1 Ağustos 2025'te "Kritik Bilgi Altyapılarında Ticari Şifreleme Kullanımına İlişkin Yönetmelik" resmen yürürlüğe girdi

1 Ağustos 2025'te, "Kritik Bilgi Altyapılarında Ticari Şifreleme Kullanımının Yönetimine İlişkin Düzenlemeler" resmi olarak yürürlüğe girdi. Bu düzenleme, "Şifreleme Yasası", "Veri Güvenliği Yasası", "Kişisel Bilgilerin Korunması Yasası", "Ticari Şifreleme Yönetim Yönetmeliği", "Kritik Bilgi Altyapılarının Güvenliğinin Korunması Yönetmeliği" ve "Ağ Verisi Güvenliği Yönetim Yönetmeliği" gibi ilgili yasa ve idari düzenlemelere dayanarak hazırlanmıştır; amacı kritik bilgi altyapılarında ticari şifreleme kullanımını standartlaştırmak ve kritik bilgi altyapılarının güvenliğini korumaktır.

Aşağıda "Kritik Bilgi Altyapılarında Ticari Şifreleme Kullanımının Yönetimine İlişkin Düzenlemeler"in tam metni yer almaktadır:

Kritik Bilgi Altyapılarında Ticari Şifreleme Kullanımının Yönetimine İlişkin Düzenlemeler

Madde 1 Kritik bilgi altyapılarında ticari şifreleme kullanımını standartlaştırmak ve kritik bilgi altyapılarının güvenliğini korumak amacıyla, Çin Halk Cumhuriyeti Şifreleme Yasası, Çin Halk Cumhuriyeti Siber Güvenlik Yasası, Çin Halk Cumhuriyeti Veri Güvenliği Yasası, Çin Halk Cumhuriyeti Kişisel Bilgilerin Korunması Yasası, Ticari Şifreleme Yönetim Yönetmeliği, Kritik Bilgi Altyapılarının Güvenliğinin Korunması Yönetmeliği ve Ağ Verisi Güvenliği Yönetim Yönetmeliği gibi ilgili yasa ve idari düzenlemelere dayanarak bu düzenlemeler hazırlanmıştır.

Madde 2 Çin Halk Cumhuriyeti Siber Güvenlik Yasası, Kritik Bilgi Altyapılarının Güvenliğinin Korunması Yönetmeliği gibi yasa ve idari düzenlemeler ile ulusal ilgili hükümlere göre belirlenen kritik bilgi altyapılarında ticari şifreleme kullanımının yönetimi bu düzenlemelere tabidir.

Madde 3 Ulusal şifreleme yönetim departmanı, ulusal siber uzay yönetim departmanı ve Devlet Konseyi kamu güvenliği departmanı ile birlikte, ülke çapında kritik bilgi altyapılarında ticari şifreleme kullanımının yönetimini planlamak, yönlendirmek ve denetlemekle sorumludur ve kritik bilgi altyapılarında ticari şifreleme kullanımına ilişkin bilgi paylaşım mekanizması kurar.

İlçe düzeyi ve üzeri yerel şifre yönetimi departmanları, siber uzay idaresi departmanları ve kamu güvenliği organlarıyla birlikte, kendi idari bölgelerindeki kritik bilgi altyapılarında ticari şifre kullanımının yönetimine rehberlik etmek ve denetlemekle sorumludur.

Madde 4 Kritik bilgi altyapısı koruma çalışma departmanları (bundan böyle koruma çalışma departmanları olarak anılacaktır), yetki alanları kapsamında kendi sektörleri ve alanlarındaki kritik bilgi altyapılarında ticari şifre kullanımının denetim ve yönetiminden sorumludur; kendi sektörleri ve alanları için ticari şifre kullanım planlarını ayrıca hazırlar veya kendi sektörleri ve alanlarındaki kritik bilgi altyapısı güvenlik planlarına dahil ederek uygular ve kendi sektörleri ile alanlarındaki kritik bilgi altyapısı işletmecilerine (bundan böyle işletmeciler olarak anılacaktır) ticari şifreyle ilgili kurum, personel ve fon gibi güvence çalışmalarını yürütmede rehberlik eder.

Koruma çalışma departmanları, her yıl 31 Mart'tan önce ulusal şifre yönetimi departmanına, ulusal siber uzay idaresi departmanına ve Devlet Konseyi kamu güvenliği departmanına, bir önceki yıla ait kendi sektörleri ve alanlarındaki kritik bilgi altyapılarında ticari şifre kullanım yönetimi durumunu raporlamalıdır.

