Bilgi ve İletişim Güvenliği Rehberi uyum denetimi hizmetleri

Bilgi ve İletişim Güvenliği Rehberi uyum denetimi hizmeti vermek isteyen şirket için firma belgelendirmesi, çalışanların denetçi belgesinden ayrı bir işlemdir. TSE’nin 2 Şubat 2026 tarihli, 1 revizyonlu BTBD-01-15-BP-01 programı; firmanın yönetim sistemini, personelini, tetkikini ve belgeyi sürdürme yükümlülüklerini birlikte düzenler. Buradaki başvuru, denetimi satın alan kurumun kendi uyum çalışması için değil, hizmeti sağlayan özel hukuk tüzel kişisi içindir. TSE programı, Amaç ve Kapsam; Firma tanımı

Firma kapsamını ve asgari ekibi oluşturun

Program, denetimde elde edilen bilgi ve belgeler de dâhil bilgi varlıklarını kapsayan ISO/IEC 27001 yönetim sisteminin kurulmuş, işletilmiş ve belirtilen akreditasyon koşuluyla belgelendirilmiş olmasını ister. Farklı iş kolları varsa kapsam, denetim birimi ile ilgili kayıtların depolanması, işlenmesi ve paylaşımında bağlantılı birimleri içerir. Belgenizdeki kapsamı yalnız şirket unvanıyla karşılaştırmak yeterli olmaz.

Tam zamanlı çalışan en az bir D1 veya D2 belgeli denetçi ve bu kişiden ayrı en az bir belgeli başdenetçi gerekir. Bu personel aynı anda başka bir firmada denetçi olarak istihdam edilmemelidir. Organizasyon, çalışma yeri, teknik altyapı, donanım ve kayıt düzeni de denetimi yürütebilecek durumda olmalıdır. TSE programı, Firma Yetkilendirme Şartları

Başvuru öncesinde çalışanların belge kapsamı ve tam zamanlı çalışma kanıtını birlikte kontrol edin. Denetçi ve başdenetçi başvurusu ayrı koşullar içerir; bir eğitim katılım belgesi bu firma ekibini kendiliğinden oluşturmaz.

Başvuru dosyasını firma adına hazırlayın

Çevrim içi başvuru için program basvuruportal.tse.org.tr adresini gösterir; evrak BelgeNet’e yüklenir. Dosyada başvuru formu, yasal statü belgesi, yetkili temsilcilerin noter tasdikli imza sirküleri, gerekiyorsa avans dekontu, belgeli uzmanların tam zamanlı çalışmasını gösteren SGK/işe giriş kayıtları ve firmanın ISO/IEC 27001 belgesi bulunur. Yurt içi yasal statü sunulan ticaret sicil bilgileriyle elektronik sistemden kontrol edilir; TSE’den belgeli firmalardan avans istenmediği belirtilir. TSE programı, Başvuru İşlemleri

Ön değerlendirmede uygun bulunan dosya tetkike yönlendirilir; uygunsuz veya eksik dosya iade edilir. Belgeleri yüklemeyi başvurunun kesin kabulü saymayın. Programın akreditasyon tarifinde IAF üyeliğine atıf vardır; güncel kabul durumunu belge ve kapsam üzerinden TSE birimiyle netleştirin.

Tetkiki ve belge kararını ayrı izleyin

Program, onaylanan başvuru sonrasında önceden belirlenen tarihte iki inceleme uzmanıyla bir günlük firma tetkiki öngörür. Başvuruda beyan edilen bilgiler, denetim hizmetine ilişkin soru listesi, dokümanlar ve kayıtlar incelenir. Bu bir günlük tetkik, toplam belge teslim süresi değildir. TSE programı, Belgelendirme İşlemleri

Olumsuz tetkikte eksikliklerin giderilmesi için üç ay verilir. Eksikler giderilmez veya tekrarlanan tetkik olumsuz olursa dosya belge verilmemesi önerisiyle komiteye sunulur; belgeli firmada bu durum askıya alma sonucunu doğurur. Olumlu uzman raporu da komiteye tavsiye niteliğindedir. Belge hakkı doğduğunda sözleşmenin imzalanması ve faturanın ödenmesi sonrasında belge teslim edilir. TSE programı, Belgelendirme İşlemleri

Personel değişikliğinde iki ayı çalışma izni sanmayın

Adres veya unvan değişikliği bir ay içinde yazılı bildirilir. Belgeli denetçi/başdenetçinin işe başlaması ya da ayrılması on beş takvim günü içinde bildirilmelidir. Ayrılış belgelendirme koşullarını etkiliyorsa eşdeğer personel iki ay içinde istihdam edilmelidir. TSE programı, Bildirimler

Program, yeterlilik şartı sağlanamadığı bu aralıkta uyum denetimi yapılamayacağını ve yapılan denetimlerin geçersiz sayılacağını açıkça belirtir. İki ay sonunda eşdeğer personel alınamazsa firmanın denetim yetkisi askıya alınır. Bu nedenle personel çıkışını yalnız insan kaynakları kaydı olarak takip etmeyin.

