GİRİŞ
Deniz ticaretinde taşıma ilişkileri giderek artan ölçüde elektronik sistemler aracılığıyla yürütülmektedir. Elektronik konişmento platformları, liman topluluk sistemleri ve gemilerin seyir, haberleşme ve operasyonel yönetiminde kullanılan entegre bilgisayar sistemleri, taşıma süreçlerini hızlandırmakla birlikte veri manipülasyonu, sistem kesintisi, yetkisiz erişim ve geminin operasyonel kontrolüne müdahale gibi siber riskleri de beraberinde getirmektedir.
Siber saldırı kaynaklı zararlar, taşıyanın sorumluluğuna ilişkin geleneksel ayrımlar bakımından ayrıca değerlendirilmesi gereken bir alan oluşturmaktadır. Zira bu zararlar kimi hallerde taşımanın başlangıcında mevcut olan bir güvenlik açığıyla, kimi hallerde ise yolculuk sırasında ortaya çıkan operasyonel bir müdahale veya ihmal ile bağlantılı olabilmektedir. İşbu makalede, siber saldırıların elektronik konişmento, liman sistemleri ve geminin operasyonel kontrolü bakımından ortaya çıkabilecek görünümleri ile bu zararlar karşısında taşıyanın sorumluluğu bakımından nasıl değerlendirilebileceği ele alınacaktır.
SİBER SALDIRILAR DENİZ TAŞIMACILIĞINDA HANGİ ŞEKİLLERDE KARŞIMIZA ÇIKAR?
Siber saldırılar, deniz taşımacılığı faaliyetlerinde kullanılan elektronik sistemlerin gizliliğini, bütünlüğünü veya erişilebilirliğini hedef alan müdahaleler olarak ortaya çıkabilmektedir. Bu saldırılar, doğrudan fiziksel bir hasara yol açabileceği gibi, veri manipülasyonu, sistem kesintisi veya yetkisiz erişim yoluyla yükün temsili, teslimi, liman operasyonları veya geminin seyir güvenliği üzerinde hukuki sonuç doğurabilecek etkiler de yaratabilir. Uygulamada siber saldırı kaynaklı zararlar özellikle üç görünüm üzerinden tartışılmaktadır.
İlk olarak, saldırı elektronik konişmento sistemlerine yönelik olabilir. Bu durumda konişmentoda yer alan yük tanımı, miktar bilgisi veya teslim talimatı değiştirilebilir ya da yükün yetkisiz bir kişiye teslim edilmesine yol açabilecek sahte talimatlar oluşturulabilir. Böyle bir senaryoda zarar, çoğu zaman yükün fiziksel hasarından değil konişmentonun yükü temsil ve teslimi yönlendirme işlevinin veri manipülasyonu yoluyla bozulmasından kaynaklanmaktadır.
İkinci olarak, saldırı liman sistemlerine veya liman topluluk sistemlerine yönelik olabilir. Liman sistemlerinin kesintiye uğraması, yalnızca belirli bir taşıma ilişkisini değil aynı zamanda yükleme, boşaltma, teslim, depolama ve gümrük süreçlerini de etkileyebilecek geniş çaplı operasyonel aksamalara neden olabilir. Nitekim 2017 yılında ortaya çıkan NotPetya saldırısı, kötü amaçlı yazılımın şirket sistemlerine yayılması suretiyle birçok sektörde olduğu gibi deniz taşımacılığı ve liman operasyonlarında da ciddi kesintilere yol açmıştır. Bu saldırıdan etkilenen Maersk, bazı sistemlerini yeniden kurmak zorunda kalmış ve şirketin 2017 yılı faaliyet raporunda saldırının karlılık üzerindeki etkisinin yaklaşık 250-300 milyon ABD doları seviyesinde olduğu belirtilmiştir. Bu tür saldırılarda zarar genellikle gecikme, ilave depolama masrafları, teslim sürecinin aksaması veya yük ilgililerinin ticari kayıpları şeklinde ortaya çıkmaktadır.
