Що змінює Закон про кібербезпеку № 7545?

Цифровізація з кожним днем дедалі глибше проникає в наше життя, і так само швидко змінюються форма та масштаб кіберзагроз. Від державних установ до приватного сектору, від окремих людей до критичної інфраструктури — усі опинилися в невидимій війні: кібератаках.

Саме тому, щоб усебічно захистити цифрові активи Туреччини, Закон про кібербезпеку № 7545 було ухвалено Великими національними зборами Туреччини 12 березня 2025 року, а 19 березня 2025 року він набув чинності після опублікування в Офіційному віснику (Resmî Gazete, № 32846).

Чому цей закон важливий?

• Тому що він безпосередньо впливає не лише на державні установи, а й на організації приватного сектору та окремих людей
  .
• Тому що сьогодні кіберзагрози спрямовані не лише на інформаційні системи, а й на національну безпеку, громадський порядок і економічну стабільність
  .
• І тому що без захисту «кібербатьківщини»
  Туреччини цифрова трансформація не може бути сталою.

У цій статті про Закон про кібербезпеку № 7545 ми розглянемо:

• з яких причин його ухвалено,
• на які організації і як він впливає,
• які зобов’язання він запроваджує,
• і на що слід звернути увагу — просто, чітко та переконливо.

В останньому розділі ми покажемо, як можна виконати вимоги цього нового регулювання і де отримати експертну підтримку.

Мета закону та основні принципи

Одна з найпомітніших рис Закону про кібербезпеку № 7545 полягає в тому, що він, виходячи за межі «технічного регулювання», переносить політику національної безпеки в цифровий простір. Основна мета, чітко визначена в першій статті закону, — захистити всі елементи, що становлять національну силу Турецької Республіки в кіберпросторі, від наявних і потенційних загроз.

Основні цілі:

• мінімізувати вплив кіберінцидентів,
• забезпечити безпеку критичної інфраструктури,
• посилити спроможність кібероборони за допомогою стратегій і політик,
• забезпечити координацію між усіма зацікавленими сторонами,
• створити механізм ухвалення рішень найвищого рівня шляхом заснування Ради з кібербезпеки.

Основні принципи, на яких ґрунтується закон:

Цей закон запроваджує не лише технічні норми, а й ціннісну основу. Ось кілька ключових принципів:

• Частина національної безпеки
  : Кібербезпеку тепер визначено не лише як питання інформаційних технологій, а як невід’ємний елемент національної безпеки
  .
• Пріоритет критичної інфраструктури
  : Інфраструктура в таких сферах, як енергетика, транспорт, охорона здоров’я та фінанси, виходить на перший план як активи, що потребують особливого захисту.
• Безперервність і сталість
  : Заходи не є тимчасовими; в основі лежать сталі політики, які постійно вдосконалюються.
  
  Пріоритет вітчизняної продукції
  : У програмному забезпеченні, обладнанні та послугах за можливості заохочуються вітчизняні рішення
  .
• Верховенство права та приватність
  : Усі заходи мають застосовуватися з дотриманням основних прав і свобод
  .
  
  Обізнаність суспільства
  : Кібербезпека — справа не лише технічних фахівців. Закон також має на меті сформувати в цій сфері культуру в масштабах усього суспільства
  .

Важлива примітка:

Закон чітко визначає, що частиною цієї культури мають бути не лише організації, а й окремі люди. Тому і для бізнесу, і для громадян знання з кібербезпеки стають не розкішшю, а необхідністю.

Інституційна структура: Управління та Рада з кібербезпеки

Закон № 7545 розглядає кібербезпеку не лише як технічне питання, а і як сферу інституційної відповідальності. У його межах запроваджено нову потужну структуру: Управління з кібербезпеки та його найвищий орган ухвалення рішень — Рада з кібербезпеки.

Управління з кібербезпеки

Управління з кібербезпеки, створене з набуттям чинності закону, є центральною установою інфраструктури кібероборони Туреччини. Завдання Управління охоплюють широкий спектр:

• формувати політики кібербезпеки для державних установ і критичної інфраструктури,
• збирати й аналізувати розвідувальні дані про кіберзагрози,
• проводити або замовляти тестування вразливостей, тестування на проникнення та аналіз ризиків,
• створювати команди реагування на кіберінциденти (SOME) і здійснювати нагляд за ними,
• проводити сертифікацію, тестування та документальне підтвердження продуктів і послуг у сфері кібербезпеки,
• здійснювати перевірки та за потреби застосовувати санкції.

Управління задумане не лише як наглядовий орган, а і як структура, що спрямовує та підтримує. У цих межах державним установам також можуть надаватися захищені системи та послуги хостингу.

Рада з кібербезпеки

Рада — це орган, де ухвалюються стратегічні рішення найвищого рівня. У раді, яка збирається під головуванням Президента, представлені багато міністерств і безпекових установ — від внутрішніх справ до оборони. До її завдань належить:

• визначати стратегію кібербезпеки в масштабах країни,
• класифікувати сектори критичної інфраструктури,
• визначати напрями розвитку людських ресурсів і заохочення,
• розв’язувати можливі конфлікти повноважень і завдань між державними установами.

За потреби Рада може створювати комісії та робочі групи для проведення детальної технічної роботи.