Kritik bilgi altyapılarında ticari şifreleri ilgilendiren büyük bir ağ güvenliği olayı meydana geldiğinde veya ticari şifreleri ilgilendiren büyük bir ağ güvenliği tehdidi tespit edildiğinde, koruma çalışma departmanları ulusal şifre yönetimi departmanına, ulusal siber uzay idaresi departmanına ve Devlet Konseyi kamu güvenliği departmanına zamanında raporlamalı, işletmecilere acil durum müdahalesinde rehberlik etmeli ve gerektiğinde ticari şifre uygulama güvenliği değerlendirmesi yapmalıdır.

Madde 5 İşletmeciler, ilgili yasalar, idari düzenlemeler ve ulusal hükümlere uygun olarak, ulusal ticari şifre yönetimi, ağ güvenliği seviye koruması ve kritik bilgi altyapısı güvenlik koruması gibi kurumsal gereklilikleri izleyerek kritik bilgi altyapılarını korumak için ticari şifreler kullanmalı; ticari şifre güvence sistemlerini eş zamanlı planlamalı, eş zamanlı inşa etmeli ve eş zamanlı işletmeli; ayrıca ticari şifre uygulama güvenliği değerlendirmelerini düzenli olarak yapmalıdır.

İşletmeciler, her yıl 31 Ocak'tan önce bağlı oldukları koruma çalışma departmanına, bir önceki yıla ait kritik bilgi altyapılarındaki ticari şifre kullanımını ve ticari şifre uygulama güvenliği değerlendirmelerinin yürütülme durumunu raporlamalıdır.

Madde 6 İşletmeciler, kritik bilgi altyapılarında ticari şifre kullanımına ilişkin kurumsal güvenceyi güçlendirmeli; ticari şifre kullanımı, acil durum müdahalesi ve büyük olay raporlama gibi konuları kapsayan kritik bilgi altyapısı ticari şifre kullanım yönetim sistemlerini kurmalıdır.

İşletmecinin ana sorumlusu, kritik bilgi altyapılarında ticari şifre kullanımının yönetiminden genel olarak sorumludur ve kritik bilgi altyapılarında ticari şifre kullanımı ile ticari şifreleri ilgilendiren büyük ağ güvenliği olaylarının ele alınmasından sorumludur.

Madde 7 İşletmeci, kritik bilgi altyapısında ticari şifre kullanım personeli güvencesini güçlendirmeli; şifre ile ilgili alanda akademik yeterliliğe veya şifre ile ilgili ulusal mesleki beceri düzeyi belgelendirme sertifikasına sahip uzman personeli, sırasıyla anahtar yöneticisi ve şifre operatörü gibi görevleri üstlenmek üzere görevlendirmeli; güvenlik denetimi alanında mesleki yetkinliğe sahip personeli ise şifre güvenlik denetçisi görevini üstlenmek üzere görevlendirmelidir.

İşletmeci, şifre ile ilgili uzman personel için güvenlik geçmişi taraması yapmalı ve bu personelin ticari şifre kullanım yetkinliğini artırmak amacıyla düzenli olarak şifre ile ilgili mesleki beceri eğitimlerine katılmalarını sağlamalıdır.

Madde 8 İşletmeci, kritik bilgi altyapısında ticari şifre kullanımı ve uygulama güvenliği değerlendirmesi için mali güvenceyi güçlendirmeli; ticari şifre kullanımı ve uygulama güvenliği değerlendirmesi giderlerini ağ güvenliği ve bilişimleştirme bütçe planlamasına dahil etmelidir.

Madde 9 Kritik bilgi altyapısında kullanılan ticari şifre ürünleri ve hizmetleri, denetim ve belgelendirmeden geçmiş olmalıdır; kullanılan şifre algoritmaları, şifre protokolleri, anahtar yönetim mekanizmaları ve benzeri ticari şifre teknolojileri, ulusal şifre yönetimi makamlarının inceleme ve değerlendirmesinden geçmelidir.

İşletmeci, ticari şifre içeren ağ ürünleri ve hizmetleri satın alırken bunların millî güvenliği etkilemesi ya da etkileme olasılığı bulunması hâlinde, “Ağ Güvenliği İnceleme Yöntemleri” uyarınca ağ güvenliği incelemesi yapmalıdır.

