# 5651 Log Tutma Yükümlülüğü: Misafir ve Çalışan İnterneti Sunan Şirketler Neyi, Nasıl ve Ne Kadar Saklamalı?

> 5651 log tutma kimleri kapsar, iç IP dağıtım logu nedir, ne kadar saklanır? KVKK ile uyumlu 7 adımlık kurulum planı ve denetim kontrol listesi.

Kaynak: https://digitalbridge.com.tr/blog/5651-log-tutma-yukumlulugu.html
Yayıncı: Digital Bridge Teknoloji (https://digitalbridge.com.tr)
Konu: Siber Güvenlik ve KVKK
Yayın: 2026-10-22 · Güncelleme: 2026-10-22

5651 log tutma yükümlülüğü, 5651 sayılı Kanun kapsamında internet erişimi sunan kurumların "hangi iç IP adresi, hangi zaman aralığında, hangi cihazdaydı" sorusunu cevaplayacak kayıtları tutması ve bu kayıtların değiştirilmediğini kanıtlayabilmesidir. 2026 itibarıyla misafirine veya çalışanına internet açan otel, hastane, okul, kafe ve şirketlerin çoğu bu kapsamdadır.

## Kısaca

- 5651 sayılı Kanun'un 7'nci maddesi, ticari amaç aranmaksızın tüm toplu kullanım sağlayıcılara erişim kaydı tutmak için tedbir alma yükümlülüğü getirir.
- Temel kayıt iç IP dağıtım logudur: ağda dağıtılan iç IP, kullanımın başlangıç ve bitiş zamanı ve cihazın MAC adresi.
- 2007 tarihli yönetmelik, internet kafe gibi ticari amaçlı sağlayıcılar için günlük bütünlük değeriyle birlikte bir yıl saklama öngörür.
- Uyum tek cihazla sağlanmaz; ağ ayrımı, tek saat kaynağı, günlük hash, otomatik imha ve yazılı talep prosedürü birlikte gerekir.
- 5651 logları çoğunlukla kişisel veridir; KVKK gereği aydınlatma, rol bazlı erişim ve süresi dolunca imha şarttır.

## Misafir Wi-Fi'ı açtınız: 5651 kapsamına girdiniz mi?

Tipik senaryo şöyledir: bekleme salonuna misafir ağı kurulur, çalışanlar kendi telefonlarını şirket kablosuz ağına bağlar, fabrikada taşeron ekip için ayrı bir erişim noktası açılır. Kimse bu ağları "internet hizmeti sunmak" olarak görmez. Ta ki bir gün savcılıktan ya da emniyetten, belirli bir tarih ve saatte şirketinizin dış IP adresinden yapılan bir paylaşım için "bu bağlantıyı kim kurdu?" diye yazı gelene kadar.

O noktada iki durumla karşılaşılır. Ya güvenlik duvarı birkaç gün önceki kayıtların üzerine yazmıştır, ya da kayıt vardır ama yalnızca dış IP'yi gösterir; iç ağda hangi cihazın o saatte hangi adresi aldığı bilinmez. İki durumda da şirket, yükümlülüğünü yerine getirdiğini gösteremez ve olayla ilgisi olmayan çalışanlar şüphe altında kalır.

Bu rehber, 5651 log tutmanın yasal ve teknik tarafına odaklanıyor. Kayıtlardan saldırı tespiti yapmak ayrı bir konu; onu [SIEM ve log yönetimi rehberimizde](https://digitalbridge.com.tr/blog/siem-log-yonetimi.html) anlattık. Burada bir hukuk görüşü değil, uygulamada neyin kurulması gerektiğine dair teknik bir çerçeve sunuyoruz.

## 5651 log tutma yükümlülüğü: kim, neyi, ne kadar saklar?

[5651 sayılı Kanun](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=5651&MevzuatTur=1&MevzuatTertip=5) internet ortamındaki aktörleri rollerine göre ayırır. Toplu kullanım sağlayıcı, "kişilere belli bir yerde ve belli bir süre internet ortamı kullanım olanağı sağlayan" kişidir. Tanım ticari amaç aramaz; bu yüzden uygulamada otel ve kafelerin yanında şirketlerin misafir ve çalışan ağları, hastaneler, okullar, yurtlar ve site yönetimleri de bu çerçevede değerlendirilir.

