# KVKK Uyum Süreci 2026: Veri Envanterinden İç Denetime 8 Adımlık Yol Haritası

> KVKK uyum süreci nereden başlar, hangi belgeler gerekir? Veri envanteri, VERBİS, 72 saatlik ihlal bildirimi ve iç denetimi kapsayan 8 adımlık yol haritası.

Kaynak: https://digitalbridge.com.tr/blog/kvkk-uyum-sureci.html
Yayıncı: Digital Bridge Teknoloji (https://digitalbridge.com.tr)
Konu: Siber Güvenlik ve KVKK
Yayın: 2026-09-24 · Güncelleme: 2026-10-30

KVKK uyum süreci, şirketin hangi kişisel veriyi neden, nerede ve ne kadar süre işlediğini çıkarıp buna göre hukuki dayanakları, aydınlatma metinlerini, saklama-imha kurallarını ve teknik tedbirleri kurmasıdır. Süreç bir kerelik belge hazırlamak değildir: veri envanteriyle başlar, erişim yetkileri ve kayıtlarla sistemlere işlenir, düzenli iç denetimle canlı tutulur.

## Kısaca

- KVKK uyum süreci kişisel veri envanteriyle başlar; aydınlatma metinleri, saklama-imha politikası ve teknik tedbirler bu envantere dayanır.
- KVKK 2025 Faaliyet Raporu'na göre Kurul 2025'te 876 veri sorumlusuna idari para cezası verdi; 594'ü VERBİS yükümlülüğüyle ilgiliydi.
- İlgili kişi başvuruları en geç 30 gün içinde sonuçlandırılmalı, veri ihlalleri öğrenildikten sonra en geç 72 saat içinde Kurul'a bildirilmelidir.
- 1 Haziran 2024'te yürürlüğe giren 7499 sayılı Kanun değişiklikleri, yurt dışına veri aktarımı ve özel nitelikli veri kurallarını yeniden düzenledi.
- KVKK uyumu bitip kapanan bir proje değildir: envanter, erişim yetkileri ve politikalar yılda en az bir kez gözden geçirilmelidir.

## KVKK nedir ve uyum neden çoğu şirkette yarım kalır?

[KVKK](https://digitalbridge.com.tr/sozluk.html#kvkk), 2016'da yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur; uygulamasını Kişisel Verileri Koruma Kurumu ve Kişisel Verileri Koruma Kurulu denetler. Kanun, Avrupa Birliği'nin Genel Veri Koruma Tüzüğü (GDPR) ile aynı mantığı paylaşır: [veri sorumlusu](https://digitalbridge.com.tr/sozluk.html#data-controller) hukuki bir dayanakla veri işler, kişiyi aydınlatır, veriyi güvende tutar, başvuruları yanıtlar ve ihlalleri bildirir. Türkiye'de çalışanı, müşterisi ya da tedarikçisi olan her şirket, yabancı sermayeli şirketler dahil, büyük olasılıkla veri sorumlusudur.

Pek çok şirket 2016'da bir aydınlatma metni yayımladı, bir açık rıza formu hazırladı ve konuyu kapattı. KVKK uyumundaki asıl sorun, belgelerin sistemlerle konuşmamasıdır. İnsan kaynakları klasöründe kimlik fotokopileri yıllardır durur, eski bir çalışanın e-posta kutusu hâlâ açıktır, müşteri listesi herkesin erişebildiği ortak bir sürücüdedir. Kâğıt üzerinde uyumlu görünen şirket, ilk şikâyette ya da ilk veri ihlalinde hazırlıksız yakalanır.

Mevzuat da yerinde durmuyor. 7499 sayılı Kanun'la yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklikler, özel nitelikli kişisel verilerin işlenme şartlarını ve yurt dışına veri aktarımını yeniden düzenledi. Yurt dışındaki bir bulut hizmetine veri gönderen ([buluta geçiş maliyeti ve veri konumu](https://digitalbridge.com.tr/blog/bulut-gecisi-maliyet.html) yazımızda bu kararı ele aldık), yabancı bir tedarikçiyle çalışan her şirketin eski değerlendirmesini gözden geçirmesi gerekiyor. Yeni aktarım kurallarını ve standart sözleşme bildirimini [KVKK yurt dışına veri aktarımı](https://digitalbridge.com.tr/blog/kvkk-yurt-disi-veri-aktarimi.html) yazısında ayrıntılı ele aldık.