Madde 10 Kritik bilgi altyapısı, ulusal veri güvenliği koruması ve kişisel bilgilerin korunmasına ilişkin gereklilikler doğrultusunda, depoladığı, kullandığı ve ilettiği çekirdek verileri, önemli verileri ve kişisel bilgileri korumak için ticari şifre kullanmalıdır.

Madde 11 Kritik bilgi altyapısının planlama aşamasında işletmeci, ilgili kanunlar, idari düzenlemeler ve standartlara uygun olarak, ticari şifre uygulama ihtiyaçlarına göre bir ticari şifre uygulama planı hazırlamalı; ticari şifre güvence sistemini planlayarak kritik bilgi altyapısı güvenlik planlamasına bütünleşik biçimde yerleştirmelidir.

İşletmeci, ticari şifre uygulama planı üzerinde ticari şifre uygulama güvenliği değerlendirmesini kendisi yapmalı ya da bir ticari şifre denetim kuruluşuna yaptırmalıdır. Ticari şifre uygulama planı, ticari şifre uygulama güvenlik değerlendirmesinden geçmemişse, ticari şifre güvence sisteminin inşası için dayanak olarak kullanılamaz.

Madde 12 Kritik bilgi altyapısının inşa aşamasında, işletmecisi, ticari şifre uygulama güvenlik değerlendirmesinden geçmiş ticari şifre uygulama planına göre uygulamayı organize etmeli, ticari şifre güvenlik koruma önlemlerini uygulamalı ve ticari şifre güvence sistemini inşa etmelidir. İnşa sürecinde ticari şifre uygulama planının ayarlanması gerekiyorsa, ticari şifre uygulama güvenlik değerlendirmesi yeniden yapılmalı ve değerlendirme geçildikten sonra ayarlanmış ticari şifre uygulama planına göre inşaya devam edilmelidir.

Kritik bilgi altyapısı işletmeye alınmadan önce, işletmecisi kendisi veya ticari şifre test kuruluşu aracılığıyla ticari şifre uygulama güvenlik değerlendirmesi yapmalıdır. Kritik bilgi altyapısı ticari şifre uygulama güvenlik değerlendirmesinden geçmezse, işletmeci iyileştirme yapmalıdır; iyileştirme süresince işletmeye alınamaz.

Madde 13 Kritik bilgi altyapısı inşa edilip işletmeye alındıktan sonra, işletmecisi kendisi veya ticari şifre test kuruluşu aracılığıyla yılda en az bir kez ticari şifre uygulama güvenlik değerlendirmesi yapmalı ve kritik bilgi altyapısında ticari şifrenin doğru kullanımını ve ticari şifre güvence sisteminin etkin çalışmasını sağlamalıdır. Kritik bilgi altyapısı ticari şifre uygulama güvenlik değerlendirmesinden geçmezse, işletmeci iyileştirme yapmalı ve iyileştirme süresince kritik bilgi altyapısının işletme güvenliğini sağlamak için gerekli önlemleri almalıdır.

Madde 14 Bu düzenlemeler yürürlüğe girmeden önce inşa edilmekte olan kritik bilgi altyapıları için işletmecileri, ticari şifre uygulama planının hazırlanması ve gerekçelendirilmesini güçlendirmeli, ticari şifre güvence sistemini inşa edip iyileştirmeli ve bu düzenlemelerin 12. maddesine göre ticari şifre uygulama güvenlik değerlendirmesi yapmalıdır.

Bu düzenleme yürürlüğe girmeden önce hâlihazırda işletilmekte olan kritik bilgi altyapılarının işletmecileri, bu düzenlemenin 13. maddesine göre ticari şifre uygulama güvenlik değerlendirmesi yapmalıdır.

Madde 15 Kritik bilgi altyapılarında ticari şifre uygulama güvenlik değerlendirmesi yapılırken, "Ticari Şifre Uygulama Güvenlik Değerlendirme Yönetim Yöntemi"nin ilgili hükümlerine uyulmalıdır.

Kritik bilgi altyapılarının ticari şifre uygulama güvenlik değerlendirmesi, kritik bilgi altyapısı güvenlik tespit değerlendirmesi ve ağ güvenliği seviye ölçümü ile bağlantıyı güçlendirmeli, tekrarlanan değerlendirme ve ölçümlerden kaçınılmalıdır.

