NDAA Uyumlu Kamera Nedir? Section 889 ve Çin Menşeli Kamera Kısıtlamaları Türkiye'de Ne Anlama Gelir

NDAA Section 889 nedir ve kimi bağlar?

NDAA Section 889, ABD'nin 2019 mali yılı Ulusal Savunma Yetkilendirme Kanunu'nda (Public Law 115-232) yer alan ve federal kurumların belirli telekomünikasyon ve video gözetim ekipmanını temin etmesini kısıtlayan bir hükümdür. Hüküm iki ayrı yasağa dayanır: federal kurumların kapsama giren ekipmanı satın almasını yasaklayan kısım (13 Ağustos 2019'dan itibaren) ve kapsama giren ekipmanı kullanan bir işletmeyle sözleşme yapmayı, sözleşmeyi uzatmayı ya da yenilemeyi yasaklayan kısım (13 Ağustos 2020'den itibaren).

ABD'nin tedarik mevzuatı olan FAR'ın 52.204-25 maddesine göre kapsama Huawei ve ZTE'nin telekomünikasyon ekipmanı girer; Hytera, Hikvision ve Dahua'nın ürettiği video gözetim ve telekomünikasyon ekipmanı ise kamu güvenliği, hükûmet tesislerinin güvenliği ve kritik altyapının fiziksel güvenlik gözetimi gibi ulusal güvenlik amaçlarıyla kullanıldığında kapsama girer. Yasa metni bu kuruluşların bağlı şirketlerini de anar.

Bu nedenle hükmün muhatabı ABD federal kurumları, onlarla sözleşme yapan yükleniciler ve federal hibe alan kuruluşlardır. Türkiye'de ABD ile hiçbir bağı olmayan bir iş yerinin kamerasını bu hüküm doğrudan yasaklamaz; ancak ABD kamu kurumu, ABD'li bir müşteri veya federal kaynakla finanse edilen bir proje için çalışan kurulumcu ve tedarikçilere sözleşme şartı olarak yansıyabilir.

Güncellik notu: Bu bölümdeki bilgiler FAR 52.204-25 maddesinin resmî metnine ve sektör derlemelerine dayanır; 26 Ekim 2026 itibarıyla kontrol edilmiştir. Kapsama giren üretici listesi, ABD'de FCC kararları ve yeni yasal düzenlemelerle değişebilir; ABD ile bağlantılı bir iş için güncel metne bakmak gerekir.

ABD'de FCC kararları ve diğer ülkelerdeki uygulamalar

Section 889 yalnız satın almayı ve kullanımı ilgilendirir; ABD'de ayrıca FCC (Federal Haberleşme Komisyonu) tarafından yürütülen ayrı bir süreç vardır. Sektör kaynağı IPVM'in derlemesine göre FCC, Kasım 2022'de bu üreticilerin yeni ekipman yetkilendirmelerini yasaklamış, bir temyiz mahkemesi de Nisan 2024'te bu yasağı onamıştır; aynı derlemeye göre Kasım 2022 öncesinde yetkilendirilmiş modeller o tarihte kapsam dışında kalmıştır.

Birkaç ülkede kamu kurumlarına yönelik benzer uygulamalar vardır. IPVM'in Temmuz 2024 tarihli derlemesine göre İngiltere hassas kamu alanlarında bu tür ekipmanın değiştirilmesi için bir takvim açıklamış, Avustralya federal kurumlarında değişim programı başlatmış, Hindistan ise 2024'te Maliye Bakanlığı kararıyla bazı Çin merkezli firmaları kamu ihalelerinden men etmiştir. Aynı derleme Türkiye'den söz etmez.

Bu yasakların ortak noktası kapsamlarının kamu kurumları ve hassas tesislerle sınırlı olmasıdır. Tüketici veya özel sektör kullanımının tamamen yasaklandığı anlamına gelmez; her ülkenin metni ve kapsamı ayrı okunmalıdır.

'NDAA uyumlu' etiketi neyi ifade eder, neyi etmez?

'NDAA uyumlu' ifadesi genellikle bir ürünün Section 889 kapsamındaki üreticiler tarafından üretilmediği ve bu üreticilerin bileşenlerini içermediği yönünde üreticinin kendi beyanıdır; bilindiği kadarıyla bunu denetleyen ve belge veren tek bir resmî 'NDAA sertifikası' yoktur. Bu yüzden etiketin değeri, arkasındaki belgeye ve tedarik zincirine bağlıdır.