Bu yüzden KVKK uyumunu bitiş tarihi olan bir proje değil, yönetilen bir süreç olarak ele almak gerekir. Uyumu dış destekle yürütecekseniz danışmanı nasıl seçeceğinizi [KVKK danışmanlık firması seçimi](https://digitalbridge.com.tr/blog/kvkk-danismanlik-firmasi-secimi.html) rehberimizde anlattık.

## KVKK'ya uymamanın maliyeti nedir? Kurul'un 2025 rakamları

Kişisel Verileri Koruma Kurumu'nun yıllık verileri, KVKK denetiminin kâğıt üzerinde kalmadığını gösteriyor:

> [KVKK 2025 Yılı Faaliyet Raporu](https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/MTY5ZjMxYTVlZGY0Y2Y.pdf)'na göre Kurul 2025'te **876 veri sorumlusu** hakkında idari para cezası uyguladı; bunların 594'ü Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğü, 142'si veri ihlali bildirimleri, 140'ı ihbar ve şikâyetler kapsamındaydı.

Başvuru hacmi de büyüyor. Aynı [KVKK 2025 faaliyet raporuna](https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/MTY5ZjMxYTVlZGY0Y2Y.pdf) göre Kurum'a 2025'te 12.512 ihbar ve şikâyet başvurusu yapıldı, Kurul aynı yıl 2.528 karar aldı. Yani bir çalışanın, adayın ya da müşterinin şikâyeti artık istisna değil, olağan bir risk.

İdari ceza işin yalnızca bir yüzü; asıl maliyet ihlalin kendisidir. [IBM Cost of a Data Breach Report 2026](https://www.ibm.com/reports/data-breach) verisine göre bir veri ihlalinin küresel ortalama maliyeti, önceki yıla göre %12 artışla 4,99 milyon dolara ulaştı. Üstelik ihlal yaşayan kurumların yalnızca %37'si hassas veriyi hem saklamada hem aktarımda şifrelediğini söylüyor ([IBM 2026 basın bülteni](https://newsroom.ibm.com/2026-07-29-ibm-study-one-in-four-malicious-breaches-are-ai-enabled,-costing-companies-6-million-on-average)).

Tedarikçiler de risk zincirinin parçası: [Verizon 2026 Data Breach Investigations Report](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf)'a göre üçüncü tarafın dahil olduğu ihlaller toplamın %48'ine ulaştı. [Veri işleyen sözleşmesi](https://digitalbridge.com.tr/blog/veri-isleyen-sozlesmesi-kvkk.html) olmadan çalışılan her yazılım firması, muhasebe bürosu ya da bulut hizmeti bu riski büyütür.

## KVKK uyum süreci hangi adımlardan oluşur? 8 adımlık yol haritası

Aşağıdaki KVKK uyum sırası, 20 kişilik bir ofisten çok tesisli bir üreticiye kadar uygulanabilir. Adımlar birbirini besler; envanter olmadan aydınlatma metni, saklama süresi olmadan imha planı yazılamaz. Envanterin tablo yapısını ve sistemlerden nasıl çıkarılacağını [kişisel veri envanteri hazırlama](https://digitalbridge.com.tr/blog/kisisel-veri-envanteri-hazirlama.html) rehberinde, raporlamada kullanılan veri sözlüğüyle aynı kaynakta tutmanın yolunu [veri yönetişimi nedir](https://digitalbridge.com.tr/blog/veri-yonetisimi-nedir.html) yazısında anlattık.