Madde 16 Ulusal şifre yönetim departmanı, ulusal kritik bilgi altyapısı ticari şifre işletim güvenliği yönetim altyapısını inşa etmek ve yönetmekten sorumludur; koruma çalışma departmanlarının bu sektöre ve alana özgü kritik bilgi altyapısı ticari şifre işletim güvenliği yönetim altyapısını inşa etmesini koordine eder; ulusal ağ bilgi departmanı ve Devlet Konseyi kamu güvenliği departmanı ile birlikte kritik bilgi altyapısı ticari şifre işletim güvenliği durumunu analiz edip değerlendirir ve büyük ticari şifre işletim güvenliği tehditlerine karşı eşgüdümlü müdahale eder.

Madde 17 Şifre yönetim departmanları, kritik bilgi altyapılarında ticari şifre kullanımına ilişkin denetim ve kontrolü düzenli olarak düzenlemelidir. Koruma çalışma departmanları, bu sektördeki ve alandaki kritik bilgi altyapılarında ticari şifre kullanımını düzenli olarak kontrol etmeli ve iyileştirme önlemleri önermelidir; gerektiğinde ticari şifre uygulama güvenlik değerlendirmesi için kendisi yapabilir veya ticari şifre test kuruluşları gibi profesyonel kuruluşları görevlendirebilir.

İşletmeciler, şifre yönetim departmanları ve koruma çalışma departmanları tarafından yürütülen kritik bilgi altyapısı ticari şifre kullanımı denetim ve kontrollerine işbirliği yapmalı; denetim görüşlerine göre zamanında düzeltme yapmalı ve düzeltme durumunu koruma çalışma departmanına bildirmelidir. Koruma çalışma departmanı, düzeltme durumunu ulusal şifre yönetim departmanına raporlamalıdır.

Kritik bilgi altyapısı ticari şifre kullanımına ilişkin denetim ve kontroller yürütülürken eşgüdüm, işbirliği ve bilgi paylaşımı güçlendirilmeli, gereksiz denetimler ile çapraz ve tekrarlanan denetimlerden kaçınılmalıdır. Denetim ve gözetim çalışmalarında ücret alınamaz; denetlenen veya gözetlenen birimden, belirli bir kurumun ya da belirli bir markanın ticari şifre ürünlerini veya hizmetlerini satın alması veya kullanması istenemez.

Madde 18 Şifre yönetimi departmanları, ilgili departmanlar, ticari şifre denetim kuruluşları ve bunların çalışanları; görevlerini yerine getirirken öğrendikleri devlet sırları, ticari sırlar ve kişisel mahremiyet bakımından gizlilik yükümlülüğü taşır; bunları ifşa edemez veya hukuka aykırı şekilde başkalarına sağlayamaz.

Madde 19 İşletmeciler, Çin Halk Cumhuriyeti Şifre Kanunu, Çin Halk Cumhuriyeti Siber Güvenlik Kanunu, Ticari Şifre Yönetimi Yönetmeliği, Kritik Bilgi Altyapısı Güvenlik Koruma Yönetmeliği ve bu düzenlemenin ilgili hükümlerini ihlal ederse ve aşağıdaki durumlardan biri söz konusu olursa, şifre yönetimi departmanı düzeltme yapılmasını emreder ve uyarı verir; düzeltmeyi reddederse veya başka ağırlaştırıcı durumlar varsa, 100.000 yuan'dan 1.000.000 yuan'a kadar idari para cezası verilir; doğrudan sorumlu yöneticilere ise 10.000 yuan'dan 100.000 yuan'a kadar idari para cezası verilir:

(1) Kritik bilgi altyapısını korumak için ticari şifreleri gerektiği gibi kullanmayan, ticari şifre destek sistemini eş zamanlı planlamayan, eş zamanlı inşa etmeyen ve eş zamanlı işletmeyen;

(2) Kritik bilgi altyapısında kullanılan ticari şifre ürünleri veya hizmetlerinin denetim ve belgelendirmeden geçmemiş olması;

(3) Kritik bilgi altyapısında kullanılan şifre algoritmaları, şifre protokolleri, anahtar yönetim mekanizmaları gibi ticari şifre teknolojilerinin ulusal şifre yönetimi departmanının inceleme ve değerlendirmesinden geçmemiş olması;

(4) Kritik bilgi altyapısının planlama aşamasında ticari şifre uygulama planı hazırlanmaması veya ticari şifre uygulama planı üzerinde ticari şifre uygulama güvenlik değerlendirmesi yapılmaması;

(5) Kritik bilgi altyapısının inşa aşamasında, ticari şifre uygulama güvenlik değerlendirmesinden geçen ticari şifre uygulama planına uygun şekilde ticari şifre destek sisteminin kurulmaması;

(6) Kritik bilgi altyapısı işletime alınmadan önce ticari şifre uygulama güvenlik değerlendirmesi yapılmamışsa veya ticari şifre uygulama güvenlik değerlendirmesinden geçmemiş ve iyileştirme yapılmamışsa;

(7) Kritik bilgi altyapısı kurulup işletime alındıktan sonra periyodik ticari şifre uygulama güvenlik değerlendirmesi yapılmamışsa veya periyodik ticari şifre uygulama güvenlik değerlendirmesinden geçmemiş ve iyileştirme yapılmamışsa.

