AB Bilişim Hukuku Düzenlemeleri

NIS2 (Network and Information Security Directive 2) - Directive (EU) 2022/2555

Aktif

Yürürlükte: 16 Ocak 2023

İç hukuka aktarım / Uygulama (Üye Devletler): 18 Ekim 2024

Kuruluş listeleri (temel/önemli): 17 Nisan 2025

NIS2, kritik ve önemli sektörlerde siber risk yönetimi ve olay bildirimi yükümlülüklerini güçlendirir. Birçok Üye Devlette iç hukuka aktarım süreci gecikmeli ilerledi ve Komisyon ihlal süreçleri başlattı.

DORA (Digital Operational Resilience Act) - Regulation (EU) 2022/2554

Aktif

Yürürlükte: 16 Ocak 2023

Uygulama: 17 Ocak 2025

Finansal kuruluşlar ve kritik üçüncü taraf BT hizmet sağlayıcıları için operasyonel dayanıklılık, olay bildirimi, test ve üçüncü taraf risk yönetimi kuralları getirir.

CRA (Cyber Resilience Act) - Regulation (EU) 2024/2847

Kısmen Aktif (Aşamalı)

Yürürlükte: 10 Aralık 2024

Zafiyet/olay bildirim yükümlülükleri: 11 Eylül 2026

Genel uygulama: 11 Aralık 2027

Dijital bileşenlere sahip ürünler için siber güvenlik gereksinimleri ve üretici yükümlülükleri getirir. Uygulama aşamalıdır.

RED (Radio Equipment Directive) Siber Güvenlik Gereksinimleri - Delegated Regulation (EU) 2022/30

Aktif

Uygulama: 1 Ağustos 2025

Kablosuz/radyo ekipmanlarında (özellikle internet bağlantılı cihazlarda) siber güvenlik gereksinimlerini zorunlu kılar (RED Madde 3(3)(d)(e)(f) kapsamı).

CER (Critical Entities Resilience Directive) - Directive (EU) 2022/2557

Aktif

Yürürlükte: 16 Ocak 2023

İç hukuka aktarım / Uygulama (Üye Devletler): 18 Ekim 2024

Ulusal strateji: 17 Ocak 2026

Kritik kuruluşların belirlenmesi: 17 Temmuz 2026

Kritik altyapı/kuruluşların dayanıklılığını güçlendirmek ve aksatıcı olayların etkisini azaltmak için çerçeve oluşturur.

CSA (Cybersecurity Act) - Regulation (EU) 2019/881 + MSS genişlemesi (EU) 2025/37

Aktif

Yürürlükte: 27 Haziran 2019

CSA genişlemesi (Yönetilen Güvenlik Hizmetleri - MSS): 4 Şubat 2025

ENISA'yı güçlendirir ve AB genelinde siber güvenlik sertifikasyonu çerçevesi kurar. 2025'te yapılan değişiklik ile yönetilen güvenlik hizmetleri (MSS) kapsamı eklenmiştir.

Cyber Solidarity Act (Siber Dayanışma Yasası) - Regulation (EU) 2025/38

Aktif

Kabul: 19 Aralık 2024

Yayın: 15 Ocak 2025

Yürürlükte: 4 Şubat 2025

AB genelinde siber tehditleri tespit etmek, hazırlanmak ve yanıt vermek için Avrupa Siber Güvenlik Uyarı Sistemi, Siber Acil Durum Mekanizması ve Olay İnceleme Mekanizması öngörür.

Siber Güvenlik Önlemleri (AB Kurumları) - Regulation (EU, Euratom) 2023/2841

Aktif

Yürürlükte: 7 Ocak 2024

AB kurumları, organları ve ajansları için siber güvenlik risk yönetimi, olay bildirimi ve yönetişim gereklilikleri getirir.

GPSR (General Product Safety Regulation) - Regulation (EU) 2023/988

Aktif

Yürürlükte: 12 Haziran 2023

Uygulama: 13 Aralık 2024

Genel Ürün Güvenliği Direktifi (2001/95/EC) yerine geçer. Ürün izlenebilirliği, ürün geri çağırma süreçleri ve çevrimiçi pazar yerleri için ek yükümlülükler içerir.

Machinery Regulation - Regulation (EU) 2023/1230

Kısmen Aktif (Geçiş)

Yürürlükte: 19 Temmuz 2023

Genel uygulama: 20 Ocak 2027 (kademeli maddeler mevcut)

Makine emniyeti çerçevesini günceller ve bazı dijital/industrial security (siber güvenlik) unsurlarını dikkate alır. Genel uygulama tarihi 20 Ocak 2027'dir.

European Accessibility Act (EAA) - Directive (EU) 2019/882

Aktif

Uygulama: 28 Haziran 2025

Belirli ürün ve hizmetler için erişilebilirlik gereksinimleri getirir (ör. e-ticaret, bankacılık hizmetleri arayüzleri, e-kitaplar, biletleme vb. kapsamlar).