1. **Sorumluları ve kapsamı belirleyin.** Üst yönetimden bir sahip, İK, bilgi işlem, hukuk ve satıştan birer temsilci atayın. Hangi tüzel kişilerin, tesislerin ve sistemlerin kapsamda olduğunu yazın.
2. **Kişisel veri envanterini çıkarın.** Her süreç için şu soruları yanıtlayın: hangi veri kategorisi, hangi kişi grubu (çalışan, aday, müşteri, ziyaretçi, tedarikçi yetkilisi), hangi amaç, hangi hukuki sebep, nerede saklanıyor, kimlere aktarılıyor, ne kadar tutuluyor. E-posta, dosya sunucusu, ERP, PDKS, [IP kamera kayıtları](https://digitalbridge.com.tr/blog/ip-kamera-onvif-merkezi-yonetim.html) ve otopark girişindeki [plaka tanıma kayıtlarını](https://digitalbridge.com.tr/blog/plaka-tanima-sistemi.html) unutmayın.
3. **Hukuki sebepleri ve açık rızayı ayıklayın.** Sözleşme, kanuni yükümlülük veya meşru menfaatle işlenebilen veri için açık rıza istemek yaygın bir hatadır. Açık rızayı yalnızca gerçekten gereken işlemlere bırakın; ayrımı örneklerle [açık rıza ile aydınlatma metni farkı](https://digitalbridge.com.tr/blog/kvkk-acik-riza-aydinlatma-farki.html) yazımızda anlattık.
4. **Aydınlatma metinlerini ve başvuru kanalını hazırlayın.** Her kişi grubu için ayrı ve anlaşılır metin yazın. İlgili kişi başvurularını karşılayacak bir kanal ve iş akışı kurun; Kanun, başvurunun en geç 30 gün içinde sonuçlandırılmasını öngörür; akışın ayrıntısı [ilgili kişi başvurusu nasıl yanıtlanır](https://digitalbridge.com.tr/blog/kvkk-ilgili-kisi-basvurusu.html) yazımızda. Güvenlik kamerası kullanıyorsanız girişte katmanlı bir bilgilendirme de gerekir; nasıl yapılacağını [kamera kaydı ve KVKK](https://digitalbridge.com.tr/blog/kamera-kaydi-kvkk.html) yazımızda anlattık.
5. **VERBİS yükümlülüğünü değerlendirin.** Veri Sorumluları Siciline kayıt zorunluluğu çalışan sayısı, mali bilanço ve ana faaliyet konusuna göre belirlenir; muaf olmanız diğer yükümlülükleri kaldırmaz. Eşikleri, muafiyetleri ve kayıt adımlarını [VERBİS kaydı rehberimizde](https://digitalbridge.com.tr/blog/verbis-kaydi.html) anlattık.
6. **Saklama ve imha politikasını yazın.** Her veri kategorisi için saklama süresini ve süre dolunca uygulanacak silme, yok etme ya da anonimleştirme yöntemini belirleyin. Silmenin ihmal edilmesi gerçek bir şikâyet konusudur: [KVKK 2025 faaliyet raporuna](https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/MTY5ZjMxYTVlZGY0Y2Y.pdf) göre 2025'teki başvuruların 551'i verilerin silinmemesi, yok edilmemesi veya anonim hâle getirilmemesiyle ilgiliydi. Nasıl kurulacağını [kişisel veri saklama ve imha politikası yazımızda](https://digitalbridge.com.tr/blog/saklama-imha-politikasi.html) adım adım anlattık.
7. **Teknik ve idari tedbirleri sistemlere işleyin.** Rol bazlı erişim, çok faktörlü kimlik doğrulama, şifreleme, erişim kayıtları, yedekleme, işten ayrılanın erişiminin aynı gün kapatılması, veri işleyen sözleşmeleri ve çalışan eğitimi bu adımın omurgasıdır. Yazılı bir yapay zeka kullanım kuralı da ekleyin: çalışanların müşteri ya da personel verisini herkese açık yapay zeka araçlarına girmesi, fark edilmeden yurt dışına aktarım anlamına gelebilir ([ChatGPT'ye şirket verisi girmek güvenli mi?](https://digitalbridge.com.tr/blog/chatgpt-sirket-verisi-guvenligi.html)). Kuralın hukuki çerçevesini [yapay zeka ve KVKK](https://digitalbridge.com.tr/blog/yapay-zeka-kvkk.html) rehberinde topladık.
8. **İhlal müdahale planını kurun ve iç denetim takvimi belirleyin.** Kurul'un kararına göre ihlal öğrenildiği andan itibaren en geç 72 saat içinde bildirilmelidir; kimin neyi yapacağı önceden yazılı olmalı ([72 saatlik müdahale planı](https://digitalbridge.com.tr/blog/kvkk-veri-ihlali-72-saat.html)). Yılda en az bir kez envanteri, yetkileri ve politikaları gözden geçirin.