Üçüncü olarak, saldırı geminin operasyonel kontrolüne yönelik olabilir. GPS sinyalinin yanıltılması, ECDIS (Elektronik Harita Gösterim ve Bilgi Sistemi) sistemlerine müdahale edilmesi veya geminin makine, seyir ya da haberleşme sistemlerinin etkilenmesi, geminin fiziksel bütünlüğünü derhal zarara uğratmasa dahi seyir güvenliği ve yük emniyeti bakımından ciddi riskler doğurabilir. Bu görünüm, taşıyanın sorumluluğu bakımından özellikle önemlidir. Zira zararın denize elverişlilik yükümlülüğü mü yoksa geminin sevk ve teknik yönetimine ilişkin muafiyetler mi kapsamında değerlendirileceği sorusu gündeme gelebilmektedir.
Bu üç görünümün ortak noktası, zararın her zaman doğrudan fiziksel bir hasardan kaynaklanmaması, kimi durumlarda elektronik sistemlerin işlevini kaybetmesi, veri bütünlüğünün bozulması veya yetkisiz müdahale sonucunda taşıma sürecinin aksaması nedeniyle ortaya çıkmasıdır. Bu nedenle siber saldırı kaynaklı zararlar bakımından taşıyanın sorumluluğunun, her somut olayda saldırının hedef aldığı sistem, zararın doğduğu aşama ve taşıyanın söz konusu riske karşı gerekli önlemleri alıp almadığı dikkate alınarak değerlendirilmesi gerekmektedir.
İNGİLİZ HUKUKUNDA SİBER SALDIRI KAYNAKLI ZARARLARDA TAŞIYANIN SORUMLULUKTAN KURTULMASI HANGİ ESASLARA BAĞLIDIR?
İngiliz hukuku bakımından taşıyanın siber saldırı kaynaklı zararlardan sorumluluğu, öncelikle Lahey-Visby Kuralları’nın denize elverişlilik yükümlülüğü ile taşıyana tanınan muafiyet hükümleri arasındaki ilişki çerçevesinde değerlendirilmektedir. Lahey-Visby Kuralları’nın III/1 maddesi uyarınca taşıyan, yolculuktan önce ve yolculuğun başlangıcında gemiyi denize elverişli hale getirmek, gemiyi usulüne uygun şekilde donatmak, gemi adamı ile tedarik etmek ve yükün taşınacağı kısımları yüke elverişli hale getirmek için gerekli özeni göstermekle yükümlüdür. Buna karşılık IV/2 (a) maddesi, kaptan, gemi adamları, kılavuz veya taşıyanın adamlarının geminin seyrine veya idaresine ilişkin fiil, ihmal veya kusurlarından doğan zararları belirli şartlar altında taşıyan bakımından muafiyet sebebi olarak düzenlemektedir.
Siber saldırı kaynaklı zararlar bakımından temel sorun, zararın geminin başlangıçtaki siber güvenlik eksikliği nedeniyle mi yoksa yolculuk sırasında geminin sevk veya teknik yönetimine ilişkin bir müdahale ya da ihmal nedeniyle mi ortaya çıktığının tespitidir. İlk ihtimalde, siber güvenlik açığının denize elverişlilik yükümlülüğü kapsamında değerlendirilip değerlendirilemeyeceği gündeme gelirken ikinci ihtimalde, zararın geminin seyri veya teknik yönetimiyle bağlantılı bir muafiyet kapsamında ileri sürülüp sürülemeyeceği tartışılmaktadır.