Etiketin ifade etmediği şeyler de önemlidir: cihazın siber açıdan güvenli olduğunu, firmware'inin güncel tutulduğunu, verilerin nerede işlendiğini veya Türkiye mevzuatına uygun olduğunu göstermez. Ayrıca FAR metni, kapsama giren ekipmanın bir sistemin esaslı veya zorunlu bileşeni olması durumunu da ele alır; yani yalnız dış kasadaki marka değil, içindeki parçalar da bir tedarik sorusudur.

• OEM: Bir ürünü başka bir firma üretir, farklı marka adıyla satılır. Etiket markada değil, gerçek üreticidedir.
• Beyaz etiket (white-label): Aynı donanım, birden fazla marka adıyla piyasaya çıkabilir; marka adı üreticiyi her zaman göstermez.
• Çipset ve modül: Görüntü işleyici, ağ modülü ve kamera modülü farklı kaynaklardan gelebilir; hangi parçanın kapsama girdiği üretici beyanı ve belgesiyle netleşir.
• Yazılım ve bulut: Donanım menşei ile yazılımın ve bulut hizmetinin kimin kontrolünde olduğu ayrı sorulardır.

Türkiye'de Çin menşeli kamera yasak mı?

Kaynaklarda Türkiye'de Çin menşeli veya belirli bir ülke menşeli güvenlik kamerasını genel olarak yasaklayan bir kanun hükmüne rastlanmadı; bu bir hukuki görüş değil, yapılan tarama sonucudur ve her somut durum için güncel mevzuata bakılmalıdır. Türkiye'de kamera ithalatı ve satışı genel olarak ürün uygunluk (CE işareti, elektromanyetik uyumluluk, düşük gerilim ve radyo ekipmanı) kurallarına tabidir; menşei tek başına ayrı bir yasak nedeni olarak öne çıkmaz.

Siber güvenlik alanında ise yeni bir çerçeve oluşmuştur. 7545 sayılı Siber Güvenlik Kanunu, 12 Mart 2025'te kabul edilmiş ve 19 Mart 2025 tarihli, 32846 sayılı Resmî Gazete'de yayımlanmıştır. Kanun'un ilkeleri arasında yerli ve milli ürünlerin tercih edilmesi bulunur; Siber Güvenlik Başkanlığı standart belirleme, test ve sertifikasyon, asgari güvenlik kriterleri belirleme gibi yetkilerle donatılmıştır ve kanun, kritik altyapı ve kamu hizmetleri için ayrıca tedbirler öngörür.

Kanun'un kamera gibi tek tek ürün gruplarına nasıl uygulanacağı ikincil düzenlemelere, kurum duyurularına ve sektör bazlı kriterlere bağlıdır; bu metinde kamera için doğrulanmış bir zorunluluk bulunmamaktadır. Kritik altyapı, kamu kurumu veya düzenlemeye tabi bir sektöre iş yapan kurulumcu, güncel yönetmelikleri ve kurum yazılarını ayrıca takip etmelidir. Kesin hüküm kurmak yerine, ilgili idareden yazılı teyit istemek en güvenli yoldur.

Kamu ihalelerinde marka, menşei ve yerli malı şartı nasıl çıkabilir?

Kamu ihalesinde bir kamera markasının yasak veya zorunlu olması genel bir kuraldan değil, o ihalenin idari ve teknik şartnamesinden doğar. Şartname; yerli malı teklif edenlere avantaj tanımlayabilir, sistemin belirli bir siber güvenlik belgesine veya standarda uygun olmasını isteyebilir veya tesisin niteliğine göre ek güvenlik şartları getirebilir. Kamu ihalelerinde belirli bir marka veya menşei dayatmanın rekabet ilkesiyle sınırlı olduğu da genel bir ilkedir; ancak ayrıntılar ihale türüne ve mevzuata göre değişir.

İhale ilanında ve şartnamede bu başlıklara dikkat etmek gerekir. Ayrıntılı süreç için kamu ihaleleri ve güvenlik sistemi projeleri rehberine bakılabilir.

• Yerli malı belgesi veya yerli üretim oranı isteniyor mu?
• Belirli bir siber güvenlik sertifikası veya test raporu şartı var mı?
• 'Veya dengi' ifadesi ve denklik belgelerinin nasıl sunulacağı belirtilmiş mi?
• Ürünün menşei, üreticisi ve bileşenleri için beyan isteniyor mu?
• Şartname belirsizse, süre içinde idareden açıklama istenebilir mi ve şikâyet yolları ne?