Madde 20 İşletmeci, Çin Halk Cumhuriyeti Şifre Kanunu, Çin Halk Cumhuriyeti Siber Güvenlik Kanunu, Ticari Şifre Yönetim Yönetmeliği, Kritik Bilgi Altyapısı Güvenlik Koruma Yönetmeliği ve bu düzenlemenin 9. maddesini ihlal ederek, güvenlik incelemesinden geçmemiş veya güvenlik incelemesi onaylanmamış ticari şifre içeren ağ ürünleri veya hizmetlerini kullanırsa, ilgili ana denetim birimi kullanımı durdurmasını emreder ve satın alma bedelinin 1 katından 10 katına kadar para cezası uygular; doğrudan sorumlu yönetici personele ve diğer doğrudan sorumlu personele 10.000 yuan'dan 100.000 yuan'a kadar para cezası uygulanır.

Madde 21 İşletmeci, Çin Halk Cumhuriyeti Şifre Kanunu, Çin Halk Cumhuriyeti Siber Güvenlik Kanunu, Ticari Şifre Yönetim Yönetmeliği, Kritik Bilgi Altyapısı Güvenlik Koruma Yönetmeliği ve bu düzenlemenin 17. maddesini ihlal ederek, haklı bir neden olmaksızın şifre yönetim birimlerinin ve ilgili birimlerin ticari şifre denetimini kabul etmez, işbirliği yapmaz veya müdahale eder ya da engellerse, şifre yönetim birimleri ve ilgili birimler düzeltme emri verir ve uyarı verir; düzeltmeyi reddederse veya başka ağırlaştırıcı haller varsa 50.000 yuan'dan 500.000 yuan'a kadar para cezası uygulanır, doğrudan sorumlu yönetici personele ve diğer doğrudan sorumlu personele 10.000 yuan'dan 100.000 yuan'a kadar para cezası uygulanır; durum özellikle ciddiyse faaliyetin durdurulması ve ıslah emri verilir.

Madde 22 İşletmeci bu düzenlemeyi ihlal ederek aşağıdaki durumlardan birine sahipse, şifre yönetim birimleri ve ilgili birimler yetkileri uyarınca düzeltme emri verir:

(1) Bir önceki yıla ait kritik bilgi altyapısı ticari şifre kullanımı ve ticari şifre uygulama güvenlik değerlendirmesi durumunu gerektiği gibi raporlamamışsa;

(2) Kritik bilgi altyapısı ticari şifre kullanım yönetim sistemi kurulmamışsa;

(3) Gerektiği gibi şifre yöneticisi, şifre işletmeni ve şifre güvenlik denetçisi görevlendirilmemişse;

(4) Kritik bilgi altyapılarında ticari şifre kullanımı ve uygulama güvenliği değerlendirmesi için fon sağlanmaması.

Madde 23 Kritik bilgi altyapılarında ticari şifre kullanımının denetim işlerinde görevli personel, yetkisini kötüye kullanır, görevini ihmal eder, kişisel çıkar sağlar veya görevini yerine getirirken öğrendiği ticari sırları, kişisel mahremiyeti veya ihbarcı bilgilerini ifşa eder ya da yasa dışı yollarla başkalarına verirse, yasaya göre yaptırım uygulanır.

Madde 24 Ulusal devlet işleri bilgi sistemlerine ait kritik bilgi altyapılarında ticari şifre kullanımının yönetimi, bu Yönetmelik hükümlerine uymanın yanı sıra, “Ulusal Devlet İşleri Bilgilendirme Projeleri Yönetim Yöntemleri” (Devlet Konseyi Genel Ofisi [2019] No. 57) gibi ilgili düzenlemelere göre de yürütülür.

Madde 25 Bu Yönetmelik 1 Ağustos 2025 tarihinde yürürlüğe girer.

Kaynak: Çin İnternet Bilgi Ofisi