Siber Saldırı Sonrası Fidye, Veri Kaybı ve İş Durması Zararlarını Sigorta Karşılar mı? 2026 Güncel Rehber

Siber saldırı sonrasında ödenen fidye, veri kurtarma giderleri ve işletmenin faaliyetlerinin durması nedeniyle oluşan zararlar, poliçede ilgili siber risk teminatları bulunuyorsa sigorta şirketinden talep edilebilir. Ancak standart iş yeri, elektronik cihaz veya sorumluluk sigortaları bütün siber zararları otomatik olarak karşılamaz.

Fidye yazılımı, veri şifreleme, kişisel veri ihlali, sistem kesintisi ve siber dolandırıcılık birbirinden farklı risklerdir. Her zarar kaleminin poliçede ayrıca tanımlanmış olması gerekebilir. Özellikle fidyenin sigorta şirketinden önceden onay alınmadan ödenmesi, yaptırım kontrolü yapılmaması veya saldırıdan sonra dijital delillerin silinmesi tazminat talebini olumsuz etkileyebilir.

Siber Sigorta Hangi Zararları Karşılayabilir?

Siber sigortanın kapsamı poliçeden poliçeye değişir. Geniş kapsamlı bir siber risk poliçesinde şu zararlar teminat altına alınabilir:

• Fidye yazılımı saldırısı
• Siber şantaj ve fidye bedeli
• Fidye müzakere giderleri
• Dijital adli bilişim incelemesi
• Zararlı yazılım temizleme giderleri
• Veri kurtarma ve yeniden oluşturma masrafları
• Sistemleri yeniden kurma giderleri
• İş durması ve brüt kâr kaybı
• Ek çalışma giderleri
• Bulut hizmeti veya üçüncü taraf sistem kesintisi
• Kişisel veri ihlali inceleme giderleri
• İlgili kişilere bildirim giderleri
• Hukuki danışmanlık ve savunma masrafları
• Halkla ilişkiler ve kriz yönetimi giderleri
• Üçüncü kişilerin tazminat talepleri
• Çağrı merkezi ve kimlik izleme giderleri

Poliçede yalnızca veri sorumluluğu teminatının bulunması, fidye veya iş durması zararlarının da karşılanacağı anlamına gelmez. Poliçe cetvelindeki her teminat, limit ve muafiyet ayrı ayrı incelenmelidir.

Fidye Bedelini Sigorta Şirketi Öder mi?

Fidye bedelinin karşılanabilmesi için poliçede “siber şantaj”, “fidye yazılımı”, “cyber extortion” veya benzeri bir teminat bulunmalıdır. Ayrıca sigorta şirketinin olaydan hemen haberdar edilmesi ve ödeme öncesinde yazılı onayının alınması gerekebilir.

Sigortalının saldırganla doğrudan görüşerek ve sigorta şirketine haber vermeden fidye ödemesi, ödeme talebinin reddedilmesine yol açabilir. Birçok poliçede müzakerelerin sigorta şirketinin görevlendirdiği uzman ekip tarafından yürütülmesi öngörülür.

Fidye ödemesi bakımından şu hususlar araştırılır:

• Saldırganın kimliği
• Ödemenin yaptırım veya yasak listelerini ihlal edip etmediği
• Terörün finansmanı veya suç gelirlerinin aklanması riski
• Fidye ödemesinin hukuken gerçekleştirilebilir olup olmadığı
• Verilerin başka şekilde kurtarılıp kurtarılamayacağı
• Yedeklerin güvenli ve kullanılabilir olup olmadığı
• Talep edilen kripto para miktarı
• Ödeme yapılmasının saldırıyı sona erdirip erdirmeyeceği
• Sigorta şirketinin ön onayı
• Poliçedeki fidye alt limiti

Poliçede fidye teminatı bulunması, her fidye talebinin mutlaka ödeneceği anlamına gelmez. Hukuka aykırı, yaptırım riski taşıyan veya kamu düzenine aykırı bir ödeme sigorta kapsamında değerlendirilmeyebilir.

Fidye Ödenmesi Verilerin Geri Geleceğini Garanti Eder mi?

