SİBER SAVAŞA UYGULANACAK HUKUK HAKKINDA TALLİNN EL KİTABI

SİBER SAVAŞA UYGULANACAK HUKUK HAKKINDA TALLİNN EL KİTABI 1. Giriş: NATO Siber Savunma Mükemmeliyet Merkezi, Uluslararası Bağımsız Uzmanlar Grubu na Siber Savaşa Uygulanacak Hukuk Hakkında Tallinn El Kitabı hazırlaması davetinde bulunmuş ve söz konusu grup, mevcut uluslararası hukuk normlarının, siber savaş haline ne ölçüde uygulanacağına ilişkin 3 yıl süren çalışmalarını tamamlamıştır Tallinn El Kitabı, savaşa girmenin haklı nedenleri (jus ad bellum), savaş sırasında uyulması gereken kurallar (jus in bello), devletlerin ulusal politikalarının bir aracı olarak kuvvete başvurmak konusunu düzenleyen uluslararası hukuk, silahlı kuvvetlerin yönetimini düzenleyen uluslararası hukuk (savaş hukuku, silahlı çatışma hukuku, uluslararası insanlık hukuku da dahil) konularını içermektedir. El Kitabı, bağımsız uzman grubunun görüşlerinden ibaret olup, resmi bir nitelik taşımamakta, Siber Savunma Mükemmeliyet Merkezi nin, destekçi ülkelerinin veya NATO nun görüşlerini de temsil etmemektedir. El kitabı, Cambridge Üniversitesi tarafından 2013 yılının Mart ayında yayınlanmıştır. Anılan kaynağa http://issuu.com/nato_ccd_coe/docs/tallinnmanual?e= 5903855/1802381 adresinden erişilebilmesi mümkündür. El Kitabı hazırlayan uzmanlardan hukuk alanında çalışanlar, Chatham House, Kanada Askeri Başsavcılığı, Avustralya Savunma Kuvvetleri, Almanya Postdam Üniversitesi, Amsterdam Üniversitesi, Texas Hukuk Fakültesi, İsveç Milli Savunma Koleji, Cenevre Güvenlik Çalışmaları Merkezi ve ABD Donanma Koleji uzmanlarından, teknik konulardaki uzmanlar ise NATO Siber Savunma Mükemmeliyet Merkezi uzmanlarından oluşmaktadır. Siber Savaşa Uygulanacak Hukuk Hakkında Tallinn El Kitabı ; I- Uluslararası Siber Güvenlik Hukuku ve II- Siber Silahlı Çatışma Hukuku başlıklı iki ana bölümden oluşmaktadır. I- Uluslararası Siber Güvenlik Hukuku bölümü; 1- Devletler ve Siber Uzay (Egemenlik, Yargılama Yetkisi ve Kontrol ve Devlet Sorumluluğu) ve 2- Güç Kullanımı (Güç Kullanımının Yasaklanması/Meşru Müdafaa/Uluslararası Kuruluşların Faaliyetleri) alt başlıklarından ve uluslararası örf adet hukukuna ilişkin 1907 Lahey Mevzuatı (Uluslararası Ceza Mahkemesi nce de esas alınan) ve 1949 tarihli Cenevre Konvansiyonu nda kabul edilen mevcut normlar esas alınmak suretiyle, bağımsız uzmanlar tarafından oluşturulmuş kurallardan oluşmaktadır. 1/15

II- Siber Silahlı Çatışma Hukuku ise, 3-Genel Olarak Siber Silahlı Çatışma Hukuku, 4- Düşmanca Davranışlar (Silahlı Çatışmaya Katılma/Genel Anlamıyla Saldırılar/Kişilere Karşı Saldırılar/Nesnelere Karşı Saldırılar/Savaş Halinin Araçları ve Metodları/Saldırıların Yönetimi/ Önlemler/ Uygun Olmayan Kullanım ve Casusluk/ Kuşatma ve Bölgeler), 5-Belirli Kişiler, Nesneler ve Faaliyetler (Tıbbi, Dini Personel ve Tıbbi Birimler, Ulaşım ve Malzeme Birimleri/ Birleşmiş Milletler Personeli, Tesisat, Malzemeler, Birimler ve Ulaşım/Tutuklu Kişiler/Çocuklar/Gazeteciler/Tehlikeli Güçleri İçeren Tesisler/ Sivil Halkın Hayatta Kalması İçin Gözden Çıkarılabilir Nesneler/ Kültürel Varlıklar/Doğal Çevre/Diplomatik Arşiv ve İletişim/Toplu Cezalandırma/İnsani Yardım), 6-İşgal, 7-Tarafsızlık alt başlıklarından ve ilgili kurallarından oluşmaktadır. 2. İnceleme: Bu çalışmada, anılan dokümanın Uluslararası Siber Güvenlik Hukuku başlıklı birinci bölümü incelenmiş olup, Siber Silahlı Çatışma Hukuku başlıklı ikinci bölümün ise, ayrı bir çalışma konusu olarak, daha ilerideki bir dönemde incelenmesi planlanmıştır. Uluslararası Siber Güvenlik Hukuku başlıklı bölümde yer alan önemli hususlar, özetle, aşağıda sunulmaktadır: a. Uluslararası siber güvenlik hukuku adlı yasal bir terimin bulunmadığı, siber uzayda düşmanca eylemlerle ilgili olarak, uluslararası hukukun bu yönlerinin yansıtılması amacıyla, konu ve amaç olarak metinde kullanıldığı, aslen, savaşa girmenin haklı sebepleri arasında sayılmadığı, bu terimin sadece açıklayıcı bir mahiyette olduğu vurgulanmıştır. Savaşa girmenin haklı nedenleri (jus ad bellum), savaş sırasında uyulması gereken kurallar (jus in bello) ile ilgili işlemlerle ilgili olduğu ölçüde, egemenlik, yargılama yetkisi ve Devlet sorumluluğu konularının yasal çerçevesi de, kapsam dahilinde ele alınmıştır. b. Bu çerçevede, Uluslararası Uzmanlar Grubu, uluslararası hukukun yeni anlaşmalar hukuku temelinde yalnızca yeni bir ihtisas sahası olması bakımından, siber uzay konusunda sessiz kaldığı konusundaki iddiaları da reddetmekte, aksine, oybirliğiyle, uluslararası hukukun genel prensiplerinin siber uzaya da uygulanabileceği sonucuna varmaktadır. c. Bu bölümde, Devletler, siber alt yapılar ve siber operasyonlar arasında ilişkileri detaylandıran uluslararası genel hukuki yapıya ilişkin kuralların ortaya konulması amaçlanmaktadır. (1) Devletler ve Siber Uzay (Egemenlik, Yargılama Yetkisi ve Kontrol ve Devlet Sorumluluğu) başlığı altında; (a) Egemenlik, Yargılama Yetkisi ve Kontrol konusunda 5 adet kural öngörülmüştür. Söz konusu kurallar ve ilgili açıklamalar, özetle, aşağıda sunulmuştur: 2/15