İngiliz hukukunda denize elverişlilik kavramının yalnızca geminin fiziksel durumuyla sınırlı olmadığı, geminin belirli bir yolculuğun olağan tehlikelerine karşı koyabilecek durumda olup olmadığı dikkate alınarak değerlendirildiği kabul edilmektedir. Hong Kong Fir Shipping Co Ltd v Kawasaki Kisen Kaisha Ltd [1962] kararı, denize elverişlilik yükümlülüğünün esnek ve olayın koşullarına göre değerlendirilen niteliğini ortaya koyması bakımından önem taşımaktadır. Bunun yanında, Riverstone Meat Co Pty Ltd v Lancashire Shipping Co Ltd (The Muncaster Castle) [1961] kararı, taşıyanın Lahey Kuralları kapsamındaki gemiyi denize elverişli hale getirmek için gerekli özeni gösterme yükümlülüğünün devredilemez niteliğini ortaya koymaktadır. Bu karar uyarınca taşıyan, gemiyi denize elverişli hale getirme işini üçüncü kişilere veya bağımsız yüklenicilere bırakmış olsa dahi, bu süreçte gerekli özenin gösterilmemesinden kaynaklanan denize elverişsizlik bakımından sorumluluktan kurtulamayabilecektir. Bir diğer önemli karar ise Alize 1954 v Allianz Elementar Versicherungs AG [2021] kararında ise İngiltere Yüksek Mahkemesi, kusurlu geçiş planının gemiyi denize elverişsiz hale getirebileceğini kabul etmiştir. Kararda, geçiş planlaması her ne kadar geminin seyrine ilişkin bir faaliyet olsa da yolculuğun başlangıcında mevcut olan ve güvenli seyri tehlikeye düşüren bir eksikliğin denize elverişlilik yükümlülüğü kapsamında değerlendirilebileceği belirtilmiştir. Bu nedenle, taşıyanın söz konusu eksikliği yalnızca “seyir hatası” olarak nitelendirerek Lahey Kuralları’nın IV/2(a) maddesindeki muafiyete dayanamayacağı sonucuna varılmıştır. Bu karar, siber saldırı kaynaklı zararlar bakımından da önemlidir. Zira geminin seyir, rota planlama veya operasyonel kontrol sistemlerinde yolculuğun başlangıcında mevcut olan ciddi bir güvenlik açığı, somut olayın koşullarına göre yalnızca operasyonel bir aksaklık olarak değil, denize elverişlilik yükümlülüğü kapsamında değerlendirilmesi gereken bir eksiklik olarak da ele alınabilecektir. Ancak anılan kararlar doğrudan siber saldırılara ilişkin değildir. Bu nedenle siber güvenlik eksikliklerinin denize elverişlilik kapsamında değerlendirilip değerlendirilemeyeceği sorusu halen doktrinsel tartışma alanı niteliğindedir.
Bu kapsamda doktrinde “siber-elverişlilik” (cyber-seaworthiness) kavramı tartışılmaktadır. Bu kavram, modern gemi işletmeciliğinde kullanılan siber sistemlerin geminin operasyonel bütünlüğü bakımından taşıdığı önemden hareketle, denize elverişlilik değerlendirmesinin yalnızca geminin fiziksel durumu ile sınırlı tutulmaması gerektiği düşüncesine dayanmaktadır. Bu yaklaşıma göre, yolculuğun başlangıcında mevcut olan ve taşıyanın gerekli özeni göstermesi halinde önlenebilecek nitelikteki bir siber güvenlik açığından kaynaklanan zararlar, denize elverişlilik yükümlülüğü kapsamında değerlendirilebilecektir. Buna karşılık yolculuk sırasında münferit bir gemi adamı ihmali veya operasyonel müdahale sonucunda ortaya çıkan zararlar bakımından, olayın niteliğine göre Lahey-Visby Kuralları’nın IV/2(a) maddesindeki seyir veya geminin idaresi muafiyetinin ileri sürülüp sürülemeyeceği ayrıca tartışılmalıdır.
Bununla birlikte, siber saldırı kaynaklı zararlarda bu ayrımı doğrudan ele alan yerleşik bir İngiliz mahkemesi içtihadı henüz bulunmamaktadır. Bu nedenle İngiliz hukuku bakımından yapılacak değerlendirme, mevcut Lahey-Visby rejimi, denize elverişlilik içtihadı ve siber risklere ilişkin gelişen doktrinsel görüşler birlikte ele alınarak yapılacaktır.
TÜRK HUKUKUNDA SİBER SALDIRI KAYNAKLI ZARARLARDA TAŞIYANIN SORUMLULUĞU HANGİ ESASLARA GÖRE DEĞERLENDİRİLİR?
Türk hukukunda taşıyanın siber saldırı kaynaklı zararlardan sorumluluğu değerlendirilirken, denize elverişlilik yükümlülüğü ile teknik kusur muafiyeti arasındaki ayrım önem taşımaktadır. 6102 sayılı Türk Ticaret Kanunu’nun (“TTK”) 1141. maddesi uyarınca taşıyan, her türlü navlun sözleşmesinde geminin denize, yola ve yüke elverişli halde bulunmasını sağlamakla yükümlüdür. Taşıyanın bu yükümlülük bakımından sorumluluktan kurtulabilmesi ise gerekli dikkat ve özeni göstermesine rağmen eksikliği yolculuğun başlangıcına kadar keşfetmesinin mümkün olmadığını ispatlamasına bağlıdır.