Hayır. Fidye ödenmesi, saldırganın şifre çözme anahtarını teslim edeceğini veya çalınan verileri yayımlamayacağını garanti etmez. Teslim edilen anahtarın çalışmaması ya da veri kurtarma sürecinin aylar sürmesi mümkündür.

Bu nedenle fidye ödeme kararı yalnızca saldırganın talebine göre verilmemelidir. Dijital adli bilişim, hukuk, kriz yönetimi ve sigorta uzmanları birlikte değerlendirme yapmalıdır.

Fidye ödemesi yapılsa bile veri kurtarma, sistem temizleme ve iş durması zararları devam edebilir. Poliçede ilgili teminatlar varsa bu giderler ayrıca talep edilebilir.

Veri Kaybı Tazminatı Nasıl Hesaplanır?

Sigorta şirketi genellikle verinin soyut veya ticari değerini doğrudan ödemez. Verilerin yedeklerden geri yüklenmesi, yeniden oluşturulması ve sistemlerin saldırı öncesindeki işlevsel durumuna getirilmesi için gereken makul giderler değerlendirilir.

Veri kurtarma kapsamında şu giderler talep edilebilir:

• Adli bilişim uzmanı ücretleri
• Yedeklerin incelenmesi
• Şifre çözme ve veri kurtarma çalışmaları
• Zararlı yazılım temizliği
• Sunucu ve sistemlerin yeniden kurulması
• Veri tabanının yeniden yapılandırılması
• Bozulan dosyaların kurtarılması
• Geçici teknik altyapı giderleri
• Uzman yazılım ve lisans giderleri
• Fazla mesai ve dış hizmet maliyetleri

Saldırı öncesinden daha gelişmiş bir sistem kurulmasının bütün maliyeti sigorta kapsamında olmayabilir. Sigorta şirketi, yalnızca saldırı öncesindeki işlevsel seviyeye dönüş için gerekli bedelden sorumlu olduğunu ileri sürebilir.

Poliçede donanım hasarı teminatı bulunmuyorsa kullanılamaz hâle gelen fiziksel cihazların yenilenmesi ayrıca tartışma konusu olabilir.

Yedekleme Yapılmamışsa Sigorta Ödeme Yapar mı?

Poliçe başvurusunda düzenli ve çevrim dışı yedekleme yapıldığı beyan edilmişse sigorta şirketi bu beyanın doğruluğunu inceleyebilir. Yedekleme sisteminin hiç bulunmaması veya uzun süredir çalışmaması ret ya da kesinti gerekçesi olarak ileri sürülebilir.

Ancak sigorta şirketi yalnızca “yedek yok” diyerek otomatik olarak bütün tazminatı reddedemez. Poliçedeki beyanlar, koruyucu önlemler, ihlalin zarara etkisi, sigortalının kusuru ve saldırının niteliği birlikte değerlendirilmelidir.

Yedeklerin bulunmasına rağmen saldırganın bu yedekleri de şifrelemesi hâlinde yedekleme sistemi tamamen yok sayılmaz. Yedeklerin ağdan ayrılmış, şifreli ve düzenli olarak test edilmiş olması önemlidir.

İş Durması ve Kâr Kaybı Sigortadan Alınabilir mi?

Siber saldırı nedeniyle üretim, satış, ödeme, rezervasyon veya müşteri hizmetleri sistemlerinin çalışmaması durumunda iş durması zararı oluşabilir. Bu zararın karşılanabilmesi için poliçede “siber iş durması”, “network interruption” veya benzeri teminat bulunmalıdır.

İş durması hesabında şu unsurlar incelenir:

• Sistemlerin çalışmadığı süre
• İşletmenin tamamen veya kısmen durması
• Geçmiş dönem cirosu
• Poliçedeki brüt kâr oranı
• Devam eden sabit giderler
• Tasarruf edilen değişken giderler
• Fazla mesai ve geçici sistem giderleri
• Poliçedeki bekleme süresi
• Azami tazminat dönemi
• İş durması alt limiti
• Sezonluk satış değişiklikleri
• Kesin siparişler ve sözleşmeler

Kaybedilen cironun tamamı doğrudan tazminat olarak ödenmez. Poliçedeki brüt kâr tanımı ve tasarruf edilen giderler dikkate alınarak sigortalanabilir zarar hesaplanır.