Kural 1- Devlet, kendi egemenlik bölgesi dahilinde, siber altyapı ve siber eylemler üzerinde kontrol yetkisini kullanabilir. Gerçekte, hiçbir devlet siber uzay üzerinde egemenliğini iddia edememekle birlikte, her bir devlet, kendi sınırları dahilinde yer alan herhangi bir siber alt yapı üzerinde ve bu siber altyapılarla ilgili eylemler üzerinde egemenlik 1 imtiyazını kullanabilir. Söz konusu egemenlik, bir Devletin kendi bölgesinde siber alt yapıyı, benzer şekilde, karasal bölgede, iç sularda ve karasularında (deniz yatakları ve toprakaltı suları dahil) takımada suları ve ulusal hava sahasındaki siber altyapıları ve siber faaliyetleri kontrol etme hakkını vermektedir. Egemenlik, bir devletin sınırlarına erişimi kontrol etmesini, anlaşmalar ve uluslararası örf adet hukukunda konulan sınırlamalar ve kendi sınırları dahilinde yargılama hakkı ve otoritesini kullanma konusunda münhasır yetkisini işaret etmektedir. İstisnalar, meşru müdafaa hakkının kullanılmasına uygun olarak (Kural 13) ve Birleşmiş Milletler Güvenlik Konseyi tarafından yetki verilmiş veya zorunlu tutulmuş faaliyetlerle uyumlu olarak güç kullanımı konusunu kapsamaktadır. Bir devletin kendi sınırları dahilinde siber alt yapılar üzerindeki egemenliğinin, siber alt yapıların, hükümete, özel sektöre veya bireylere ait olmasının veya hangi amaca hizmet ettiğinin önemi olmaksızın, Devletin yasal ve idari kontrolüne konu olması ve Devletin bölgesel egemenliğinin siber alt yapıları koruması şeklinde iki sonucu bulunmaktadır. Bir devlet tarafından yürütülen başka bir ülkedeki yerleşik alt yapıya yönelik siber operasyon, diğer ülkenin egemenliğini ihlal edebileceği gibi, zarar durumunda kesinlikle ihlal etmektedir. 2 Bu tür siber operasyonlar, hükümete baskı yapma niyetini taşıyorsa, yasaklanmış müdahale veya yasaklanmış kuvvet kullanımı nı oluşturabilir. (Kural 10 ve 12) Silahlı saldırı olarak adlandırılan bir siber operasyon bireysel veya topyekun meşru müdafaa hakkının kullanılmasını tetiklemektedir. (Kural 13) Bir silahlı saldırıyı oluşturmamakla birlikte, uluslararası hukuku ihlal eden eylemler, karşı tedbirlerin alınması konusunda Devlete yetki verebilir. (Kural 9) Bir devlet, kendi sınırları dahilinde yasadışı yürütülen siber faaliyetlerle mücadele konusunda teknik olarak yetersiz olup, başka bir devletin yardımını talep ettiğinde, kendi sınırları dahilinde yürütülen siber operasyonlara ve siber alt yapılara uzaktan yapılan siber operasyonlara rıza gösterebilir. Başka devletin, yardım talep eden ülkedeki süregelen siber faaliyetleri, o ülkenin devlet egemenliğini ihlal etmemektedir. Söz konusu rıza, taraflar arasında yapılacak bir anlaşmayla da sağlanabilir. 1 Burada zikredilen egemenlik kavramı, Island of Palmas da 1928 Tarihli Tahkim Kararında ele alınan ve bağımsızlık anlamına gelen Devletler arasındaki egemenlik yetkisidir. Anılan egemenlik yetkisi, bir devletin fonkiyonlarını yerine getirdiği küresel dünyanın bir parçasında, bu yetkinin kullanılmasını ve diğer devletleri ve faaliyetlerini dışarıda bırakmayı gerektirmektedir. (Island of palmas(neth,v US) 2RIAA.829,838 (Perm.Ct.Arb.1928) 2 Uluslararası Bağımsız Uzmanlar Grubu, fiziksel bir zarara yol açmayan kötü yazılımın (kötü yazılımın faaliyetleri izlemek için kullanılmasında olduğu gibi) yerleştirilmesi durumunda egemenliğin ihlali olup olmayacağı konusunda bir mutabakata varamamışlardır. 3/15