Kanun'un 7'nci maddesine göre ticari amaçla olup olmadığına bakılmaksızın bütün toplu kullanım sağlayıcılar, erişim kayıtlarının tutulması konusunda yönetmelikle belirlenen tedbirleri almak zorundadır. Kanun trafik bilgisini de tanımlar: taraflara ilişkin IP adresi, kaynak ve hedef port, hizmetin başlama ve bitiş zamanı, hizmet türü, aktarılan veri miktarı ve varsa abone kimlik bilgisi.

İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik'in 2007'de [Resmî Gazete'de yayımlanan metnine](https://www.resmigazete.gov.tr/eskiler/2007/11/20071101-4.htm) göre toplu kullanım sağlayıcının temel teknik yükümlülüğü "iç IP dağıtım logları"nı elektronik ortamda kaydetmektir. Bu log; iç ağda dağıtılan IP adresini, kullanımın başlama ve bitiş zamanını ve o adresi kullanan cihazın MAC adresini içerir. Yönetmelik "ticari amaçla" toplu kullanım sağlayıcıyı dar tanımlar: internet salonu ve benzeri umuma açık yerlerde belirli bir ücret karşılığı internet hizmeti veren kişiler, yani esas olarak internet kafeler.

Ticari amaçlı toplu kullanım sağlayıcılar ayrıca mülki amirden izin belgesi almak, dağıtım loglarını ve bunların doğruluğunu, bütünlüğünü ve gizliliğini teyit eden değeri yetkili kurumun verdiği yazılımla günlük olarak kaydetmek ve bu verileri bir yıl saklamakla yükümlüdür.

Yönetmelikteki "Başkanlık" (Telekomünikasyon İletişim Başkanlığı) 2016'da kapatıldı ve görevleri Bilgi Teknolojileri ve İletişim Kurumu'na (BTK) geçti; 2026 itibarıyla uygulamadaki araç ve yöntem için BTK'nın güncel açıklamalarını esas alın.

Aşağıdaki tablo 5651 kapsamındaki rolleri ve Kanun ile yönetmelikte yazan saklama sürelerini özetliyor. Yönetmelikler değişebildiği için kendi durumunuzu güncel metinle ve hukuk danışmanınızla teyit edin.

| Rol | Tipik örnek | Tutulacak kayıt | Süre (mevzuat metni) |
|---|---|---|---|
| Ticari amaçla toplu kullanım sağlayıcı | İnternet kafe, internet salonu ve benzeri ücret karşılığı internet hizmeti veren umuma açık yer | İç IP dağıtım logu + günlük bütünlük değeri; ayrıca mülki amirden izin belgesi | Yönetmelikte bir yıl |
| Toplu kullanım sağlayıcı (ticari amaç tanımına girmeyen) | Şirket ofisi, fabrika, hastane, okul ağı; misafirine Wi-Fi açan otel, kafe, AVM (nitelendirme için hukuk görüşü alın) | İç IP dağıtım logu (elektronik ortamda) | Yönetmelikte ayrıca sayı yok; bütünlüğü korunmuş ve makul süreli saklama önerilir |
| Erişim sağlayıcı | İnternet servis sağlayıcıları | Trafik bilgisi | Kanun: altı aydan az, iki yıldan fazla olmamak üzere |
| Yer sağlayıcı | Barındırma, sunucu kiralama hizmeti | Barındırdığı hizmetlere ilişkin trafik bilgisi | Kanun: bir yıldan az, iki yıldan fazla olmamak üzere |

## 5651 log tutmamanın cezası ve maliyeti nedir?

5651 log kaydı tutmamanın ilk maliyeti idari yaptırımdır. [5651 sayılı Kanun'un](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=5651&MevzuatTur=1&MevzuatTertip=5) 7'nci maddesine göre yükümlülüklerini ihlal eden ticari amaçlı toplu kullanım sağlayıcılara mülki amir; uyarma, idari para cezası ya da üç güne kadar ticari faaliyeti durdurma yaptırımlarından birini uygulayabilir. Kanun metnindeki para cezası 1.000–15.000 TL aralığındadır; idari para cezaları Kabahatler Kanunu uyarınca her yıl yeniden değerleme oranında güncellendiği için uygulanacak tutarı güncel tebliğden kontrol edin. Bu kapsamdaki bir işletme için üç günlük faaliyet durdurma, çoğu zaman para cezasından daha ağır sonuç doğurabilir.