Denize elverişlilik kavramı TTK madde 932’de düzenlenmiştir. Geminin tekne, genel donatım, makine ve kazan gibi temel unsurları bakımından yolculuğun tehlikelerine karşı koyabilecek durumda olması denize elverişlilikle; teşkilatı, yükleme durumu, yakıtı, kumanyası, gemi insanlarının sayı ve yeterliliği bakımından yapılacak yolculuğa hazır olması ise yola elverişlilikle bağlantılıdır. Bu nedenle seyir, haberleşme, makine ve operasyonel kontrol sistemlerindeki siber güvenlik açıkları, etkiledikleri sistem ve doğurdukları risk dikkate alınarak denize veya yola elverişlilik kapsamında değerlendirilebilir. Ancak Türk hukukunda bu konuda yerleşik bir yargı içtihadı bulunmadığından, söz konusu değerlendirme her olayda saldırının hedef aldığı sistem, güvenlik açığının niteliği ve taşıyanın gerekli özeni gösterip göstermediği dikkate alınarak yapılmalıdır. Bu yükümlülüğün karşısında, TTK madde 1180’de düzenlenen teknik kusur muafiyeti yer almaktadır. Anılan hüküm uyarınca zarar, geminin sevkine veya başkaca teknik yönetimine ilişkin bir hareketin sonucu olarak meydana gelmişse, taşıyan yalnızca kendi kusurundan sorumlu olur. Buna göre taşıyan, kural olarak gemi adamlarının geminin sevk veya teknik yönetimine ilişkin kusurlarından sorumlu tutulmayabilir. Bununla birlikte, aynı hükümde tereddüt halinde zararın teknik yönetimin sonucu olmadığının kabul edileceği düzenlendiğinden, teknik kusur muafiyetinin uygulanması dar ve dikkatli bir değerlendirme gerektirecektir. Bu çerçevede, geminin operasyonel kontrolüne yönelik bir siber saldırı sonucunda doğan zararların hukuki niteliği iki ihtimal üzerinden değerlendirilebilir. Saldırının istismar ettiği siber güvenlik açığı yolculuğun başlangıcında mevcutsa ve taşıyan gerekli dikkat ve özeni göstermek suretiyle bu açığı önleyebilecek durumda ise zarar denize elverişlilik yükümlülüğü kapsamında ele alınabilir. Buna karşılık zarar, yolculuk sırasında geminin sevk veya teknik yönetimine ilişkin münferit bir ihmal ya da operasyonel müdahale sonucunda ortaya çıkmışsa, olayın koşullarına göre TTK madde 1180’de yer alan teknik kusur muafiyetinin ileri sürülüp sürülemeyeceği tartışılabilecektir.
Dolayısıyla Türk hukuku bakımından belirleyici olan husus, siber saldırının salt dış kaynaklı bir müdahale olup olmadığı değil saldırının hangi sistem üzerinde etkili olduğu, güvenlik açığının ne zaman ve nasıl ortaya çıktığı, zararın taşıma sürecinin hangi aşamasında doğduğu ve taşıyanın bu riske karşı gerekli dikkat ve özeni gösterip göstermediğidir.
SONUÇ VE DEĞERLENDİRMELERİMİZ
Siber saldırı kaynaklı zararlar bakımından taşıyanın sorumluluğu, saldırının dış kaynaklı olmasından hareketle kendiliğinden ortadan kalkmaz. Değerlendirmede esas alınması gereken hususlar saldırının hedef aldığı sistem, güvenlik açığının yolculuğun başlangıcında mevcut olup olmadığı, taşıyanın gerekli dikkat ve özeni gösterip göstermediği ve zararın geminin sevk veya teknik yönetimiyle bağlantısıdır. Bu kapsamda, yolculuğun başlangıcında mevcut olan ve makul tedbirlerle önlenebilecek nitelikteki bir siber güvenlik açığından doğan zararlar, denize elverişlilik yükümlülüğü çerçevesinde değerlendirilebilecektir. Buna karşılık, zarar yolculuk sırasında geminin sevk veya teknik yönetimine ilişkin münferit bir ihmal ya da müdahaleden kaynaklanıyorsa, somut olayın özelliklerine göre teknik kusur muafiyetinin ileri sürülmesi gündeme gelebilecektir. Bu nedenle taşıyanlar bakımından siber risk yönetimi, yalnızca teknik bir güvenlik önlemi değil denize elverişlilik, gerekli özen ve ispat yükü ile bağlantılı bir hukuki uyum başlığı olarak ele alınmalıdır. Siber risklerin tespiti, gerekli önlemlerin alınması, personelin eğitilmesi ve IMO rehberleri doğrultusunda uygulanan tedbirler olası uyuşmazlıklarda taşıyanın hukuki pozisyonunu doğrudan etkileyebilecektir.