Kural 2- Yargılama Yetkisi: Bir devlet, uygulanabilir uluslararası yükümlülükleri ihlal etmeden, -Kendi sınırlarındaki siber faaliyetlerle ilgili kişiler üzerinde, -Kendi sınırlarındaki yerleşik siber altyapı üzerinde, -Uluslararası hukukla uyumlu biçimde, kendi sınırı haricinde de, yargılama yetkisini kullanabilir. Yargılama yetkisi, özel, cezai ve idari konularda, durumun gerektirdiği ölçüde, kural koyma, icra etme ve hüküm verme yetkisini kapsamaktadır. Bir devletin yargılama yetkisini yerine getirirken temel prensibi, kendi sınırları dahilindeki konu olan kişi veya objenin, fiziken veya hukuken var olmasıdır. Devlet, kendi sınırları dahilindeki bireylerin veya fiziken ülke dışında faaliyet gösterse bile, kendi sınırlarında tescil edilmiş kuruluşların (İnternet servis sağlayıcılarının) faaliyetlerini kanun ve yönetmeliklerle düzenlemektedir. Siber uzay dahilinde, verinin yer değiştirdiği, bulut bilişim veya ağ dağılım sistemlerinin ulusal sınırların üstünden geçmesi nedeniyle yargılama yetkisini tayin etmek de güç olabilir. Belli bir zamanda, kullanıcılarının verilerinin çoklu yetki sınırlarında yerleşik olması nedeniyle, yargı yerini tespit etmek zorlayıcı olabilmektedir. Ancak bu tarz teknik zorluklar, bir devleti kendi sınırları dahilinde kişiler ve siber altyapılar konusunda yargılama yetkisini yürütmesi konusundaki hukuki hakkı kullanmasından yoksun bırakamaz. Sınırsallık esasına dayanan yargılama yetkisi göz önüne alındığında, bilgiyi ve iletişimi kullanan bireylerin belirli bir fiziksel yerleri bulunmasına karşın, mobil (gezici) cihazların çalıştıkları süre boyunca yerleri değişebilir. Herhangi bir Devlet, ilgili bireyin veya cihazın kendi ülkesinde yerleşik bulunması/ kullanılması durumunda yargılama yetkisini yerine getirecektir. Sınırsal yargılama yetkisi, 2 tür yargılama yetkisine yol açmaktadır. Bunlardan ilki olan, subjektif sınırsal yargılama yetkisi, bir ülkenin kendi ülkesinde başlamış ancak başka yerde sonuçlanmış olaylara uygulanırken, objektif sınırsal yargılama yetkisi, başka yerde başlamış olsa bile, olayların etkilerinin kendi ülkesinde görülmesi halinde uygulanmaktadır. 2007 yılında Estonya ya yapılan kısmen ülke dışında başlatılmış siber saldırı örneğinde de olduğu gibi, siber operasyonlarda, objektif sınırsal yargılama yetkisi kullanılmaktadır. Estonya hukukunu ihlal eden bu tür eylemler nedeniyle, Estonya nın, eylemleri gerçekleştiren bireyler, nerede yerleşik olurlarsa olsunlar, onları yargılama yetkisi bulunmaktadır. Bu operasyonlar Estonya bölgesindeki bankacılık ve hükümet fonksiyonlarını esaslı olarak etkilediği için, bu yargılama yetkisini haklı kılmaktadır. 4/15

Sınırötesi yargılama yetkisi için diğer tanınmış esaslar, belirli kısıtlamaları olsa da, failin milliyeti (aktif kişilik), mağdurun milliyeti (pasif kişilik), devletin milli güvenliğine tehdit (koruyucu ilke) ve savaş suçu gibi uluslararası hukukun evrensel normlarının ihlalini (evrensel yargılama yetkisi) içermektedir. Örneğin; Devletin askeri savunma sistemleri (hava savunma ve erken uyarı radarları) ile ilgili herhangi bir siber müdahale, milli güvenliğe tehdit teşkil edecek ve bu nedenle koruyucu ilkenin kapsamına girecektir. Uluslararası hukukun yargı yetkisine ilişkin esasların çeşitliliği çerçevesinde, bir terörist grubun A Devleti sınırlarından başlattığı bir siber operasyonla B devletinin enerji üretme santraline fiziksel zarara yol açmayı planlamasında olduğu gibi, iki veya daha çok Devlet, aynı olayda aynı kişi veya obje üzerinde yargılama yetkisini sıklıkla kullanmaktadır. Uygulanabilir uluslararası yükümlülüklere halel getirmeksizin ifadesi, uluslararası hukukun belirli koşullarda, Devletin, sınırları dahilinde savaş veya diplomatik dokunulmazlık nedeniyle belirli kişiler ve belirli objeler üzerinde yargılama yetkisini kısıtlı olarak kullanılabileceği anlamına gelmektedir. Kural 3- Bayrak Devletlerinin ve Tescil Devletlerinin Yargılama Yetkisi: Uçaklar, gemiler veya uluslararası hava sahasındaki diğer platformlarda açık deniz üzerinde veya uzay boşluğu içinde yerleşik siber altyapılar, Bayrak Devletinin veya Tescil Devletinin yargılama yetkisine konu olurlar. Bahsi geçen taşıtların içindeki kişi ve objelerin Bayrak Devletinin veya Tescil Devletinin yargılama yetkisine konu olmasına rağmen, A Devletine ait bir bireyin B Devletine kayıtlı bir gemiye düzenleyeceği bir siber eylemde, A devletinin fiilen milliyeti, B devletinin de tescil devletinin yargılama yetkisine sahip olması nedeniyle, her iki devletin yargılama yetkisine de konu olabileceği göz önünde bulundurulmalıdır. Belirli bir siber altyapının uzaktan kontrolünü alacak şekilde teknik donanıma sahip, ancak Bayrak Devleti veya Tescil Devleti dışında bir Devlet, icrai yargılama yetkisinden bağımsızdır. Örneğin bir Devlet, başka bir devlet üzerinde kayıtlı olan ve uluslararası uzay boşluğunda faaliyette bulunan uzaktan kumanda edilen ticari bir uçağa yüklenmiş siber alt yapı üzerinde, ayrıcalıklı ekonomik bölge ve bitişik bölgedeki deniz araçları üzerinde, kıyı devletinin icrai otorite yürütmesinde olduğu gibi, kontrol sağlamak suretiyle, bu konuda belirli bir uluslararası hukuk dayanağının olmadığı sürece, yargılama yetkisine sahip değildir. Eğer bir hava taşıtı veya uydu, uygulanabilir uluslararası tanınmış prosedürlere uygun olarak tescil edilmediyse, sahiplerinin milliyetlerine tabi olacaktır. Şirketlerin (tüzel kişiler) sahip olduğu durumlarda, milliyetin tespit edilmesinde şirketin bulunduğu yer veya idari merkez dahil çeşitli bağlantı yerleri olarak uluslararası kamu hukukunda yerleşmiş kural bulunmaktadır. 5/15