Data Act - Regulation (EU) 2023/2854

Aktif

Yürürlükte: 11 Ocak 2024

Uygulama: 12 Eylül 2025

AB'de adil veri erişimi ve kullanımı için kurallar belirler (IoT/bağlı ürün verileri, B2B ve B2G veri erişimi, bulut geçişi ve sözleşme şartları vb.).

DMA (Digital Markets Act) - Regulation (EU) 2022/1925

Aktif

Yürürlükte: 1 Kasım 2022

Uygulama: 2 Mayıs 2023

Dijital pazarlarda "gatekeeper" platformlar için rekabeti artırmaya yönelik yükümlülükler getirir.

DGA (Data Governance Act) - Regulation (EU) 2022/868

Aktif

Yürürlükte: 23 Haziran 2022

Uygulama: 24 Eylül 2023

AB genelinde veri paylaşımı için mekanizmalar oluşturur (veri aracılık hizmetleri, veri altruizmi, kamu sektörü verilerine erişim şartları vb.).

DSA (Digital Services Act) - Regulation (EU) 2022/2065

Aktif

Yürürlükte: 16 Kasım 2022

Genel uygulama: 17 Şubat 2024

Çevrimiçi aracılar, barındırma hizmetleri ve platformlar için içerik yönetişimi, şeffaflık ve risk azaltma yükümlülükleri getirir (VLOP/VLOSE için daha erken takvimler vardır).

P2B (Platform-to-Business) - Regulation (EU) 2019/1150

Aktif

Uygulama: 12 Temmuz 2020

Çevrimiçi aracı hizmetler ve arama motorları için iş kullanıcılarına karşı adil ve şeffaf şartlar getirmeyi hedefler.

PSD3 / PSR (Ödeme Hizmetleri Paketi) - COM(2023) 366/367

Yasama Süreci

Teklif: 28 Haziran 2023

Siyasi uzlaşı (Parlamento-Konseyi): 27 Kasım 2025

Sonraki adım: Resmi kabul ve yürürlük tarihleri (bekleniyor)

Ödeme hizmetleri çerçevesini modernize eder (dolandırıcılık önleme, açık bankacılık, tüketici koruması ve piyasa işleyişi). 27 Kasım 2025'te geçici uzlaşı sağlandı; nihai takvim resmi kabul metnine bağlıdır.

MiCA (Markets in Crypto-Assets) - Regulation (EU) 2023/1114

Aktif/Aşamalı

Yürürlükte: 29 Haziran 2023

Stablecoin kuralları: 30 Haziran 2024

CASP / tam uygulama: 30 Aralık 2024

AB genelinde kripto varlık piyasası için kapsamlı bir düzenleyici çerçeve sağlar; kripto varlık hizmet sağlayıcıları (CASP) için lisanslama ve işleyiş kuralları getirir.

Transfer of Funds / Travel Rule - Regulation (EU) 2023/1113

Aktif

Yürürlükte: 29 Haziran 2023

Uygulama: 30 Aralık 2024

Kripto varlık transferlerinde gönderici/alıcı bilgileri (Travel Rule) dahil olmak üzere, fon transferlerine ilişkin AML/CTF bilgi gereksinimlerini güçlendirir.

FiDA (Framework for Financial Data Access) - COM(2023) 360

Yasama Süreci

Teklif: 28 Haziran 2023

Konsey genel yaklaşımı: 4 Aralık 2024

Sonraki adım: Trilogue / resmi kabul (bekleniyor)

Açık finans yaklaşımını genişleterek tüketicilerin ödeme hesabı dışındaki finansal verilerini güvenli ve standart biçimde paylaşabilmesini hedefler.

Non-Personal Data Regulation - Regulation (EU) 2018/1807

Aktif

Yürürlükte: 18 Aralık 2018

Uygulama: 28 Mayıs 2019

Kişisel olmayan verilerin AB içinde serbest dolaşımını güvence altına alır ve haksız veri yerelleştirme gerekliliklerini sınırlar.

Open Data Directive - Directive (EU) 2019/1024

Aktif

Yürürlükte: 16 Temmuz 2019

İç hukuka aktarım: 17 Temmuz 2021

Kamu sektörü bilgilerinin yeniden kullanımı için ortak kurallar belirler ve açık veri kullanımını teşvik eder.

Interoperable Europe Act - Regulation (EU) 2024/903

Aktif/Aşamalı

Yürürlükte: 11 Nisan 2024

Uygulama: 12 Temmuz 2024

Bazı hükümler: 12 Ocak 2025

Kamu sektöründe sınır ötesi birlikte çalışabilirliği güçlendirmeyi hedefler; değerlendirme, yönetişim ve ortak çözümler mekanizmaları öngörür.

EHDS (European Health Data Space) - Regulation (EU) 2025/327

Kısmen Aktif (Aşamalı)

Yürürlükte: 26 Mart 2025

Ana uygulama: 26 Mart 2027 (kademeli)

Sağlık verilerinin birincil kullanımını (bakım) ve ikincil kullanımını (araştırma, inovasyon, politika) düzenleyen AB çapında bir çerçeve kurar; uygulama kademelidir.

