Dijital egemenlik: gerçekte ne anlama geliyor

Egemenlik nedir, ne değildir

Egemenlik özünde denetim demektir: ne olacağına, bir başkası sizin üzerinizden karar vermeden, kendiniz karar verme hakkı ve yetisi. Devlet kuramında bu bir ülkeyi anlatır. Dijital egemenlik ise aynı kavramın bilgi altyapınıza uygulanmasıdır.

Bir kuruluş için bu üç soruya ayrılır ve bunları ayrı ayrı sormakta yarar vardır:

• Verinize kim erişebilir? Yalnızca kimin izni var değil; siz fark etmeden bile teknik ve hukuki olarak kimin erişebileceği.
• Tekniğinizin çalışmayı sürdürüp sürdürmeyeceğine kim karar veriyor? Yenilenmeyen bir lisans, durdurulan bir hizmet, ikiye katlanan bir fiyat: hepsi işleyişinize düşen, başkasının kararlarıdır.
• Ayrılabiliyor musunuz? Kuramda değil. Bunu, ayakta kalabileceğiniz bir süre içinde kanıtlayabiliyor musunuz?

Ne değildir: kendine yeterlilik. Her şeyi kendi kurmak ve işletmek neredeyse hiçbir kuruluş için akıllıca bir seçim değildir ve egemenlik de üretmez — bağımlılığı yalnızca onu anlayan iki kişiye taşır. Egemenlik daha az dışarıdan almak değil, çıkışı görerek dışarıdan almaktır.

Neden bir Avrupa veri merkezi yetmez

Konuşmaların çoğu tam burada tıkanır ve asıl önemli nokta da budur.

2018 tarihli ABD CLOUD Act, ABD yargı yetkisine tabi bir sağlayıcının elinde tuttuğu veya denetimindeki verileri vermeye zorlanabileceğini düzenler — bu verinin fiziksel olarak hangi ülkede durduğundan bağımsız olarak. Yasa verinin yerine değil, üzerindeki denetime bağlanır. ABD merkezli bir ana şirketin Avrupa’daki veri merkezi bunu tek başına değiştirmez.

Bunun üzerinde Avrupa tarafı durur. Adalet Divanı 2020’deki Schrems II kararıyla Privacy Shield’i iptal etti; 2023’ten bu yana Amerika Birleşik Devletleri’ne aktarım için yeni bir yeterlilik kararı var. Bu karar aktarımı uygulanabilir kılar ama yargı yetkisi sorusunu yanıtlamaz: verinin sınırı hangi koşullarda geçebileceğini düzenler, sınırın ötesinde kimin hak iddia edebileceğini değil.

Büyük sağlayıcıların buna artık yanıtları var: Avrupa’da tüzel kişilik, Avrupalı personel ve kıtayı terk etmeyen bir işletim içeren sürümler. Bunlar boş değil — denetimi gerçekten kaydırıyorlar — ama ne bedava ne de her yerde mevcut, ve tam koşullar sağlayıcıya ve hizmete göre değişiyor. Bunları okuyun ve üzerine bir şey kurmadan önce bir hukukçuya baktırın. Biz bir BT şirketiyiz, hukuk bürosu değil: tekniğin nerede durduğunu ve neyin taşınabilir olduğunu gösterebiliriz, bir yargıcın ne diyeceğini değil.

Bağımlılığın bulunduğu üç katman

Uygulamada egemenliğe katman katman bakmak yararlıdır, çünkü maliyet ve olanaklar katmandan katmana çok değişir.

• Veri. Nerede duruyor, şifrelendiği anahtarları kim tutuyor ve yedekler nerede. Bu, üzerinde bir şey yapılacak en ucuz katmandır ve çoğu zaman en önemlisidir.
• Teknik. Uygulamanız başka yerde de çalışan bir şeyin üzerinde mi duruyor, yoksa yalnızca tek bir yerde var olan bir hizmetin üzerinde mi? Kapsayıcıdaki bir veritabanı taşınır. Yalnızca tek bir sağlayıcıda var olan bir hizmet taşınmaz — yeniden kurulur.
• İşletim. Yönetmek için kim, hangi ülkeden bağlanıyor ve bunu yapan taraf hangi hukuka tabi. En sık unutulan katman budur ve bir olay anında ilk önem kazanan da odur.