Uluslararası silahlı çatışma süresince, şirketin milliyeti kontrol test 3 olarak adlandırılan yere göre de tespit edilebilir. Kıta sahanlığında yerleşik denizaltı kabloları, veriler kendi içlerinden geçtiği için, siber altyapı oluşturabilmekte ve mülkiyetten kaynaklanan geleneksel yargılama yetkisi kurallarına tabi olduğu kadar, Deniz Konvansiyonu Hukuku ve La Hey Mevzuatının 54 üncü maddesi gibi, uluslararası hukukun diğer kurallarına da tabi olmaktadırlar. Kural 4-Egemenlik bağışıklığı ve dokunulmazlığı Bir devlet nezdindeki herhangi bir girişim tarafından bir altyapıya yüklenmiş siber alt yapının, nerede yerleşik olursa olsun, yargı dokunulmazlığından yararlanması, bağımsızlık ihlalini oluşturmaktadır. Bu kural, 3 üncü kuraldan farklı olarak, yerleşim yerinden bağımsız olarak, sadece devletin yargı dokunulmazlığından yararlanan altyapılara uygulanmaktadır. Egemenlik bağışıklığı, egemen platform veya obje ve üzerindeki bütün obje ve kişiler, başka ülke tarafından yüklenilen platformda, yargılama hakkının kullanılmasından bağışıktır. Uluslararası hukuk, açıkça, nerede yerleşik olduklarına bakılmaksızın ticari olmayan resmi amaçlar için kullanılan belirli objelerin egemenlik bağışıklığı konusunda uzlaşmaktadır. Egemenlik bağışıklığı ve dokunulmazlığından faydalanabilmek için, platforma yüklenen sözkonusu siber altyapının resmi amaçlar için kullanılması zorunludur. Kural 5- Siber Altyapının Kontrolü Bir Devlet, kendi sınırlarında veya kendi münhasır resmi kontrolünde olup, başka Devletleri ters veya hukuksuz olarak etkileyecek siber altyapıya bilerek izin vermez. Egemenlik eşitliği ilkesi, bütün Devletlerin diğer devletlerin sınırsal egemenliğine saygısını gerektirmektedir. Uluslararası Adalet Divanı nın Nikaragua yargılamasında da belirtildiği üzere, bağımsız devletler arasında, sınırsal egemenliğe saygı uluslararası ilişkilerin temel dayanağıdır. Uluslararası hukuka uygun olarak, devletlerin bu hakları korumak için uygun adımlar atması gerekmektedir. Bu yükümlülük, diğer devletlere karşı yapılan suç teşkil eden eylemlere ve aynı zamanda ciddi zarar verecek eylemlere veya hedef Devletin sınırsal egemenliği tarafından korunan kişi veya objelere ciddi zarar verme potansiyeli olan eylemlere uygulanmaktadır. Uygulamada, bu kural kanun dışı olan ve diğer Devleti etkileyen bütün eylemleri içermekte olup, Uluslararası Bağımsız Uzmanlar Grubu da, bilinçli olarak yasaklamaları sınırlama yoluna gitmemiştir. 3 Düşman bölgede tüzel kişilik kazanmamış (veya tescil edilmiş) olmasına rağmen, düşman milletler tarafından kontrol edilen şirketler, düşman bölgede faaliyette bulunan kişi veya kişilerin kontrolü altındaysa veya düşman bölgede bir faaliyet yürütüyorlarsa, düşman olarak adledilebilir. 6/15

(b) Devlet Sorumluğu konusunda 4 adet kural öngörülmüştür. Söz konusu kurallar ve ilgili açıklamalar, özetle, aşağıda sunulmuştur: Kural 6- Devletlerin Yasal Sorumluluğu Bir Devlet, kendisine atfedilebilen ve uluslararası yükümlülük ihlali oluşturan bir siber operasyon konusunda uluslararası yasal sorumluluğa katlanır. Bu kural, Devlet sorumluluğu konusunda uluslararası örf adet hukukuna dayanmaktadır. Siber uzay alanında, uluslararası yanlış bir eylem, diğerlerinin yanı sıra, Birleşmiş Milletler Sözleşmesi nin ihlalini oluşturduğu gibi, sözkonusu devlete atfedilebilen silahlı çatışma yükümlülüğüne ilişkin hukukun ihlalini de oluşturmaktadır. Kural 7- Resmi Siber Altyapıdan Başlatılan Siber Operasyonlar Resmi siber altyapıda başlatılan veya resmi siber altyapıdan kaynaklanan siber operasyon, o Devletin siber operasyon yaptığına ilişkin yeterli delil teşkil etmemekte, ancak sözkonusu Devletin anılan operasyonla ilişkilendirilebileceğine ilişkin karine (emare) teşkil etmektedir. Bu kuralın, sadece, resmi (hükümete ait) siber altyapıdan başlatılan/kaynaklanan operasyonlar için geçerli olduğu, ancak sözkonusu altyapılardan yönlendirilmiş (Kural 8) operasyonlara uygulanmayacağı vurgulanmıştır. Resmi (hükümete ait) özelliğini taşımasında, mülkiyetinin özel sektör veya hükümete ait olması veya siber altyapıyı oluşturan öğelerin hükümet tarafından kiralanmış olması önem taşımamaktadır. Ticari olmayan bir kullanım olduğu sürece, altyapı ekipmanlarının askeri, polis, gümrük veya diğer herhangi bir resmi amaca hizmet ettiğine de bakılmamaktadır. Kural 8- Bir Devletten Yönlendirilmiş Siber Operasyonlar Bir devlette yerleşik siber altyapı aracılığıyla yönlendirilmiş siber operasyon, bu devlete siber operasyon atfetmek için yeterli delil teşkil etmemektedir. Bu kural, bir devlette yerleşik siber altyapıda başlatılan siber operasyonların, başka ülkede yerleşik resmi veya gayri resmi siber altyapı aracılığıyla yönlendirilmesi durumları için kullanılır. Bu durumda kendisi aracılığıyla siber operasyon yönlendirilen devletin, siber operasyonla ilişkili olduğu varsayılamaz. Bu durum, siber uzayın özelliğinden kaynaklanmakta 7/15