Bekleme Süresi Siber İş Durması Tazminatını Nasıl Etkiler?

Siber iş durması teminatlarında çoğunlukla belirli bir bekleme süresi bulunur. Bu süre 8, 12, 24 veya 72 saat gibi farklı biçimde düzenlenebilir.

Örneğin poliçede 12 saat bekleme süresi varsa kısa süreli sistem kesintileri teminat dışında kalabilir. Kesinti 48 saat sürmüşse ilk 12 saatin mi tamamen hariç tutulacağı, yoksa süre aşıldığında kaybın başlangıçtan itibaren mi hesaplanacağı poliçe hükmüne göre belirlenir.

Sigorta şirketi poliçede bulunmayan bir bekleme süresini uygulayamaz. Kesintinin başlangıç ve bitiş saatleri sistem loglarıyla ispatlanmalıdır.

Bulut Hizmeti veya Yazılım Firması Çökerse Zarar Karşılanır mı?

İşletmenin kendi sistemlerine saldırı yapılmamış olsa bile bulut hizmeti, veri merkezi, ödeme kuruluşu veya kritik yazılım sağlayıcısının siber saldırıya uğraması işletmeyi durdurabilir.

Bu zararların karşılanabilmesi için poliçede bağımlı iş durması, tedarikçi sistemi kesintisi veya “contingent business interruption” teminatının bulunması gerekebilir.

Poliçede hangi hizmet sağlayıcıların kapsama alındığı, isimsiz tedarikçi teminatı bulunup bulunmadığı ve kesintinin siber saldırıdan kaynaklanmasının şart olup olmadığı incelenmelidir. Genel internet veya telekomünikasyon kesintileri her zaman siber poliçe kapsamında değildir.

KVKK İhlali Meydana Gelirse Ne Yapılmalıdır?

Siber saldırı sonucunda kişisel verilerin yetkisiz kişiler tarafından elde edilmesi hâlinde 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki bildirim yükümlülükleri gündeme gelebilir.

Kişisel Verileri Koruma Kurulunun güncel uygulamasında veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır. İhlalden etkilenen kişiler belirlendikten sonra bu kişilere de makul olan en kısa sürede bildirim yapılması gerekir. Ayrıntılı usul, Kurulun kişisel veri ihlali bildirimi kararında açıklanmaktadır.

72 saat içinde bütün bilgilerin elde edilememesi durumunda bildirim aşamalı olarak tamamlanabilir. Süreye uyulamamışsa gecikmenin haklı gerekçeleri açıklanmalıdır.

KVKK bildirimi için sigorta şirketinin incelemesinin tamamlanması beklenmemelidir. Sigorta bildirimi ile yasal veri ihlali bildirimi birbirinden farklı süreçlerdir.

KVKK İdari Para Cezasını Siber Sigorta Karşılar mı?

Kişisel veri ihlali nedeniyle uygulanan idari para cezalarının sigortalanabilir olup olmadığı poliçe hükümleri ve kamu düzeni kuralları bakımından ayrıca değerlendirilir. Birçok siber poliçe, idari para cezalarını tamamen kapsam dışında bırakabilir veya yalnızca hukuken sigortalanmasına izin verilen ölçüde teminat sağlayabilir.

Sigorta şirketi cezanın kendisini ödemese bile poliçeye göre şu giderleri karşılayabilir:

• KVKK incelemesine hazırlık giderleri
• Hukuki danışmanlık ücretleri
• Savunma giderleri
• Adli bilişim raporları
• Veri ihlali bildirim maliyetleri
• İlgili kişilere yapılacak bildirim giderleri
• Kriz iletişimi masrafları

Poliçede “regulatory fines and penalties” ifadesinin bulunması, bütün idari cezaların otomatik olarak ödeneceği anlamına gelmez.

Sosyal Mühendislik ve Sahte Ödeme Talimatı Siber Sigortaya Girer mi?