Log eksikliğinin ikinci maliyeti ispat yüküyle ilgilidir. Adli bir soruşturmada kayıt üretemeyen kurum, iç ağındaki cihazları ayırt edemediği için olayla ilgisiz çalışanları ve misafirleri de sürece dahil etmek zorunda kalır. Kayıt varsa ama bütünlüğü kanıtlanamıyorsa, yani sonradan değiştirilmediği gösterilemiyorsa, delil değeri tartışmalı hale gelir.

Üçüncü maliyet güvenlik tarafındadır. [Verizon 2026 Data Breach Investigations Report](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf) verisine göre zafiyet istismarı %31 ile ihlallerde en yaygın ilk erişim yolu oldu. Ağ kayıtları eksik tutulan bir kurumda böyle bir istismarın hangi iç cihazdan ilerlediğini sonradan çıkarmak büyük ölçüde tahmine kalır.

Madalyonun öbür yüzü, logları gereğinden uzun saklamaktır. [KVKK 2025 Yılı Faaliyet Raporu](https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/MTY5ZjMxYTVlZGY0Y2Y.pdf) verisine göre Kurum'a 2025'te ulaşan ihbar ve şikâyetlerin 551'i kişisel verilerin silinmemesi, yok edilmemesi veya anonim hale getirilmemesiyle ilgiliydi. "Ne olur ne olmaz" diye süresiz tutulan log, 5651 sorununu çözerken KVKK sorunu üretir.

## 5651 ve KVKK: log saklamak da bir veri işleme faaliyetidir

İç IP dağıtım logu, cihazın MAC (Media Access Control) adresini ve zaman bilgisini içerir; misafir ağında giriş sırasında telefon numarası ya da oda numarası da alınıyorsa kayıt doğrudan bir kişiyle eşleşir. Bu nedenle 5651 kayıtları çoğu durumda [6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)](https://digitalbridge.com.tr/sozluk.html#kvkk) açısından kişisel veri niteliği taşır. Hukuki sebep, 5651'in getirdiği kanuni yükümlülüktür; ancak aydınlatma, erişim yetkisi ve saklama süresi kuralları yine uygulanır.

5651 loglarının KVKK'ya uyumu için pratikte üç adım gerekir. Misafir ağının giriş sayfasında kısa bir aydınlatma metni gösterin; bunun açık rızadan farkını [açık rıza ve aydınlatma yazımızda](https://digitalbridge.com.tr/blog/kvkk-acik-riza-aydinlatma-farki.html) anlattık. Log kategorisini kişisel veri envanterine ve [saklama ve imha politikasına](https://digitalbridge.com.tr/blog/saklama-imha-politikasi.html) ekleyin. Süresi dolan kayıtların otomatik ve kayıtlı biçimde imha edildiğini gösterin.

Çalışan ağında 5651 kaydı tutmak biraz daha hassastır. Çalışanların internet kullanım kayıtları, işverenin çalışan verileri üzerindeki genel yükümlülükleriyle birlikte düşünülmelidir; bu çerçeveyi [çalışan kişisel verileri ve KVKK](https://digitalbridge.com.tr/blog/kvkk-calisan-kisisel-verileri.html) yazımızda ele aldık. 5651 kaydını tutmak, çalışanın hangi siteye girdiğini izlemek anlamına gelmez; ikisini ayrı amaç ve ayrı yetkiyle yönetin. Çalışan ağında herkesin bildiği ortak parola yerine kişiye özel kurumsal kimlikle bağlanmak, kaydın cihazdan kişiye bağlanmasını da kolaylaştırır (bunu aydınlatma metninde belirtmeyi unutmayın); kimliği tek merkezden yönetmenin mantığını [tek oturum açma (SSO) yazımızda](https://digitalbridge.com.tr/blog/tek-oturum-sso-nedir.html) anlattık.