olup, kendisinden veri transfer edilen devlet, bu transferi önlemek için makul tedbirleri almamaktan dolayı sorumluluğa katlanır. Kural 9- Karşı Tedbirler Uluslararası yanlış eylemlerden zarar görmüş bir Devlet, sorumlu Devlete karşı, siber karşı tedbirler dahil olmak üzere orantılı karşı tedbirlere başvurabilir. Karşı tedbirler, mağdur devletin, suç işlenmesine neden olan devletin uluslararası hukuku ihlal etmesine karşılık olarak aldığı gerekli ve orantılı tedbirlerdir. Karşı tedbiri içeren eylemler, suç işlenmesine neden olan devletin eylemi olmasaydı, kanun dışı sayılabilecek eylem niteliğinde olabilir. Bu tarz karşı eylemler, suçlu devletin uluslararası hukuka uygun olarak hareket etmesi maksadıyla alınmalıdır. Genel olarak, siber karşı tedbirler dahil, karşı tedbirler, sadece, zarar görmüş devletin, zarar veren devlete uluslararası hukuk dışı eylemlerine son vermesi çağrısında bulunması üzerine alınır. Bir devletin zarar görmesinden önce, kendi haklarının korunması için acil karşı tedbirleri almasında yetkisi bulunması halinde, bu gereklilik mutlak değildir. Acil karşı tedbirler, uluslararası hukukta resmi bir şekilde tanınmamasına rağmen, Uluslararası Bağımsız Uzmanlar Grubu, uluslararası örf adet hukukunu geniş anlamda etkileyen bu tarz usul gereklilikleri üzerinde hemfikirdirler. Ancak, karşı tedbirlerin uygulanmasına ilişkin temel gerekliliklerde belirsizlik bulunmaktadır. Karşı tedbirlerin; -Birleşmiş Milletler Sözleşmesi nde belirlenen tehdit veya güç kullanımından kaçınmak yükümlülüğünü, -Temel insan haklarını korumak yükümlülüklerini, - Misillemeyi yasaklayan insani yükümlülüklerini ve -Uluslararası genel hukukun emredici kurallarında yer alan diğer yükümlülükleri etkilememesi gerektiği genel olarak kabul edilmektedir. Karşı tedbirler, doğrudan bireylere karşı yönlenmeyebilir ve uluslararası hukukun emredici kurallarını ihlal etmeyebilir. (2) Güç Kullanımı (Güç Kullanımının Yasaklanması/Meşru Müdafaa/Uluslararası Kuruluşların Faaliyetleri) başlığı altında; Uluslararası Adalet Divanı, Birleşmiş Milletler Sözleşmesi nin güç kullanımı ve meşru müdafaanın kullanılmasının yasaklanmasına ilişkin 2 nci maddesinin 4 üncü fıkrası (Kural 10 ila 12) ve 51 inci maddesinin (Kural 13 ila 17), kullanılan silahlara bakılmaksızın herhangi bir güç 8/15

kullanımı durumunda uygulanacağını belirtmiştir. Uluslararası Bağımsız Uzmanlar Grubu, bu ifadenin uluslararası örf adet hukukunun doğru bir yansıması olduğuna oybirliğiyle karar vermişlerdir. Bu nedenle, operasyon süresince geleneksel silah, silah sistemi veya platform yerine kullanılan bir bilgisayar, bu operasyon kuvvet kullanımı anlamına gelse bile etkileme gücüne sahip olmayacaktır. Benzer şekilde, bir devletin meşru müdafaada bulunması anlamına da gelmeyecektir. (a) Güç Kullanımının Yasaklanması konusunda 3 adet kural öngörülmüştür. Söz konusu kurallar aşağıda sunulmuştur: Kural 10- Tehdit ve güç kullanımının yasaklanması Bir devletin sınırsal egemenliğine veya siyasi bağımsızlığına karşı tehdit ve güç kullanımını oluşturan veya Birleşmiş Milletlerin amaçları ile uyumlu olmayan diğer hallerde, siber operasyon, kanunsuzdur. Bu yasak, uluslararası örf adet hukukunun tartışmasız bir kuralıdır. Eylemlerin, bir devletin sınırsal egemenliğine veya siyasi bağımsızlığına karşı tehdit ve güç kullanımı şeklinde doğrudan yönlenmemiş olması durumunda dahi, Birleşmiş Milletlerin amaçları ile uyumlu değilse, yasağı ihlal edebilir. Kuvvet kullanımı ve kuvvet kullanımının tehditi, Kural 11 ve Kural 12 de ayrı ayrı açıklanmıştır. Kuvvet kullanımı olarak nitelenen eylemlerin Devletin silahlı kuvvetlerince alınması gerekmemektedir. Örneğin, silahlı kuvvetler tarafından gerçekleştirilen siber operasyonun kuvvet kullanımı olarak tanımlanması ve Devletin istihbarat kuruluşları veya Devletin sorumluluğu hukuku çerçevesinde Devlete atfedilebilen özel yükleniciler tarafından gerçekleştirilen siber operasyonlar, birbirine eşit olarak, kuvvet kullanımı olarak nitelendirilmektedir. Devlete atfedilen bu kuruluşların eylemleri ile ilgili olarak 6 ila 8 inci kurallar uygulanmaktadır. Kural 11- Kuvvet kullanımı tanımı Bir siber operasyonun derecesi ve etkileri, siber olmayan operasyonla karşılaştırıldığında kuvvet kullanımı seviyesine yükseliyorsa, o siber operasyon kuvvet kullanımını oluşturur. Birleşmiş Milletler Sözleşmesi bir eylemin kuvvet kullanımı anlamına geldiğine ilişkin herhangi bir kriter öngörmemiştir. Bazı siber eylemler, inkar edilemez bir biçimde kuvvet kullanımı olmayıp, kuvvet kullanımı Devletin doğrudan silahlı kuvvetlerinin kullanımını gerektirmemektedir ve bütün silahlı saldırılar kuvvet kullanımıdır. 9/15