### Hangi belge hangi soruya cevap verir?

| Belge / kayıt | Cevapladığı soru | Güncelleme tetikleyicisi |
|---|---|---|
| Kişisel veri envanteri | Ne işliyoruz, neden, nerede? | Yeni süreç, yeni yazılım, yeni tedarikçi |
| Aydınlatma metinleri | Kişiye ne söylüyoruz? | Amaç veya aktarım değişikliği |
| Saklama ve imha politikası | Ne kadar tutuyoruz, nasıl siliyoruz? | Mevzuat veya süre değişikliği |
| Yetki matrisi ve erişim kayıtları | Kim erişebiliyor, kim erişti? | İşe giriş, görev değişikliği, ayrılış |
| Veri işleyen sözleşmeleri | Tedarikçi veriyi nasıl koruyor? | Yeni hizmet alımı |
| İhlal müdahale planı | Olay anında kim ne yapar? | Tatbikat sonrası, organizasyon değişikliği |

## KVKK uyumunda en sık görülen açıklar nelerdir?

Sahada gördüğümüz KVKK uyum sorunları büyük ölçüde teknik sistemlerde yaşanıyor. Ayrılan çalışanın e-posta kutusu ve dosya erişimi haftalarca açık kalıyor; bunun nasıl kapatılacağını [işten ayrılan çalışanın e-posta erişimi yazımızda](https://digitalbridge.com.tr/blog/isten-ayrilan-calisan-e-posta-erisimi.html) ele aldık. Ortak klasörlerde "herkes her şeyi görür" yetkisi varsayılan hâle geliyor; [dosya paylaşımında yetkilendirme rehberimiz](https://digitalbridge.com.tr/blog/dosya-paylasim-yetkilendirme.html) bunun için bir yetki matrisi öneriyor.

E-postalar süresiz birikiyor; saklama süresini ve erişimi [e-posta arşivleme ve KVKK yazımızda](https://digitalbridge.com.tr/blog/e-posta-arsivleme-kvkk.html) tablo hâlinde topladık. Parmak izi okuyuculu PDKS gibi özel nitelikli veri işleyen sistemler ise ayrı bir değerlendirme ister; [biyometrik PDKS ve KVKK](https://digitalbridge.com.tr/blog/biyometrik-pdks-kvkk.html) yazımız bu soruyu yanıtlıyor.

Temel güvenlik hijyeni de uyumun parçasıdır. Parola politikası, yedekleme ve yama yönetimi için [KOBİ siber güvenlik kontrol listemizi](https://digitalbridge.com.tr/blog/kobi-siber-guvenlik-kontrol-listesi.html) başlangıç noktası olarak kullanabilirsiniz; uyumun diğer başlıkları [Siber Güvenlik ve KVKK rehberimizde](https://digitalbridge.com.tr/blog/konu/guvenlik-kvkk.html) bir arada. Teknik ve idari tedbirleri denetlenebilir bir yönetim sistemine dönüştürmek isteyenler için [ISO 27001 nedir](https://digitalbridge.com.tr/blog/iso-27001-nedir.html) rehberini hazırladık.

## Digital Bridge'de KVKK uyumunu nasıl yürütüyoruz?

[KVKK uyum danışmanlığı](https://digitalbridge.com.tr/danismanlik/kvkk-uyum-danismanligi.html) hizmetimizde hukuki metinlerle sistemleri aynı masada ele alıyoruz. Yazılım ve donanımı aynı ekipte geliştirdiğimiz için "bu veri gerçekte nerede duruyor?" sorusunu sunucu, veritabanı ve uygulama düzeyinde yanıtlayabiliyoruz.

