilerle yapılacağını gösteriyor. Kongre'deki S. 5000 sayılı tasarının akıbeti ise muhtıranın kalıcı bir çerçeveye mi dönüşeceğini yoksa yönetim değişikliğiyle birlikte geri mi alınacağını belirleyecek.