Devletlerin kuvvet kullanımına ilişkin değerlendirme yapmasını etkileyen sertlik derecesi, aciliyet, doğrudan kişi veya objeleri etkilemesi, etkilerin ölçülebilirliği, askeri özellik, Devlet müdahalesi, varsayıma dayanan yasallık etkenleri gibi bazı resmi olmayan yasal kriterler de bulunmaktadır. Bu faktörler kapsayıcı olmamakta, Devletler, ilişkili belirli şartlara bağlı olarak, hüküm süren siyasi ortam, siber operasyonun, askeri gücün gelecekteki kullanımına delalet teşkil etmesi, saldırganın kimliği, saldırgan tarafından siber operasyonla ilgili herhangi bir kayıt, kritik alt altyapı gibi hedefin niteliği gibi, başka faktörlere de bakabilmektedirler. Sonuç olarak; bu kuraldaki kuvvet kullanımı ve 13 üncü maddede kullanılan silahlı saldırı, farklı amaçlara hizmet etmektedir. Kuvvet kullanımı bir Devletin Birleşmiş Milletler Sözleşmesi nin 2 nci maddesinin 4 üncü fıkrasını ve ilgili uluslararası örf adet hukukunu ihlal edip etmediği için kullanılmaktadır. Silahlı saldırı ise, aksine, hedef Devletin kuvvet kullanımı konusundaki yasağı ihlal etmeden, kuvvet kullanımına bir eylemle karşılık vermesi durumunda söz konusu olur. Kuvvet kullanımı, karşılık niteliğindeki kuvvet kullanımını, tek başına haklı göstermediğinden bu ayrım önemlidir. Uluslararası Bağımsız Uzmanlar Grubuna göre, Devletlerin silahlı saldırı niyeti anlamına gelmeyen kuvvet kullanımıyla mücadele etmesi, eğer kanuni yoldan karşılık vermek istiyorlarsa Kural 9 daki karşı tedbirlere veya Kural 9 a ek Gerekçede yer alan ihtiyaç gerekçesiyle uygun düşen eylemlere başvurmak zorundadırlar. Kural 12-Kuvvet tehdidi tanımı Bir siber operasyon veya siber operasyon tehdidi, tehdit edilen eylem, misilleme ise, kanunsuz kuvvet tehdidi oluşturur. Bu kural, 10 uncu maddede kullanılan tehdit terimini incelemektedir. Bu kuralda geçen siber operasyon veya siber operasyon tehdidi terimi iki duruma uygulanmaktadır. Bunlardan ilki ister kinetik ister siber olsun, kuvvet kullanımı tehdidi anlamına gelen siber operasyondur. Diğeri ise, siber operasyonun misillemesi amacıyla herhangi bir araçla duyurulan kuvvet kullanımı olarak nitelendirilen tehdittir. Eğer tehdit eyleminin kendisi kanuni ise, tehditleri gidermek konumunda olan devletler ve resmi görevliler tarafından yapılan tehditlerin de kanuni olduğu genel olarak kabul edilmektedir. Meşru müdafaa hakkının kullanılması ve Birleşmiş Milletler Sözleşmesi nin 7 nci bölümünde yer alan Birleşmiş Milletler Güvenlik Konseyi kararını yerine getiren eylemler (Kural 13 ve 18) şeklinde kuvvet kullanımına uluslararası hukuk yasağı konusunda iki istisna bulunmaktadır. Örneğin, bir devletin kendisine saldırılması durumunda tehdide varan güç kullanarak kendini savunması kanuni olacaktır. Uluslararası hukuku ihlal etmeyen diğer eylemlerle kendini savunması da aynı şekilde kanuni olacaktır. Tehditler genel olarak etki gücü bakımından baskı yapma niyeti taşımasına rağmen, bu tehdidin beraberinde belirli talep gerektirmemektedir. 10/15

Tehdidin mahiyetinin açıkça veya dolaylı olarak iletişimsel olması gerekmektedir. Hedef Devletin güvenliğini en azından tehdit eden ama doğası gereği iletişimsel olmayan eylemler, yeterli sayılmamaktadır. (b) Meşru Müdafaa konusunda 5 adet kural öngörülmüştür. Söz konusu kurallar aşağıda sunulmuştur: Kural 13-Silahlı saldırıya karşı meşru müdafaa Silahlı saldırı seviyesine yükselen bir siber operasyonun hedefi olan bir devlet, asıl hakkı olan meşru müdafaa hakkını kullanabilir. Bir siber operasyonun silahlı saldırı oluşturup oluşturmadığı derecesine ve etkisine bağlıdır. Birleşmiş Milletler Sözleşmesi nin 51 inci maddesine göre, mevcut sözleşmede hiçbir şey, Güvenlik Konseyi uluslararası barış ve güvenliğin sürdürülmesi için gerekli olan tedbirleri alıncaya kadar, Birleşmiş Milletlere üye devlete karşı gerçekleştirilen silahlı saldırıya karşı ferdi veya topyekun meşru müdafaaya ilişkin hakkın etkisini azaltmaz. Bu madde, meşru müdafaaya ilişkin geleneksel hakkı tanımakta ve ifade etmektedir. Bir silahlı saldırı, sınır ötesi unsurlu olmalıdır. Bir devletin kendi sınırı içinde düzenlenen, yürütülen ve yönlendirilen eylemlerle ilgili olarak, Devletler, kendi iç hukuklarıyla uyumlu olarak (insan hakları hukuku gibi uluslararası hukuk standartlarının bildirdiği haklar ve uluslararası olmayan silahlı çatışma durumlarında) kuvvet kullanabilirler. Uzmanlar, siber operasyondan kaynaklanan ölüm, yaralanma, zarar, yıkım ve acı çekmenin büyüklüğüne göre, durumun silahlı saldırı olarak nitelendirilmesi konusunda hukukun belirsiz olduğu görüşüne varmışlardır. Nikaragua yargılamasında, Uluslararası Ceza Mahkemesi, silahlı saldırı ile yalnızca sınır olayı arasında bir ayrım yapmıştır. Buna göre, Uluslararası Ceza Mahkemesi, sadece askeri platforma veya yerleşkeye yapılan saldırının, silahlı saldırı olarak nitelenebileceğine işaret etmiştir. Bir başka önemli nokta da, ayrı ayrı silahlı saldırı kritik eşiğini geçemeyen bir dizi siber olaylara karşılık olarak bir devletin meşru müdafaa hakkını kullanıp kullanmamasıdır. Eğer bu yönde inandırıcı deliller mevcut olursa, Uluslararası Bağımsız Uzmanlar Grubu, bu olayların karma silahlı saldırı olarak nitelendirilmesi için yeterli delillerin olduğunu kabul etmiştir. Siber operasyondan kaynaklanan ölüm, yaralanma, zarar, yıkıma yol açmayan ama bunun dışında geniş olumsuz etkilere sahip eylemler konusu karara bağlanmamıştır. Uluslararası Bağımsız Uzmanlar Grubu nun çoğu, terörist veya isyancı gruplar gibi devlet dışı aktörler tarafından yapılan silahlı saldırılar karşısında, devletin uygulamasının meşru müdafaa hakkını oluşturduğu sonucuna ulaşmışlardır. Uzmanlar Grubu, bu hakkı, eğer 11/15