Belge ve denetim kayıtlarını sürdürün

Firma belgesi üç yıl geçerlidir; yıllık ara kontrollerle koşulların devamı izlenir. Şikâyet veya yetkili makam bildirimi gibi durumlarda ek inceleme yapılabilir. TSE programı, Firma belgesinin geçerlilik süresi

Denetim dosyasının tamamını şirket arşivine taşımak doğru değildir. Program, firma tarafında denetim kapsamı, teslim edilen dosyanın boyutu, hash bilgisi ve teslim tarihinin tutanakla elektronik saklanmasını; bunun dışındaki kurum belgelerinin kurum dışına çıkarılmamasını düzenler. Belirtilen kayıtlar en az üç yıl güvenli saklanır; anonimleştirilerek de üçüncü kişilerle paylaşılmaz. Kurum ve personelle gizlilik sözleşmeleri gerekir. İmha ve kurum dışı araçlarda kalan verilerin silinmesi de tutanaklı koşullara bağlıdır. TSE programı, Belgeli firmanın yükümlülükleri

Pratik olarak başvuru dosyası, personel değişiklik takvimi, yıllık tetkik planı ve denetim teslim tutanaklarını ayrı izleyin. Bu çalışma listesi, programdaki yükümlülükleri takip etmeye yardımcı olur; resmî tetkik soru listesinin yerine geçmez.

Denetim dosyasının tamamı ile firmanın tutacağı kayıt farklıdır

Program her denetim çalışmasının belgeleri ve ekleriyle elektronik bir dosya haline getirilmesini, rapor imzalandığında bütünlüğünü koruyan mekanizmanın kurulmasını ister. Bununla birlikte firma tarafında tutulacak kayıtları sınırlar. Bütün müşteri dosyasının hazırlanması zorunluluğu, bu dosyanın bir kopyasını firmanın kendi arşivine götürme izni değildir. Program, 6.6, sayfalar 20–21

Kayıt düzeninizi gözden geçirmek için iki ayrı kontrol yapabilirsiniz. Birincisinde denetim dosyasının kurumda hangi bütünlük ve teslim düzeniyle oluşturulduğunu, ikincisinde firmanın sakladığı teslim tutanağının kapsam, boyut, hash ve tarih bilgilerini taşıyıp taşımadığını inceleyin. Programdaki saklama sınırını aşan müşteri belgesini “gelecek denetime örnek olur” gerekçesiyle çoğaltmayın.

Kurum dışı cihaz kullanıldıysa iş bitiminde ne olur?

Kurum kaynakları dışında uygulama veya cihaz kullanılmışsa, denetim sonrasında kuruma ait bilgiler kurum gözetiminde geri döndürülemeyecek şekilde silinir veya mümkünse imha edilir; işlem tutanağı en az üç yıl saklanır. Saklama süresi dolan kayıtların imhası da tutanaklı koşullara bağlıdır. TSE, zorunlu kayıtların bulunduğu ortamla ilgili bilgi ve inceleme isteyebilir. Program, 6.6, sayfa 21

Bu nedenle “denetim bitti” kontrolünü yalnız rapor gönderimi olarak ele almayın. Kullanılmış ortamların sorumlusu, kurum gözetimindeki işlemin kaydı ve tutanağın nerede tutulduğu da kapanış düzeninde yer alabilsin. Bu yazı belirli bir silme aracını veya teknik yöntemi uygun ilan etmez; uygulanacak yöntemi kurumun koşulları ve programla birlikte belirleyin.

Firma belgelendirme bütçesini personel sınavından ayırın

2026 bilişim tarifesinde personel için EK-1.20, firma için EK-1.21 bulunur. Firma tablosu başvuru/doküman inceleme, adam/gün teknik hizmet, günlük ilk tetkik ve ara kontrol, yıllık marka, maktu belge ve rapor bedellerini ayrı düzenler. Denetçinin sınav ücretini ödemiş olmak bu firma giderlerini karşılamaz. 2026 tarife, sayfalar 27–28

Teklif karşılaştırırken aynı başvuru türünü, süreyi ve gider kapsamını kullandığınızdan emin olun. Program, denetimi engelleyen bilgiye erişememe veya güvenlik koşullarında tetkikin kesilebilmesini ve gerçekleşen hizmetin ücretlendirilmesini de açıklar. Hazırlıkta yetkili kişilerin ve incelenecek kayıtların erişilebilirliğini planlamak bu nedenle önem taşır. Program, 6.3, sayfa 18