Sahte e-posta, taklit edilmiş yönetici talimatı veya değiştirilmiş IBAN nedeniyle yapılan para transferleri her zaman standart siber sigorta kapsamında değildir.

Bu zararlar için sosyal mühendislik, fon transfer dolandırıcılığı, bilgisayar suçu veya emniyeti suistimal teminatı gerekebilir. Veri ihlali teminatı ile banka hesabından para çalınması teminatı birbirinden farklıdır.

Poliçede ilgili ek teminat bulunmuyorsa sigorta şirketi, sistemlere izinsiz erişim gerçekleşmiş olsa bile transfer edilen parayı ödemeyi reddedebilir.

Sigorta Şirketi Hangi Gerekçelerle Ödemeyi Reddedebilir?

Siber sigorta dosyalarında şu ret gerekçeleriyle karşılaşılabilir:

• Poliçede fidye veya iş durması teminatının bulunmaması
• Saldırının poliçe başlangıcından önce başlamış olması
• Bilinen güvenlik açığının bildirilmemesi
• Çok faktörlü kimlik doğrulamanın kullanılmaması
• Kritik güncellemelerin yapılmaması
• Yedekleme beyanının gerçeğe aykırı olması
• Sigorta şirketinden onay alınmadan fidye ödenmesi
• Dijital delillerin silinmesi
• Çalışan veya yönetici kötü niyeti
• Savaş veya devlet destekli saldırı istisnası
• Yaptırım uygulanan kişiye ödeme yapılması
• Bekleme süresinin aşılmaması
• İş durması ile saldırı arasında illiyet bulunmaması
• Poliçe limitinin tükenmesi

Ret gerekçesinin poliçede açık bir karşılığı bulunmalıdır. Sigorta şirketinin genel bir “yetersiz siber güvenlik” açıklamasıyla bütün zararı reddetmesi her durumda yeterli değildir.

Siber Saldırıdan Sonra Hangi Adımlar Atılmalıdır?

Siber saldırının fark edilmesinden sonra şu işlemler gecikmeden yapılmalıdır:

1. Etkilenen sistemler kontrollü biçimde izole edilmelidir.
2. Sigorta şirketinin acil müdahale hattına bildirim yapılmalıdır.
3. Dijital adli bilişim uzmanı görevlendirilmelidir.
4. Loglar, fidye notları ve e-posta kayıtları korunmalıdır.
5. Sistemler deliller alınmadan silinmemeli veya formatlanmamalıdır.
6. Savcılık veya siber suçlarla mücadele birimlerine başvuru değerlendirilmelidir.
7. KVKK bildirim yükümlülüğü analiz edilmelidir.
8. Fidye ödemesi öncesinde yazılı sigorta onayı alınmalıdır.
9. İş durması başlangıç ve bitiş saatleri kaydedilmelidir.
10. Bütün giderler fatura ve ödeme belgeleriyle ispatlanmalıdır.

İlk saatlerde yapılan hatalı müdahale, saldırının kaynağının ve gerçek zarar miktarının belirlenmesini güçleştirebilir.

Siber Sigorta Tazminatı Eksik Ödenirse Ne Yapılabilir?

Sigorta şirketinden eksper veya inceleme raporu, iş durması hesabı ve bütün kesinti gerekçeleri yazılı olarak istenmelidir. Bağımsız siber güvenlik uzmanı, adli bilişim uzmanı ve mali müşavirden karşı rapor alınabilir.

Poliçedeki fidye, veri kurtarma, olay müdahalesi, iş durması ve üçüncü kişi sorumluluğu limitleri ayrı ayrı incelenmelidir. Bazı poliçelerde bu teminatlar ayrı görünmesine rağmen tek bir toplam yıllık limite bağlı olabilir.

Sigorta şirketine yazılı ek ödeme başvurusu yapılmasına rağmen sonuç alınamazsa poliçenin ve uyuşmazlığın özelliklerine göre Sigorta Tahkim Komisyonuna veya görevli mahkemeye başvurulabilir. Ticari para alacağı davalarında dava şartı arabuluculuk hükümleri de değerlendirilmelidir.