## 5651 log tutma nasıl yapılır: uyumlu altyapı için 7 adım

Bu yedi adımlık sıra küçük bir ofisten çok binalı bir kampüse kadar uygulanabilir; ilk üç adım cihaz satın almadan önce gelir.

1. **Ağları haritalayın.** Hangi SSID (kablosuz ağ adı) kime açık: misafir, çalışan, taşeron, üretim, kamera, IoT? Misafir ve kurumsal ağı ayrı VLAN'lara (sanal yerel ağ) ayırın; üretim ve kamera ağlarının internete çıkıp çıkmadığını netleştirin.
2. **Rolünüzü belirleyin.** Ticari amaçlı mı, değil mi? Barındırma hizmeti de veriyor musunuz? Rol; izin belgesi, saklama süresi ve bütünlük kaydı gibi gereksinimleri belirler.
3. **Kayıt kaynağını seçin.** İç IP dağıtım logu çoğunlukla DHCP (Dynamic Host Configuration Protocol) sunucusundan, güvenlik duvarından ya da hotspot (karşılama sayfası) sisteminden gelir. Birden çok kaynak varsa hepsini tek merkeze toplayın.
4. **Zamanı tek kaynağa bağlayın.** Tüm ağ cihazları aynı NTP (Network Time Protocol) sunucusunu kullanmalı. İki dakika kayan bir saat, "o saatte o IP kimdeydi" sorusunu yanlış cevaplatır.
5. **Bütünlüğü kanıtlanabilir yapın.** Günlük log dosyasının özet (hash) değerini üretin ve ayrı saklayın; daha güçlü delil gerekiyorsa elektronik zaman damgası ekleyin. Log dizinine yazma yetkisini yalnızca toplama servisine verin.
6. **Saklama ve imhayı otomatikleştirin.** Belirlediğiniz süre dolunca kayıt otomatik silinsin ve bu işlem de kayıt altına alınsın. Yedeklerin de aynı süreye uyduğunu kontrol edin; eski yedekte duran log da saklanan logdur.
7. **Talep prosedürünü yazın.** Resmî bir kayıt talebi geldiğinde kim yanıtlar, hangi sorguyu çalıştırır, çıktıyı nasıl teslim eder? Sorgunun kendisi de kayıt altında olsun. Yılda bir kez örnek bir sorguyla prosedürü deneyin.

5651 log altyapısının doğru kurulduğunu anlamanın en basit yolu aşağıdaki kontrol tablosudur. Her satır, denetimde ya da resmî bir talepte sorulacak bir soruya karşılık gelir.

| Kontrol sorusu | Yeterli cevap | Sık görülen eksik |
|---|---|---|
| Geçen ayın bir saatinde, belirli bir iç IP hangi cihazdaydı? | Dakikalar içinde DHCP/hotspot kaydından MAC ve zaman aralığı | Kayıt yalnızca birkaç gün tutulmuş |
| Kayıtların değiştirilmediği nasıl kanıtlanır? | Günlük hash değeri, ayrı saklanan imza/zaman damgası | Düz metin dosyalar, herkesin yazabildiği paylaşım |
| Tüm cihazların saati tutarlı mı? | Tek NTP kaynağı, sapma izleniyor | Erişim noktaları fabrika saatinde |
| Misafir ile kurumsal ağ ayrı mı? | Ayrı VLAN ve ayrı log kaynağı | Misafirler kurumsal ağda |
| Saklama süresi dolan kayıt ne oluyor? | Otomatik imha, imha kaydı | Süresiz arşiv, yedeklerde kalan eski loglar |
| Loglara kim erişebiliyor? | Rol bazlı, erişimler kayıtlı | BT ekibindeki herkes |

5651 kontrol tablosu aynı zamanda [ISO 27001'in kayıt ve izleme kontrolleri](https://digitalbridge.com.tr/blog/iso-27001-nedir.html) için de kanıt üretir. Temel ağ güvenliği henüz oturmadıysa önce [KOBİ siber güvenlik kontrol listesiyle](https://digitalbridge.com.tr/blog/kobi-siber-guvenlik-kontrol-listesi.html) başlamak daha verimli olur.