Структура SOME

Закон також зобов’язує організації створювати SOME (команди реагування на кіберінциденти). Рівень зрілості цих команд буде визначено, їх перевірятимуть під час навчань і підтримуватимуть через міжнародну координацію. Мета — сформувати здатність швидше та ефективніше реагувати на атаки.

Хто відповідає? Які зобов’язання запроваджуються?

Закон про кібербезпеку № 7545 чітко визначає, що за цифрову безпеку безпосередньо відповідають не лише державний сектор, а й приватний сектор і навіть окремі люди. Тому закон покладає низку зобов’язань на всіх суб’єктів, які підпадають під його дію. Для організацій, пов’язаних із критичною інфраструктурою, ці обов’язки особливо чіткі та обов’язкові.

На кого поширюється закон?

• державні установи та організації,
• професійні організації зі статусом публічних установ,
• приватні компанії та підприємства,
• організації без статусу юридичної особи.

Ці організації підпадають під нагляд і зобов’язання за цим законом тією мірою, якою вони діють у кіберпросторі.

Запроваджені зобов’язання

• Обмін даними та документами:
  Будь-які дані, документи та інформація про системи, яких вимагає Управління, мають надаватися першочергово та своєчасно.
• Повідомлення про кіберінциденти:
  Про кіберінциденти або вразливості, виявлені у сферах, де організації надають послуги, слід негайно повідомляти Управління з кібербезпеки.
• Використання вітчизняної продукції:
  Продукти для критичної інфраструктури потрібно закуповувати в осіб або компаній, уповноважених Управлінням.
• Документальне підтвердження та сертифікація:
  Усі компанії, що працюють у сфері кібербезпеки, мають у визначений строк пройти процедури авторизації, затверджені Управлінням. Діяльність тих, хто не завершить цей процес, може бути зупинено.
• Обов’язок зберігати таємницю:
  Усю інформацію, персональні дані та комерційну таємницю, отримані під час виконання обов’язків, заборонено передавати неуповноваженим особам і організаціям.

Кримінальні санкції

Санкції за порушення закону мають дуже стримувальний характер. Основні з них:

• До осіб і організацій, які не надають інформацію, документи або обладнання на вимогу Управління, може бути застосовано позбавлення волі на строк від 1 до 3 років і судовий штраф
  .
• Для тих, хто діє без передбаченого законом схвалення, повноважень або дозволу, — позбавлення волі на строк від 2 до 4 років
  .
• За порушення обов’язку зберігати таємницю — позбавлення волі на строк від 4 до 8 років
  .
• Для тих, хто спричинив витік даних або поширює неправдиві заяви про витік, — позбавлення волі на строк від 3 до 5 років
  .
• Тим, хто не виконує обов’язків щодо критичної інфраструктури, може бути призначено адміністративний штраф від 1 мільйона до 10 мільйонів турецьких лір
  , а в окремих випадках до 100 мільйонів турецьких лір
  .

Невиконання зобов’язань може спричинити не лише кримінальні санкції, а й адміністративні наслідки, як-от зупинення комерційної діяльності або обов’язкову зміну предмета діяльності компанії.

Рекомендації для організацій і окремих людей

Закон про кібербезпеку № 7545 уже набув чинності. Як організаціям і окремим людям підготуватися до цього нового періоду? Відповідність вимогам — це не лише юридичний обов’язок, а й основна умова збереження репутації бренду, довіри клієнтів і сталості в цифрову епоху.

Дорожня карта для організацій

• Проаналізуйте поточний стан:
  
  Визначте, на якому рівні кібербезпеки ви перебуваєте, які вразливості мають ваші системи, і складіть інвентаризацію.

• Створіть SOME або розвивайте наявні команди:
  
  Слід створити внутрішні команди SOME або посилити цю структуру за допомогою зовнішньої підтримки. Дуже важливо підготувати ці команди через навчання та тренування.
• Перейдіть на вітчизняні авторизовані продукти:
  
  Співпраця з постачальниками програмного забезпечення, обладнання та послуг, авторизованими Управлінням, обов’язкова як для відповідності вимогам, так і для безпеки.
• Перегляньте процеси документального підтвердження:
  
  Компанії, що працюють у сфері кібербезпеки, мають без зволікань завершити процеси сертифікації та документального підтвердження. Інакше можливі санкції, як-от зупинення діяльності або припинення юридичної особи.
• Запустіть програми навчання та підвищення обізнаності:
  
  Періодичне навчання для всього персоналу організації сприяє і відповідності закону, і формуванню кіберкультури.

Що мають робити окремі люди?

Хоча закон зосереджений на організаціях, поведінка людей у цифровому світі також безпосередньо впливає на рівень кібербезпеки. Тому окремі люди мають такі обов’язки:

• Використовувати надійні та унікальні паролі.
• Уникати підозрілих електронних листів і посилань.
• Свідомо ставитися до поширення персональних даних.
• Запитувати в постачальників цифрових послуг інформацію про їхні політики безпеки.

Відповідність закону — гарантія майбутнього

Закон № 7545 — серйозний крок для захисту цифрового майбутнього Туреччини. Проте успіх цього процесу залежить не лише від юридичних текстів, а й від ініціативи організацій і відповідальності окремих людей.

У цей новий період професійна підтримка в оцінюванні готовності вашої організації та створенні стратегічної дорожньої карти знижує юридичні ризики і дає вам конкурентну перевагу.

Щоб отримати детальний аналіз, консультації та супровід у впровадженні, зв’яжіться з нами через сторінку контактів.