Ankara, İstanbul, İzmir, Mersin ve Bursa gibi teknoloji, üretim, lojistik ve ticaret faaliyetlerinin yoğun olduğu şehirlerde siber saldırılar işletmelerin günlerce veya aylarca çalışamamasına neden olabilmektedir. FFK PARTNER HUKUK VE DANIŞMANLIK tarafından incelenen siber sigorta dosyalarında teknik olay müdahalesi ile hukuki bildirim süreçlerinin birlikte yürütülmesi önem taşımaktadır. Av. Arb. Fırat Fesih Kaya, fidye ödemesi yapılmadan önce poliçe onayı, yaptırım kontrolü ve dijital delil güvenliğinin sağlanması gerektiğine dikkat çekmektedir.

Sıkça Sorulan Sorular (SSS)

1. Siber saldırıda ödenen fidyeyi sigorta karşılar mı?

Poliçede siber şantaj veya fidye teminatı varsa, sigorta şirketinin ön onayı ve hukuka uygunluk şartlarıyla karşılanabilir.

2. Sigorta şirketine haber vermeden fidye ödenirse ne olur?

Ön onay şartının ihlal edildiği ileri sürülerek ödeme reddedilebilir. Fidye ödemeden önce sigorta şirketi bilgilendirilmelidir.

3. Şifrelenen verilerin kurtarma giderleri ödenir mi?

Poliçede veri kurtarma teminatı bulunuyorsa makul ve gerekli uzmanlık giderleri karşılanabilir.

4. Yedekleme yapılmamışsa tazminat reddedilir mi?

Her durumda otomatik ret sonucu doğmaz. Poliçe beyanları, kusur ve yedek eksikliğinin zarara etkisi incelenir.

5. Siber saldırı nedeniyle oluşan ciro kaybının tamamı ödenir mi?

Hayır. Poliçedeki brüt kâr tanımı, bekleme süresi, gider tasarrufları ve limitler dikkate alınır.

6. Bulut hizmeti kesilirse iş durması tazminatı alınabilir mi?

Poliçede bağımlı iş durması veya üçüncü taraf hizmet sağlayıcı teminatı varsa mümkün olabilir.

7. KVKK bildirimi için sigorta şirketinin raporu beklenir mi?

Hayır. Veri sorumlusu, ihlali öğrendikten sonra yasal bildirim süresini bağımsız olarak takip etmelidir.

8. KVKK idari para cezasını sigorta öder mi?

Her durumda ödemez. Poliçedeki istisnalar ve cezanın hukuken sigortalanabilir olup olmadığı incelenir.

9. Sahte e-posta nedeniyle yapılan para transferi siber sigortaya girer mi?

Standart siber teminat yeterli olmayabilir. Sosyal mühendislik veya fon transfer dolandırıcılığı teminatı gerekebilir.

10. Siber sigorta şirketi tazminatı reddederse ne yapılabilir?

Ret gerekçesi ve poliçe maddesi istenerek bağımsız raporla itiraz edilebilir; sonuç alınamazsa Sigorta Tahkim Komisyonuna veya görevli mahkemeye başvurulabilir.

Bu makale genel bilgilendirme amaçlı olup, herhangi bir hak kaybına uğramamak adına kendi özel durumunuz için avukatınıza danışmanızı tavsiye ederiz.

Uzman Hukuki Destek

Hak kaybı yaşamamak için uzman desteği şarttır. Ankara, İstanbul ve İzmir başta olmak üzere Türkiye genelinde hizmet veren siber sigorta ve sigorta hukuku alanında uzman avukat ile çalışarak haklarınızı güvence altına alabilirsiniz. Fidye yazılımı, veri kaybı, KVKK ihlali, siber iş durması ve eksik sigorta tazminatı uyuşmazlıklarında FFK Partner Hukuk ve Danışmanlık olarak profesyonel hukuki destek sunuyoruz.

Hemen Ara: 0312 434 22 22
WhatsApp: 0532 769 22 22
E-posta: ffk@ffkpartnerhukuk.com.tr
Adres: Mevlana Bulvarı No:221, Yıldırım Tower, Balgat, Çankaya / Ankara