23 Mart 2026 tarihli Resmi Gazete’de yayımlanan yönetmelik değişikliği ile birlikte, elektrikli araç şarj ağı işletmecilerine bilgi güvenliği alanında önemli yükümlülükler getirilmiştir.

Düzenlemeye göre şarj ağı işletmecileri lisans kapsamında gerçekleştirilen iş ve işlemler sonucunda elde edilen verilerin mevzuata uygun şekilde korunması ve yetkisiz erişimlerin engellenmesine yönelik gerekli güvenlik önlemlerinin alınması zorunlu tutulmuştur.

Yönetmelikte özellikle, şarj hizmeti sunulması kapsamında kullanılan yazılım sistemlerinin, şarj cihazlarının ve bu sistemlere uzaktan erişim süreçlerine ilişkin bilişim altyapısının TS ISO/IEC 27001 standardının güncel sürümüne uygun olması gerektiği açıkça ifade edilmektedir.

Bu kapsamda;

• yetkisiz erişimlerin önlenmesi,
• güvenli iletişim kanallarının kullanılması,
• kimlik doğrulama ve erişim yetkilendirme mekanizmalarının kurulması,
• bulut bilişim kullanılıyorsa buna ilişkin güvenlik tedbirlerinin alınması

esas unsurlar arasında yer almaktadır.

Yeni düzenleme kapsamında, şarj ağı işletmecilerinin yazılım sistemleri için TS ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi sertifikasyon süreçlerini gündemlerine almaları büyük önem taşımaktadır. Mevcut şirketlere uyum için 1 yıl süre tanınmış olması, bu sürecin ertelenmeden planlanmasını daha da kritik hale getirmektedir.

Bu gelişme, sektörde faaliyet gösteren firmalar açısından yalnızca teknik bir gereklilik değil; aynı zamanda kurumsal risk yönetimi, veri güvenliği, mevzuata uyum ve sürdürülebilir operasyon açısından stratejik bir zorunluluk niteliğindedir.

AND Belgelendirme olarak, kuruluşların ISO/IEC 27001 uyum ve belgelendirme süreçlerini etkin, hızlı ve mevzuata uygun şekilde tamamlamaları için destek sunmaktayız. Detaylı bilgi almak ve sürecinizi doğru şekilde planlamak için bizimle iletişime geçebilirsiniz.

ISO 27001 zorunluluğu ve bilgi güvenliğiyle ilgili yönetmelik özeti

Metindeki bilgi güvenliği ve ISO 27001 ile ilgili ana düzenlemeler esas olarak Madde 11 ve Geçici Madde 4’te yer alıyor.

1. Verilerin korunması yükümlülüğü

Şarj ağı işletmecileri:

• Lisans kapsamındaki iş ve işlemlerden elde edilen verileri, yürürlükteki mevzuata uygun şekilde muhafaza etmek zorunda.
• Bu verilere ve şarj ağı işletim sistemine, yalnızca yetkili kurumlar erişebilmeli.
• Kurum (EPDK) ve Kurumca yetkilendirilmiş ilgili kamu kurum/kuruluşları dışındaki yetkisiz erişimlerin engellenmesi için gerekli güvenlik önlemleri alınmalı ve uygulanmalı.

2. Bilgi güvenliği için referans alınacak kaynak

• Bilgi güvenliğine ilişkin önlemler alınırken Bilgi ve İletişim Güvenliği Rehberi referans kaynak olarak dikkate alınacak.

3. ISO 27001 zorunluluğu

Şarj ağı işletmecisinin, şarj hizmeti sunumunda kullandığı:

• yazılım sistemleri
• şarj cihazlarıyla ilişkili bilişim altyapısı
• bu sistemlere uzaktan erişim süreçlerine ait bilişim sistemleri altyapısı

için, TS ISO/IEC 27001 standardının güncel sürümüne uygunluk zorunlu hale getiriliyor.

Düzenleme sadece ofis içi bilgi sistemlerini değil; doğrudan:

• şarj operasyonunu yöneten sistemleri,
• cihazlarla haberleşen altyapıyı,
• uzaktan erişim ve yönetim süreçlerini

de kapsıyor.

4. Özellikle alınması gereken güvenlik tedbirleri

Bu kapsamda özellikle şu başlıklarda tedbir alınması gerektiği belirtiliyor:

• Yetkisiz erişimlerin önlenmesi
• Güvenli iletişim kanallarının kullanılması
• Kimlik doğrulama
• Erişim yetkilendirmesi
• Kullanılıyorsa bulut bilişim güvenliği önlemleri

5. Kuruma veri aktarımı

• EPDK’ye yapılacak veri aktarımlarında, Kurum tarafından belirlenen veri iletişim protokolleri ve yöntemleri kullanılacak.

6. Geçiş süresi

• Yönetmeliğin yürürlüğe girdiği tarihte mevcut lisans sahibi olan şarj ağı işletmecilerine, yazılım sistemlerini TS ISO/IEC 27001 sertifikalı olacak şekilde kurmaları için 1 yıl süre veriliyor.

Bu değişikliklerle birlikte şarj ağı işletmecileri için:

• bilgi güvenliği artık daha açık ve somut yükümlülüklere bağlanıyor,
• TS ISO/IEC 27001 uyumu fiilen zorunlu hale geliyor,
• özellikle operasyonel yazılımlar, cihaz yönetimi ve uzaktan erişim altyapıları güvenlik kapsamına alınıyor,
• mevcut işletmecilere de bu uyum için 1 yıllık geçiş süresi tanınıyor.