operasyonlar silahlı saldırı eşiğine ulaşırsa, bilgi teknolojileri kuruluşları veya internet servis sağlayıcıları tarafından yürütülen siber operasyonlara karşı meşru müdafaa hakkı olarak da genişletmişlerdir. Meşru müdafaa hakkının uygulaması, gereklilik, orantılılık, yakınlık ve acillik gereklilikleri ile bağlıdır. (Kural 14-15) Aynı şekilde, silahlı saldırının olduğu veya olmakta olduğuna ve saldırganın kimliğine ilişkin de makul bir tespitin yapılması gerekmektedir. Bu tahminin önceden yapılması (ex ante) gerekmekte olup, olayın gerçekleşmesinden sonra (ex post facto) olmaması gerekmektedir. Kural 14- Gereklilik ve Orantılılık Bir Devlet tarafından üstlenilen siber operasyonla ilgili güç kullanımının, Devletin meşru müdafaa hakkının kullanılmasında gerekli ve orantılı olması zorunludur. Meşru müdafaadaki eylemlerin gereklilik ve orantılılık olmak üzere iki kriteri yerine getirmesi gerekmektedir. Söz konusu kriterler, uluslararası örf adet hukukunu yansıtmaktadır. Savaşa girmenin haklı nedenlerindeki (jus ad bellum) gereklilik ve orantılılık, savaş sırasında uyulması gereken kurallardaki (jus in bello) askeri gereklilik ve orantılılıktan farklılık göstermektedir. Kural 15- Yakınlık ve Acillik Meşru müdafaada kuvvet kullanma hakkı, siber silahlı saldırı gerçekleşirse veya gerçekleşmesi yakın ise ortaya çıkmaktadır. Aciliyet gerektiren hallerde ise, daha ileri düzeyde kuvvet kullanma hakkına konu olur. Birleşmiş Milletler Sözleşmesi nin 51 inci maddesi, silahlı saldırının meydana gelmesi durumuna atıfta bulunmaktadır. Bu madde, siber silahlı saldırının yol açtığı veya zarara veya yaralanmaya sebep olma sürecine ilişkin önceden gerçekleştirilmiş silahlı saldırının etkilerine ilişkin durumları kapsamaktadır. Bu durum, silahlı saldırının başlangıcındaki ilk aşamadaki siber operasyondaki durumları da içermektedir. Uluslararası Bağımsız Uzmanlar Grubu, 51 inci maddenin, silahlı saldırının önceden tahmin edilmesindeki savunma eylemini açıkça hesaba katmamasına rağmen, bir Devletin düşmanın saldırması için hazırlık yapmasını bekleyecek kadar boş oturmasına gerek olmadığı, onun yerine, silahlı saldırının an meselesi olduğunda, Devletin kendini savunabileceğini ele almıştır. Bu tür eylemler erken meşru müdafaa olarak adlandırılır. Bu tip olaylarda, hazırlık eylemleri ile bir saldırının başlangıç aşaması arasındaki farkın iyice belirlenmesi zorunludur. Potansiyel mağdur devletin kendisine düşmanca saldırı yapılması konusunda kararın olgunlaştığına dair makul olarak sonuca varması gerekmektedir. 12/15

Kural 16- Topyekun meşru müdafaa Meşru müdafaa hakkı topyekun olarak da kullanılabilir. Silahlı saldırıya varan siber operasyona karşı topyekun meşru müdafaa, yalnızca mağdur devletin isteği üzerine ve isteğinin kapsamı çerçevesinde kullanılabilir. Topyekun meşru müdafaa hakkı, bir devlete veya birden fazla devlete, silahlı saldırının mağduru olan diğer devlete yardım etme hakkı tanımaktadır. Bu hak, uluslararası örf adet hukukunun bir yansıması olarak, Birleşmiş Milletler Sözleşmesinin 51 inci maddesinde açıkça ortaya konmuştur. Bir devlet, topyekun meşru müdafaada diğer devlete yardım etmeden önce, silahlı saldırının mağduru olan devletin yardım çağrısını almış olmalıdır. Hem mağdur devlet, hem de yardım sağlayacak olan devlet, söz konusu saldırının meydana geleceği (Kural 15) veya geldiği konusunda kanaat getirmiş olmalıdır. Topyekun meşru müdafaayı, diğer devlet yararına kullanan devlet, talepte bulunan devletin isteği ve rızasının çerçevesi ile bağlıdır. Topyekun meşru müdafaa, ya daha önce sonuçlandırılan topyekun savunma ittifakı (NATO) veya ad hoc (o olay için oluşturulmuş) oluşumlar temelinde kullanılabilir. Kural 17- Meşru müdafaa tedbirlerini raporlama Birleşmiş Milletler Sözleşmesi nin 51 inci maddesi gereğince meşru müdafaa hakkının kullanılmasında Devletler tarafından alınan siber operasyonla ilgili tedbirler gecikmeksizin Birleşmiş Milletler Güvenlik Konseyi ne raporlanmalıdır. Bu kuralın ihlali, Birleşmiş Milletler Sözleşmesinin 51 inci maddesindeki yükümlülüklerin ihlalini teşkil eder. 51 inci maddeye göre, meşru müdafaa kapsamındaki eylemler, Güvenlik Konseyi nin uluslararası barışı ve güvenliği sürdürmek için gerekli tedbirleri almasına kadar sürer. Bir devletin meşru müdafaa hakkı bağlamında hukuki olarak sürdürdüğü eylemler veya böyle bir şeyi yapmamayı tercih etmesi, Birleşmiş Milletler Güvenlik Konseyi ni Sözleşmenin 7 inci Bölümündeki uluslararası barışı ve güvenliği sürdürme konusundaki yetkisinden alıkoymaz. (c) Uluslararası Kuruluşların Faaliyetleri konusunda 2 adet kural öngörülmüştür. Söz konusu kurallar aşağıda sunulmuştur: Kural 18- Birleşmiş Milletler Güvenlik Konseyi Birleşmiş Milletler Güvenlik Konseyi, bir eylemin barışı tehdit veya ihlal ettiğini veya saldırı eylemi olduğunu belirlerse, siber operasyon dahil şiddet içermeyen tedbirlere izin 13/15