## 5651 log tutmada sık yapılan hatalar

5651 log tutmada en yaygın hata, uyumu tek bir cihaz satın alma işi olarak görmektir. Cihaz kayıt üretir; ama saat senkronu, ağ ayrımı, saklama süresi ve talep prosedürü kurulmadıysa kayıt işe yaramaz. İkinci hata, dış IP'yi tutup iç IP eşleştirmesini atlamaktır; resmî taleplerde sorulan tam olarak iç ağdaki cihazdır.

Üçüncü hata, 5651 kaydını çalışan izleme aracına dönüştürmektir. Yasal yükümlülük için tutulan log, disiplin soruşturmasında amaç dışı kullanılırsa KVKK riski doğar. Dördüncüsü de ziyaretçi ağının kapıdaki kayıttan kopuk olmasıdır; ziyaretçi girişini [QR kodlu ziyaretçi kaydıyla](https://digitalbridge.com.tr/blog/qr-kod-ziyaretci-girisi.html) yöneten kurumlar, misafir ağı erişimini aynı ziyaret süresiyle sınırlayabilir.

## Digital Bridge 5651 log altyapısını nasıl kuruyor?

Digital Bridge olarak 5651 projelerine cihazla değil, keşifle başlıyoruz. [Siber güvenlik danışmanlığı](https://digitalbridge.com.tr/danismanlik/siber-guvenlik.html) kapsamında ağ topolojinizi, SSID'leri, DHCP ve güvenlik duvarı yapılandırmasını, mevcut log kaynaklarını ve saklama sürelerini çıkarıyoruz. Keşif çıktısı, hangi ağın hangi rol ve yükümlülüğe girdiğini gösteren kısa bir rapordur.

Ardından küçük bir pilotla, genellikle tek bir misafir ağıyla, kayıt toplama, saat senkronu, günlük bütünlük değeri ve örnek sorgu akışını kuruyoruz. Pilot sonunda "geçen salı 14:32'de 10.0.20.57 kimdeydi?" sorusunu dakikalar içinde cevaplayabildiğinizi birlikte test ediyoruz. Farklı marka ağ cihazlarından, hotspot yazılımından ya da bina yönetim sisteminden gelen kayıtları tek merkeze aktarmak için [sistem entegrasyonları](https://digitalbridge.com.tr/teknoloji-donanim/sistem-entegrasyonlari.html) hizmetimizi kullanıyoruz.

Log arşivini bulutta tutmayı düşünüyorsanız, değiştirilemez depolama ve erişim kaydı gereksinimlerini [bulut geçişi ve altyapı danışmanlığı](https://digitalbridge.com.tr/danismanlik/bulut-gecis-altyapi-danismanligi.html) planına baştan ekliyoruz. Aydınlatma metni, envanter kaydı ve saklama-imha kuralları için [KVKK uyum danışmanlığı](https://digitalbridge.com.tr/danismanlik/kvkk-uyum-danismanligi.html) ekibimizle çalışıyoruz; genel yol haritası [KVKK uyum sürecinin 8 adımıyla](https://digitalbridge.com.tr/blog/kvkk-uyum-sureci.html) örtüşür.

Kayıtlar yalnızca saklanmakla kalmayıp olay tespitinde de kullanılacaksa, aynı altyapıyı [SIEM'e](https://digitalbridge.com.tr/sozluk.html#siem) (güvenlik bilgisi ve olay yönetimi) bağlıyor ve bir ihlalde [72 saatlik bildirim süresi](https://digitalbridge.com.tr/blog/kvkk-veri-ihlali-72-saat.html) içinde zaman çizelgesi çıkarabilmenizi sağlıyoruz. Konuyla ilgili diğer rehberler için [Siber Güvenlik ve KVKK yazılarımıza](https://digitalbridge.com.tr/blog/konu/guvenlik-kvkk.html) göz atabilirsiniz.

## Sonraki adım

5651 uyumunuzu ölçmek için bu hafta üç soruya cevap verin: şirketinizde kaç ayrı kablosuz ağ var ve her biri kime açık? Bir ay önceki belirli bir saatte bir iç IP'nin hangi cihazda olduğunu bulabiliyor musunuz? Bu kayıtların ne zaman silineceği yazılı mı?