- **Envanteri sistemlerden çıkarıyoruz.** Süreç görüşmelerini veritabanı, dosya sunucusu ve e-posta incelemesiyle doğruluyoruz; kâğıt üzerinde olmayan veri akışlarını da bulmaya çalışıyoruz.
- **Teknik tedbirleri kuruyoruz.** Erişim kontrolü, kayıt tutma ve sızma testi gibi işler için [siber güvenlik danışmanlığı](https://digitalbridge.com.tr/danismanlik/siber-guvenlik.html) ekibimizle birlikte çalışıyoruz.
- **Veri kalitesini ve sahipliğini tanımlıyoruz.** Hangi tablonun sahibi kim, mükerrer kişi kayıtları nerede, sorusunu [veri yönetişimi ve kalite](https://digitalbridge.com.tr/veri-analitik/veri-yonetisimi-kalite.html) çalışmasıyla netleştiriyoruz.
- **Saklama-imha kurallarını yazılıma işliyoruz.** Belge türüne göre saklama süresini ve imha listesini [EBYS ve doküman yönetimi](https://digitalbridge.com.tr/yazilim-cozumleri/ebys-dokuman-yonetimi.html) projelerinde doğrudan sisteme kuruyoruz; personel verisi için [İK ve bordro yazılımlarında](https://digitalbridge.com.tr/yazilim-cozumleri/ik-bordro-personel-yonetimi.html) rol bazlı erişim tasarlıyoruz.

Hazır paket satmıyoruz: ihtiyaç analizinden sonra kapsamı, aşamaları ve bedeli yazılı teklifle sunuyoruz.

## Smart360 ile e-posta ve dosyalarda uyumun teknik tarafı

Kurumsal e-posta ve dosya paylaşımı, kişisel verinin en dağınık durduğu iki alandır. Kendi geliştirdiğimiz [Smart360](https://digitalbridge.com.tr/smart360.html) ailesi bu iki alanda uyumun teknik adımlarını kolaylaştırır:

- **Tek kimlik, tek işlemle kapanan erişim.** SmartMail ve SmartFiles tek kimlikle (SmartID) kullanılır; ayrılan çalışanın tüm ürünlerdeki erişimi tek işlemle kapanır, departman değişince erişim her üründe birlikte değişir.
- **Ayrıntılı yetki.** SmartMail'de kutu başına dokuz ayrı izin, SmartFiles'ta okuma, yazma, silme, geçmiş gibi sekiz bağımsız yetki tek bir matriste yönetilir. SmartMail'de denetim kaydı ve her mesajda işlem dökümü tutulur.
- **Veri ayrımı ve şifreleme.** Her kurumun verisi her ürün için ayrı veritabanında durur; posta kutusu parolaları AES-256-GCM ile şifreli saklanır ve çalışanlara dağıtılmaz.
- **Oturum ve bağlantı kontrolü.** Oturumlar cihaz bilgisiyle listelenir ve uzaktan kapatılabilir; SmartFiles indirme ve önizleme bağlantıları dakikalar içinde geçersizleşir.
- **Saklama süresi ve kişisel veri taraması.** [SmartFiles dosya yönetiminde](https://digitalbridge.com.tr/smart360/smartfiles.html) klasöre saklama süresi atanır, süresi dolan belgeler sorumluya listelenir; metni okunabilen belgelerde TC kimlik numarası, IBAN ve telefon gibi değerler işaretlenir.

Aile e-posta ve dosyayla sınırlı değildir: aynı kimlikle çalışan [SmartPass geçiş ve PDKS sistemi](https://digitalbridge.com.tr/smartpass.html), saklama süresi dolan geçiş kayıtlarında kişiyle ilişkilendiren alanları her gün kendiliğinden siler; [SmartMail](https://digitalbridge.com.tr/smart360/smartmail.html) ise gelen her maili SPF, DKIM ve DMARC ile denetler, oltalama şüphesi taşıyan mesajı gerekçesiyle birlikte karantinaya alır. SmartMail ve SmartFiles'ı [satın almak için Smart360 satın alma sayfasını](https://smart360.com.tr/satin-al?urun=smartmail) kullanabilirsiniz.

## Sonraki adım

Başlamak için tek bir tablo yeterli: şirketinizde kişisel veri işleyen beş süreci (işe alım, bordro, satış, ziyaretçi girişi, müşteri hizmetleri) yazın ve her biri için verinin hangi sistemde durduğunu, kimlerin eriştiğini not edin. Bu tabloyla [iletişim sayfamızdan](https://digitalbridge.com.tr/iletisim.html) bize ulaşın; eksikleri birlikte önceliklendirelim ve uyum yol haritanızı kapsam ve aşamalarıyla yazılı hâle getirelim.