verebilir. Eğer Güvenlik Konseyi, bu tedbirlerin yetersiz olduğunu değerlendirirse, siber tedbirler dahil şiddet içeren tedbirler konusunda karar verebilir. Bu kural, Birleşmiş Milletler Sözleşmesi nin 7 inci Bölümüne dayanmaktadır. Sözleşme nin 39 uncu maddesi, bir eylemin barışa yönelik tehdit veya ihlal oluşturduğunu veya saldırı eylemi olduğunu belirlemesi ve uluslararası barışın ve güvenliğin sürdürülmesi ve yeniden tesisi için, 41 ve 42 inci maddelerine uygun olarak hangi tedbirlerin alınması gerektiğine ilişkin tavsiyelerde bulunması için Güvenlik Konseyi ne yetki vermektedir. Güvenlik Konseyi, bir siber operasyonun barışı tehdit veya ihlal ettiğini veya saldırı eylemi oluşturduğunu bugüne kadar, hiçbir zaman belirlememiştir. Ancak, Güvenlik Konseyi nin bu yönde hareket etmesi konusunda yetkisi tartışmasızdır. Güvenlik Konseyi, belirli olaylar ve durumlarla ilgili olarak 39 uncu madde çerçevesinde yetkisini sıklıkla kullanmasına rağmen, uluslararası terörizm ve kitle imha silahlarının yaygınlaşmasını, barışa tehdit olarak tanımlandırmıştır. Güvenlik Konseyi 39 uncu maddeye göre belirleme yapmasını müteakip, 41 inci madde uyarınca gerekli tedbirleri almayı değerlendirebilir. 41 inci madde, Konseyin, kendi kararlarının yürürlüğe konması için kuvvet kullanımını kapsamayan hangi tedbirlerin alınacağı konusunda karar vermesini ve bu tedbirleri uygulaması için Birleşmiş Milletler üyelerine başvurmasını sağlamaktadır. Sözleşme nin 7 inci Bölümü uyarınca, Birleşmiş Milletlere üye Devletlerin tamamı, tavsiye kararları hariç, Güvenlik Konseyi kararlarına uymakla yükümlüdür. Genellikle, Güvenlik Konseyi kararları, Konseyin kararlarının iç hukuk seviyesinde yükümlülüklerinin yerine getirilmesine özgü araçlar konusundaki kararı devletlere bırakmaktadır. Siber iletişimi kapsayan yaptırımlar söz konusu olduğunda, iç uygulamalar zorunlu olabilir. Kural 18 in son cümlesi Sözleşme nin 42 inci maddesini temel almaktadır. Eğer Güvenlik Konseyi, tedbirlerin yetersiz olduğunu değerlendirirse, kuvvet kullanımı konusunda yetki verebilir. Bu kural çerçevesinde, Güvenlik Konseyi, kararın uygulanması için bütün gerekli tedbirlerin alınmasını sağlamaktadır. Bu ifade, söz konusu kararın konusu olan Devlet veya girişime karşı düzenlenen siber operasyonları yürütmek için yetki verilmesini de kapsamaktadır. Kural 19- Bölgesel organizasyonlar Uluslararası organizasyonlar, düzenlemeler veya bölgesel ajanslar, Birleşmiş Milletler Güvenlik Konseyi tarafından zorunluluklara uygun olarak yetki verilmiş siber operasyonları kapsayan veya karşılık niteliğinde icrai eylemler yürütebilir. 14/15

Bu kural, Güvenlik Konseyi nin, kendi yetkisine göre verilmiş icrai eylemler için bölgesel düzenlemeler ve ajanslara yönelebileceğini düzenleyen Birleşmiş Milletler Sözleşmesi nin 7 ve 8 inci bölümlerine dayanmaktadır. Söz konusu kural, bölgesel düzenlemeler veya ajanslar tarafından gerçekleştirilen icrai eylemlerin siber operasyonları içerebileceğini ve siber faaliyetlerin tamamı veya bir kısmını içeren durumlara karşı da karşılık olarak icrai eylemlerin yürütülebileceğini açıklığa kavuşturmaktadır. 3. Sonuç: a. Teknolojilerin gelişmesi ve insanların daha kolay iletişime geçmesinin, günlük yaşantıda sağladığı sayısız faydalarının yanı sıra, siber suçları, casusluk faaliyetlerini, terörizmi ve savaş durumunu da etkilediği bilinmektedir. Geleceğin savaşları olarak öngörülen siber savaşlar için NATO da faaliyetlerini yoğunlaştırmaktadır. Teknolojinin ulaşılamaz hızı karşısında hukuk kuralları bu hıza ayak uyduramamakta ve bu alandaki yasal boşluklar mevcut hukuk normlarının yorumlanması suretiyle giderilmeye çalışılmaktadır. b. Bu kapsamda yapılan çalışmalardan bir tanesi de, NATO Siber Savunma Mükemmeliyet Merkezi Uluslararası Bağımsız Uzmanlar Grubu na Siber Savaşa Uygulanacak Hukuk Hakkında Tallinn El Kitabı nın hazırlatılmasıdır. Söz konusu el kitabı; siber güvenlik konusundaki hukuk, savaşa girmenin haklı nedenleri (jus ad bellum), savaş sırasında uyulması gereken kurallar (jus in bello), devletlerin ulusal politikalarının bir aracı olarak kuvvete başvurmak konusunu düzenleyen uluslararası hukuk, silahlı kuvvetlerin yönetimini düzenleyen uluslararası hukuk (savaş hukuku, silahlı çatışma hukuku, uluslararası insanlık hukuku da dahil) konularını içermektedir. c. Siber Savaşa Uygulanacak Hukuk Hakkında Tallinn El Kitabı hukuki boşluğun nasıl doldurulacağı konusunda bir rehber niteliğini taşısa bile, bu konuda bağlayıcı uluslararası hukuki düzenlemenin yapılmasının halen bir ihtiyaç olduğu değerlendirilmektedir. 15/15