Sonuç olarak, siber saldırı kaynaklı zararlar bakımından sorumluluk değerlendirmesi her somut olayda teknik ve hukuki unsurlar birlikte ele alınarak yapılmalı özellikle elektronik konişmento ve liman sistemlerine yönelik saldırılarda platform sağlayıcılar, liman işletmecileri ve diğer hizmet sağlayıcılarla kurulan sözleşmesel risk dağılımı da ayrıca değerlendirilmelidir.
Sık Sorulan Sorular
Siber saldırı sonucu oluşan seyir hatası taşıyanı sorumluluktan kurtarır mı?
Siber saldırı sonucu ortaya çıkan bir seyir hatası, taşıyanı kendiliğinden sorumluluktan kurtarmaz. Güvenlik açığının yolculuğun başlangıcında mevcut olması ve taşıyanın gerekli dikkat ve özeni göstermemesi halinde, zarar denize elverişlilik yükümlülüğü kapsamında değerlendirilebilir. Buna karşılık zarar, yolculuk sırasında geminin sevk veya teknik yönetimine ilişkin münferit bir ihmal ya da müdahaleden kaynaklanmışsa somut olayın özelliklerine göre teknik kusur muafiyetinin uygulanması tartışılabilecektir.
Siber güvenlik önlemleri denize elverişlilik yükümlülüğünün parçası mıdır?
Denize elverişlilik kavramının siber güvenlik önlemlerini kapsayıp kapsamadığı Türk hukuku bakımından henüz yerleşik bir yargı içtihadına konu olmamıştır. Bununla birlikte, modern gemi işletmeciliğinde kullanılan siber sistemlerin geminin seyir, haberleşme ve operasyonel güvenliği bakımından taşıdığı önem dikkate alındığında, siber risk yönetiminin denize elverişlilik değerlendirmesiyle bağlantılı bir unsur olarak ele alınması mümkündür.
Elektronik konişmentoya yönelik saldırı sonucu yanlış kişiye teslimden kim sorumlu olur?
Bu sorumluluk, zararın hangi aktörün fiilinden veya ihmalinden kaynaklandığına göre belirlenecektir. Taşıyan, platform sağlayıcı, gönderilen, yükleten veya diğer hizmet sağlayıcılar arasındaki sözleşmesel ilişkiler, sistem güvenliği yükümlülükleri ve teslim talimatlarının doğrulanma süreci birlikte değerlendirilmelidir.
P&I sigortası siber saldırı kaynaklı zararları kapsar mı?
P&I sigortası bakımından kapsam, ilgili kulüp kuralları, poliçe şartları, siber risklere ilişkin istisna klozları ve zararın niteliğine göre değişecektir. Bu nedenle siber saldırı kaynaklı bir zararın teminat kapsamında olup olmadığı, somut olayda uygulanacak sigorta şartları ve istisnalar incelenerek belirlenmelidir.
Referanslar
- A.P. Møller – Mærsk A/S, 2017 Yıllık Faaliyet Raporu, Risk Yönetimi bölümü
- Afenyo, Mawuli / Caesar, Livingstone D., “Maritime cybersecurity threats: Gaps and directions for future research”, Ocean and Coastal Management, C. 236, 2023, Madde No. 106493.
- Alize 1954 and another v Allianz Elementar Versicherungs AG and others (The CMA CGM Libra) [2021] UKSC 51.
- Hong Kong Fir Shipping Co Ltd v Kawasaki Kisen Kaisha Ltd [1962] 2 QB 26.
- IMO, Guidelines on Maritime Cyber Risk Management, MSC-FAL.1/Circ.3/Rev.3, 4 Nisan 2025.
- International Convention for the Unification of Certain Rules of Law relating to Bills of Lading (Hague Rules), 1924, 1968 Protokolü ile değişik hâli (Hague-Visby Kuralları), Madde III(1), Madde IV(2)(a).
- Riverstone Meat Co Pty Ltd v Lancashire Shipping Co Ltd (The Muncaster Castle) [1961] AC 807.
- Schinas, Orestis / Metzger, Daniel, “Cyber-seaworthiness: A critical review of the literature”, Marine Policy, C. 151, 2023, Madde No. 105592.