Bu üçü birlikte hareket etmez. Veriniz Avrupa’da dururken yönetim başka bir kıtadan yapılıyor olabilir; ya da tümüyle Avrupalı bir sağlayıcınız olabilir ama kullandığı yazılımdan hiç kurtulamayabilirsiniz. Egemenliği tek bir kutucuk sayan, en kolay halledilen katmanı işaretlemiş olur.

Kurallar gerçekte ne diyor

Egemenlik taleplerini dayandırmak için çok sayıda düzenlemeye atıf yapılır. Bunlar ne diyor ve nerede duruyorlar.

GDPR, Avrupa Ekonomik Alanı dışına aktarımlara ve veri işleyenlerle yaptığınız anlaşmalara koşullar getirir. Avrupalı bir sağlayıcı şart koşmaz; verinin nereye gittiğini ve hangi hukuki temele dayandığını açıklayabilmenizi şart koşar.

NIS2, Hollanda’da Cyberbeveiligingswet olarak düzenlenmiştir, tedarik zincirinde risk yönetimi ister ve sorumluluğu açıkça yönetim kuruluna yükler. O da bir egemenlik şartı değildir, ama hangi tedarikçinin hangi riski getirdiğini yazmaya zorlar — ve bu konu tam olarak o envanterle başlar.

DORA, Ocak 2025’ten bu yana finansal kuruluşlar için geçerlidir ve en ileri gidenidir: kritik BİT sağlayıcıları için bir çıkış stratejileri olmak ve yoğunlaşma riskini açıkça tartmak zorundadırlar. Şu an için bu yazının konusuna en yakın yasal karşılık odur.

Avrupa Veri Tüzüğü Eylül 2025’ten bu yana geçerlidir ve sağlayıcıları geçişi sözleşmeyle zorlaştırmak yerine mümkün kılmakla yükümlü tutar; bunun için alabilecekleri ücretler kademeli olarak kalkmalıdır. Bu konu için son yılların en yararlı gelişmesi budur.

Bulut için bir Avrupa sertifikasyon şeması üzerinde yıllardır çalışılıyor ve egemenlik şartlarının hangi düzeyde geçerli olacağı tam da her seferinde takılınan bölüm. Seçim yapmanız gerektiği anda hazır olacağına güvenmeyin.

Uygulamada ne yapılır

İşte ucuzdan pahalıya bir merdiven. Kuruluşların çoğu ilk üç basamağın ötesine geçmez ve bu genellikle tam da yeterlidir.

• Her şeyin nerede durduğunu yazın. Hangi hizmet, hangi sağlayıcı, hangi ülke, hangi hukuk ve o giderse ne durur. Bir öğleden sonra sürer ve zaten her hâlükârda ihtiyacınız olan tek adımdır: NIS2 için, sigortacınız için ve kendiniz için.
• Yedeklerinizi başka bir yere koyun. Başka bir sağlayıcıda, başka bir yargı alanında, değiştirilemez biçimde yazılmış. Euro başına getirisi en yüksek basamak budur: ortadan kalkan bir sağlayıcıya, fidye yazılımına ve ödenmemiş bir faturaya karşı korur. Bunu nasıl kurduğumuz yedekleme ve süreklilik altında duruyor.
• Mümkün olan yerde anahtarlarınızı kendiniz tutun. Sizde kalan anahtarlarla şifreleme, istendiğinde bir sağlayıcının neyi verebileceğini sınırlar. Ama ne satın aldığınızı bilin: pek çok hizmette anahtarın kullanılabilmesi için sağlayıcının belleğine girmesi gerekir ve o noktada koruma matematiksel değil, yordamsal olur.
• Çıkışı deneyin. Hiç uygulanmamış bir çıkış planı bir belgedir, plan değil. Yılda bir kez başka bir tarafta bir ortamı geri yükleyin ve ne kadar sürdüğünü ölçün. Bunu neredeyse kimse yapmaz ve yapanların neredeyse hepsi bir şeyle karşılaşır.
• Taşınabilir olanı taşıyın. Egemen sürümler, Avrupalı sağlayıcılar ya da kendi donanımınız ancak burada gündeme gelir — ilk dört basamak yerine oturduktan ve tartı yine o yöne düştükten sonra.

Tersi soru da buraya aittir: bu ne zaman gerekmez. Özel nitelikli kişisel veri işlemiyorsanız, ne NIS2 ne DORA kapsamındaysanız ve bunu isteyen bir müşteriniz yoksa, ilk basamak yeter ve diğer dördü başka yerde daha çok getiren paradır. İşimizden olsak da bunu söyleriz.