Cevaplardan biri belirsizse, ağ ve log envanterinizi birlikte çıkarmak için [iletişim sayfamızdan](https://digitalbridge.com.tr/iletisim.html) bize ulaşın. Keşif sonunda neyin eksik olduğunu ve hangi sırayla tamamlanacağını somut bir listeyle paylaşıyoruz.

## Sık Sorulan Sorular

### 5651 log tutma yükümlülüğü hangi işletmeleri kapsar?

Kanun, kişilere belli bir yerde ve belli bir süre internet kullanımı sağlayan herkesi toplu kullanım sağlayıcı sayar ve ticari amaç aramaz. Bu nedenle kafe ve oteller kadar, misafirine veya çalışanına kablosuz ağ açan şirketler, hastaneler, okullar ve site yönetimleri de uygulamada kapsamda değerlendirilir. Kendi durumunuz için güncel yönetmelik metnini ve hukuk danışmanınızın görüşünü esas alın.

### İç IP dağıtım logu nedir?

İç IP dağıtım logu, kurumun kendi ağında cihazlara dağıttığı IP adresini, bu adresin kullanılmaya başlandığı ve bittiği tarih-saati ve adresi kullanan cihazın MAC adresini gösteren kayıttır. Genellikle DHCP sunucusu, güvenlik duvarı veya hotspot sistemi tarafından üretilir. Resmî bir talepte dış IP'den iç ağdaki cihaza ulaşmayı sağlayan kayıt budur.

### 5651 logları ne kadar süre saklanmalı?

Yönetmeliğin yayımlanan metni ticari amaçlı toplu kullanım sağlayıcılar için bir yıl saklama öngörür. Kanun ise erişim sağlayıcılar için altı ay ile iki yıl, yer sağlayıcılar için bir ile iki yıl arasında süre tanımlar. Süreyi rolünüze göre belirleyip yazılı hale getirin; süre dolunca kayıtları otomatik imha edin ve imhayı da kayıt altına alın.

### 5651 logları KVKK'ya aykırı olur mu?

Doğru yönetildiğinde aykırı olmaz. Kanuni yükümlülük için tutulan log, KVKK'da hukuki sebebe sahiptir; ancak bu, KVKK kurallarının uygulanmayacağı anlamına gelmez. Aydınlatma yapılmalı, kayıtlar envanterde ve saklama-imha politikasında yer almalı, erişim rol bazlı sınırlanmalı ve süre dolunca silinmelidir. Aynı logların çalışan izleme gibi başka amaçlarla kullanılması ayrı bir değerlendirme gerektirir.

### Log kayıtlarının bütünlüğü nasıl kanıtlanır?

En yaygın yöntem, her günün log dosyası için özet (hash) değeri üretmek ve bu değeri log dosyasından ayrı bir yerde saklamaktır. Böylece dosyada sonradan yapılan en küçük değişiklik ortaya çıkar. Daha güçlü delil gerektiğinde elektronik zaman damgası eklenir. Log dizinine yalnızca toplama servisinin yazabilmesi ve tüm cihazların aynı saat kaynağını kullanması da bütünlüğün parçasıdır.

### 5651 log tutmamanın cezası nedir?

Kanun'un 7'nci maddesine göre yükümlülüklerini yerine getirmeyen ticari amaçlı toplu kullanım sağlayıcılara mahallî mülki amir, ihlalin ağırlığına göre uyarma, idari para cezası veya üç güne kadar ticari faaliyeti durdurma yaptırımlarından birini uygulayabilir. Kanun metnindeki para cezası 1.000–15.000 TL'dir ve her yıl yeniden değerleme oranında güncellenir. Ceza dışında asıl risk, adli bir talepte kayıt sunamamaktır.

### 5651 log tutmak için ayrı bir cihaz gerekir mi?

Her zaman gerekmez. İç IP dağıtım kayıtları çoğu zaman mevcut DHCP sunucusu, güvenlik duvarı veya hotspot sisteminden alınabilir. Asıl gereken; kayıtların tek merkezde toplanması, tüm cihazların aynı saat kaynağını kullanması, günlük bütünlük değerinin üretilmesi ve belirlenen süre sonunda otomatik imhadır. Ayrı bir log cihazı ya da yazılımı ancak bu işlevleri mevcut altyapı karşılamıyorsa değerlendirilmelidir.