Danıştay 13. Daire E.2020/1363 K.2024/1940

Dava konusu istem: Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği'nin 35. maddesinin 1. ve 3. fıkrasına aykırı olarak, Aralık-2015 döneminde gerçekleşen DDOS ataklarına karşı yeterli önlemlerin alınmaması sonucunda kurumsal abonelere sunulan internet erişim hizmetlerinde kesintiler yaşandığının tespit edildiğinden bahisle,

davacı şirket hakkında Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin 19. maddesinin birinci fıkrası uyarınca 2014 yılı net satış tutarının % 0,02 (onbinde iki)'si oranında idari para cezası verilmesine ilişkin... tarih ve ... sayılı Bilgi Teknolojileri ve İletişim Kurulu (Kurul) kararının 9. maddesinin, söz konusu karar uyarınca düzenlenen idari para cezası karar tutanağı ve tahakkuk fişi ile Kurul kararına karşı yapılan itirazın zımnen reddine ilişkin işlemin iptali istenilmiştir.

İlk Derece Mahkemesi kararının özeti: ...İdare Mahkemesi'nce verilen ... tarih ve E:..., K:... sayılı kararda; dava konusu işlemin, davacı şirketin DDOS (dağıtık hizmet durdurma saldırıları) ataklarına karşı alması gereken tedbirlerin ne olduğu konusunda somut bir gerekçe ortaya koyulmadan tesis edildiği, dava dosyasına da davacının söz konusu saldırılara karşı hangi tedbirleri almayarak internet erişim hizmetinde kesinti yaşanmasına neden olduğuna dair somut bir bilgi ve belge sunulmadığı, salt davacıdan internet hizmeti alan kullanıcıların internet hizmetlerinin kesintiye uğraması nedeniyle davacının DDOS ataklarına karşı gerekli tedbirleri almadığı sonucuna ulaşıldığı anlaşıldığından, dava konusu işlemde hukuka uygunluk bulunmadığı sonucuna varılmıştır.

Belirtilen gerekçelerle hukuka aykırı bulunan dava konusu işlemin iptaline karar verilmiştir.

Bölge İdare Mahkemesi kararının özeti: ... Bölge İdare Mahkemesi.... İdari Dava Dairesi'nce; istinaf başvurusuna konu İdare Mahkemesi kararının usul ve hukuka uygun olduğu ve davalı tarafından ileri sürülen iddiaların söz konusu kararın kaldırılmasını sağlayacak nitelikte görülmediği belirtilerek 2577 sayılı İdari Yargılama Usulü Kanunu'nun 45. maddesinin 3. fıkrası uyarınca istinaf başvurusunun reddine karar verilmiştir.

TEMYİZ EDENİN İDDİALARI

Davalı idare tarafından, siber güvenliğe ilişkin önlemlerin alınmadığının ve internet erişim hizmetlerinde kesintiler yaşandığının tutanaklarla tespit edildiği, hangi tedbirlerin alınması gerektiğinin ortaya konulmamasının ihlâlin varlığını ortadan kaldırmayacağı, gerçekleştirilen DDOS ataklarına karşı birçok önlemin alınabileceği, nitekim çeşitli savunmaların geliştirilebileceği, personel takviyesi sağlanabileceği, nihai olarak önemli olanın siber güvenliğin sağlanması olduğu, tedbirlerin ne olduğunun tek tek sayılmasının gelişen teknoloji kapsamında mümkün bulunmadığı,

bu konuda gerek ulusal gerekse uluslararası platformlarda tartışılan güncel tehdit ve önlemleri takip edebilecekleri gibi Kurul bünyesinde kurulan ve 7/24 esasına göre çalışan USOM'dan destek almalarının da mümkün olduğu ileri sürülmektedir.

KARŞI TARAFIN SAVUNMASI

Davacı tarafından, bünyelerinde kurulu olan SOME tarafından siber güvenliğe ilişkin gerekli tüm tedbirlerin eksiksiz olarak yerine getirildiği, aksaklık olarak ifade edilen durumun, hiçbir şekilde DDOS saldırısı kaynaklı olmadığı, kurumların kendi kusurlarından kaynaklandığı, bahsi geçen dört kurum/şirketten ikisinin saldırı esnasında kendilerinden DDOS atak koruma hizmeti dahi almadığı, bu şirketlerin, saldırı anında müşterileri olmadığı hâlde şirket yetkilileriyle yapılan görüşmeler sonucunda ilgili şirketlere koruma sağlandığı, idarenin işletmecilerin alması gereken önlemleri somutlaştırmadığı,

davalı idarenin dava konusu idari para cezasını gerektiren fiilin hizmet kesintisi olduğunu ifade etmesine rağmen mevzuatta hizmet kesintisi için getirilen yaptırım yerine siber güvenlik ve haberleşme güvenliğine ilişkin yaptırım maddelerinin uygulandığı belirtilerek istemin reddi gerektiği savunulmuştur.

DANIŞTAY TETKİK HÂKİMİ ...'İN DÜŞÜNCESİ

Temyiz isteminin reddi ile usul ve yasaya uygun olan Bölge İdare Mahkemesi kararının onanması gerektiği düşünülmektedir.

TÜRK MİLLETİ ADINA

Karar veren Danıştay Onüçüncü Dairesi'nce, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:

HUKUKİ DEĞERLENDİRME

Bölge idare mahkemesi kararlarının temyizen bozulması, 2577 sayılı İdari Yargılama Usulü Kanunu'nun 49. maddesinde yer alan sebeplerden birinin varlığı hâlinde mümkündür. Temyizen incelenen karar usul ve hukuka uygun olup, dilekçede ileri sürülen temyiz nedenleri kararın bozulmasını gerektirecek nitelikte görülmemiştir.