AI Act - Regulation (EU) 2024/1689

Kısmen Aktif (Aşamalı)

Yürürlükte: 1 Ağustos 2024

Yasaklı uygulamalar + bazı hükümler: 2 Şubat 2025

GPAI kuralları: 2 Ağustos 2025

Genel uygulama: 2 Ağustos 2026

Bazı ürün güvenliği kapsamlı yüksek risk: 2 Ağustos 2027

Küresel çapta ilk kapsamlı yapay zeka düzenlemelerinden biridir. Not: Komisyon, Kasım 2025'te bazı yüksek risk takvimlerinde değişiklik/sadeleştirme önerileri ("Digital Omnibus") duyurmuştur; yürürlükteki tarihleri değiştirmesi için yasama süreci gerekir.

Product Liability Directive (Yeni Ürün Sorumluluğu) - Directive (EU) 2024/2853

Yaklaşan

Yürürlükte: 8 Aralık 2024

İç hukuka aktarım: 9 Aralık 2026

Uygulama: 9 Aralık 2026 (piyasaya arz edilen ürünler için)

Yazılım ve dijital üretim dosyaları gibi unsurları da dikkate alarak kusursuz sorumluluk rejimini modernize eder. Üye Devletlerin ulusal hukuka aktarımı ile fiilen uygulanır.

AI Liability Directive (Taslak) - 2022/0303 (COD)

Geri Çekildi

Resmi geri çekilme (OJ bildirimi): 6 Ekim 2025

AI kaynaklı zararlar için ispat kolaylaştırma ve sorumluluk kurallarını tamamlamayı hedefleyen teklif, Komisyon tarafından resmen geri çekilmiştir.

GDPR (Genel Veri Koruma Tüzüğü) - Regulation (EU) 2016/679

Aktif

Uygulama: 25 Mayıs 2018

Kişisel verilerin işlenmesi ve korunmasına ilişkin AB'nin temel çerçevesi; denetim, yaptırım, veri sahibi hakları ve sınır ötesi aktarım düzenler.

eIDAS 2.0 / European Digital Identity - Regulation (EU) 2024/1183

Aktif/Aşamalı

Yürürlükte: 20 Mayıs 2024

Uygulama/teknik İA hedefi: 21 Kasım 2024

EUDI Wallet sunumu: İA'lerden itibaren 24 ay (yaklaşık 2026)

AB genelinde Avrupa Dijital Kimlik Cüzdanı (EUDI Wallet) çerçevesini güçlendirir; sınır ötesi elektronik kimlik doğrulama ve nitelikli güven hizmetlerini genişletir.

DMFSD (Distance Marketing of Financial Services) - Directive (EU) 2023/2673

Yaklaşan

Yürürlükte: 18 Aralık 2023

İç hukuka aktarım: 19 Aralık 2025

Uygulama: 19 Haziran 2026

Uzaktan sunulan finansal hizmetler için tüketici korumasını modernize eder; karanlık tasarım kalıpları ve arayüz şeffaflığı gibi konuları da kapsar.

ePrivacy Directive (Elektronik Haberleşmede Gizlilik) - Directive 2002/58/EC

Aktif

Yürürlükte: 2002 (ulusal uygulamalar üzerinden)

Çerezler, trafik/konum verileri ve elektronik haberleşme gizliliği gibi konuları düzenleyen mevcut AB çerçevesidir. ePrivacy Tüzüğü teklifi geri çekildiği için bu Direktif uygulanmaya devam etmektedir.

ePrivacy Regulation (Taslak) - COM(2017) 10

Geri Çekildi

Resmi geri çekilme (OJ bildirimi): 6 Ekim 2025

Elektronik haberleşme gizliliğini modernize etmeyi amaçlayan tüzük teklifi, uzun süren uzlaşmazlıklar nedeniyle Komisyon tarafından resmen geri çekilmiştir.

eEvidence (Elektronik Delil Paketi) - Regulation (EU) 2023/1543 & Directive (EU) 2023/1544

Yaklaşan

Regülasyon yürürlükte: 18 Ağustos 2023

Direktif iç hukuka aktarım: 18 Şubat 2026

Regülasyon uygulama: 18 Ağustos 2026

Elektronik delillere sınır ötesi erişim için daha hızlı mekanizma oluşturur; hizmet sağlayıcılar için temsilci/kuruluş tayini gibi yükümlülükler getirir.

Dr. M. Furkan Akıncı

Dr. M. Furkan Akıncı

AB Bilişim Hukuku Düzenlemeleri

AB Bilişim Hukuku Düzenlemeleri

Yapay Zeka Teknolojileri ve Hukuki Çerçeve: LAION Kararıyla Doğan Yeni Soru İşaretleri

Yapay Zeka Teknolojileri ve Hukuki Çerçeve: Almanya’dan İlk Karar

ABAD Kararı Üzerine AB Dijital Tek Pazar Yönergesi Bakımından Servis Sağlayıcıların Değişen Yükümlülükleri