## Sık Sorulan Sorular

### KVKK uyum süreci ne kadar sürer?

Süre, şirketin büyüklüğüne, süreç sayısına ve kullanılan sistemlerin çeşitliliğine bağlıdır. Tek lokasyonlu küçük bir ofiste envanter ve belgeler görece hızlı tamamlanır; çok tesisli ve çok yazılımlı yapılarda teknik tedbirlerin sistemlere işlenmesi daha uzun sürer. Uyum bittiği anda da kapanmaz; yeni süreç ve yazılımlar geldikçe envanter ve politikalar güncellenmelidir.

### KVKK uyumu için yalnızca aydınlatma metni yeterli mi?

Hayır. Aydınlatma metni, kişiye ne söylediğinizi gösterir; ancak verinin güvenli tutulduğunu, gereğinden uzun saklanmadığını ve yalnızca yetkili kişilerce görüldüğünü göstermez. Kurul incelemelerinde veri envanteri, saklama ve imha politikası, erişim yetkileri, erişim kayıtları ve veri işleyen sözleşmeleri de sorgulanabilir. Belgelerin sistemlerdeki gerçek durumla örtüşmesi gerekir.

### Küçük işletmeler ve yabancı şirketler de KVKK'ya uymak zorunda mı?

Evet. Türkiye'de kişisel veri işleyen her gerçek ve tüzel kişi veri sorumlusudur; aydınlatma, veri güvenliği, ilgili kişi başvurularını yanıtlama ve ihlal bildirimi yükümlülükleri ölçekten bağımsızdır. Küçük işletmelerin bir kısmı yalnızca VERBİS kaydından muaf olabilir ve bu muafiyet diğer yükümlülükleri kaldırmaz. Yurt dışında kurulu veri sorumlularının ise kendilerine özgü kayıt yükümlülükleri vardır.

### Yurt dışındaki bulut hizmetlerini kullanmak KVKK'ya aykırı mı?

Kendiliğinden aykırı değildir, ancak yurt dışına aktarım sayılır ve 1 Haziran 2024'te yürürlüğe giren değişikliklerle yeniden düzenlenen kurallara uymak gerekir. Aktarımın hangi dayanağa, örneğin standart sözleşmeye dayandığını belirlemeli (standart sözleşme imzalandıktan sonra 5 iş günü içinde Kurum'a bildirilir), aydınlatma metninde belirtmeli ve envantere işlemelisiniz. Hizmet sözleşmesini ve verinin tutulduğu yeri mutlaka kontrol edin.

### KVKK uyumunu kim yürütmeli?

Hukuki metinler için hukuk desteği, sistemler için bilgi işlem desteği gerekir; ikisi ayrı çalışırsa belgeler sahayla örtüşmez. En iyi sonuç, üst yönetimden bir sorumlunun koordinasyonunda İK, bilgi işlem ve iş birimlerinin birlikte çalıştığı bir ekiple alınır. Dış danışman bu ekibi hızlandırır, ancak süreç sahipliği şirkette kalmalıdır.

### KVKK'ya uymamanın cezası nedir?

KVKK'ya uymayan veri sorumlusuna Kişisel Verileri Koruma Kurulu idari para cezası uygular. KVKK 2025 Faaliyet Raporu'na göre Kurul 2025'te 876 veri sorumlusuna ceza verdi; bunların 594'ü VERBİS kayıt ve bildirim yükümlülüğü, 142'si veri ihlali bildirimleri, 140'ı ihbar ve şikâyetler kapsamındaydı. Cezanın yanında bir veri ihlalinin kendisi de ciddi maliyet, itibar kaybı ve müşteri şikâyeti doğurur.

### KVKK'da veri ihlali ne kadar sürede bildirilmeli?

Kurul kararına göre veri ihlali, veri sorumlusunun ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul'a bildirilmelidir. Bu kısa sürede bildirim yapabilmek için kimin olayı değerlendireceği, kimin Kurul'a ve etkilenen kişilere haber vereceği önceden yazılı bir ihlal müdahale planında belirlenmelidir. Plan, tatbikatlardan ve organizasyon değişikliklerinden sonra güncellenmelidir.