Gerçek risk alanları: firmware, bulut, varsayılan şifre ve veri akışı

Bir kameranın marka veya menşeine bakmak, çoğu zaman gerçek riskleri gözden kaçırır; sahada görülen sorunların büyük bölümü yapılandırma ve bakım kaynaklıdır. Bu nedenle menşei sorusunu, aşağıdaki teknik kontrol listesiyle birlikte değerlendirmek daha sağlıklıdır.

Ağ ve cihaz tarafı için ayrıntılar IP kamera siber güvenliği ve güvenlik açığı ve firmware güncelleme yazılarında, bulut tarafı ise bulut tabanlı video gözetim yazısında anlatılmıştır.

• Varsayılan şifre: İlk kurulumda fabrika şifresi değiştirilmeli, her cihazda benzersiz ve güçlü parola kullanılmalıdır.
• Firmware: Üreticinin güvenlik yamalarını düzenli yayımlayıp yayımlamadığı ve cihazın destek süresi kontrol edilmelidir.
• İnternete açık portlar: Kayıt cihazı ve kameralar doğrudan internete açılmamalı; erişim VPN veya güvenli bulut aracılığıyla yapılmalıdır.
• Bulut bağlantısı: Cihazın hangi sunucularla konuştuğu, P2P veya bulut hizmetinin hangi ülkede çalıştığı öğrenilmeli, gerekmeyen bulut özellikleri kapatılmalıdır.
• Ağ ayrımı: Kameralar iş ağından ayrı bir VLAN'da çalıştırılmalı, dışarı giden trafik sınırlandırılmalıdır.
• Kayıt ve erişim günlükleri: Kimin ne zaman görüntüye eriştiği izlenebilmelidir.

Veri yurt dışına çıkıyor mu? KVKK açısından kısa bakış

Bir kamera sistemi görüntüleri veya kişisel verileri yurt dışındaki bir sunucuya aktarıyorsa, bu kişisel verilerin yurt dışına aktarımı sayılabilir ve 6698 sayılı KVKK'nın 9. maddesi devreye girer. 7499 sayılı Kanunla değiştirilen bu madde 1 Haziran 2024'te yürürlüğe girmiştir. KVKK'nın sayfasına göre aktarım kademelidir: önce yeterlilik kararı, yoksa uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları gibi), onlar da yoksa dar yorumlanan istisnalar.

Aynı sayfada Kurulun henüz bir yeterlilik kararı vermediği belirtilir. Pratikte bu, bulut özellikli bir kamera çözümü kurmadan önce görüntülerin nerede saklandığının ve işlendiğinin belirlenmesini gerektirir. Genel çerçeve için iş yerinde güvenlik kamerası ve KVKK yazısına bakılabilir; somut sözleşme için veri sorumlusunun hukuk danışmanıyla çalışması gerekir.

Kurulumcu için müşteri sorusu kılavuzu ve teklifte menşei beyanı

Müşteri 'bu kamera yasak mı?' diye sorduğunda en dürüst cevap, markayı değil müşterinin durumunu sormaktır: bir kamu kurumu mu, ABD ile bağlantılı bir iş mi, kritik altyapı mı, yoksa sıradan bir iş yeri mi? Kısıtlama bu cevaba göre değişir.

Teklif ve sözleşmede ürün kaynağını yazılı hale getirmek, hem müşteriyi hem kurulumcuyu korur. Aşağıdaki adımlar pratik bir çerçeve sunar.

• 1. Müşterinin durumunu öğrenin: Kamu kurumu, ABD ile bağlantı, kritik altyapı veya şartnamede menşei şartı var mı?
• 2. Gerçek üreticiyi belirleyin: Marka, OEM ve beyaz etiket ilişkisini üreticiden veya toptancıdan yazılı isteyin.
• 3. Menşei ve üretim yerini teklife yazın: Ürün kodu, üretici adı, menşei ülkesi ve varsa üretici beyanı yer alsın.
• 4. Yazılım ve bulutu belirtin: Hangi uygulamanın, hangi bulut hizmetinin kullanıldığını ve verinin nerede tutulduğunu yazın.
• 5. Destek ve firmware süresini yazın: Güvenlik güncellemelerinin ne kadar süre sağlanacağı belirtilsin.
• 6. Değişiklik maddesi ekleyin: Ürün tedariki değişirse müşteriye yazılı bildirim yapılacağı sözleşmede olsun.
• 7. Kendinizi aşırı vaatten koruyun: 'Her koşulda yasal' veya 'her koşulda güvenli' gibi kesin ifadeler kullanmayın.

Toptancı için ürün kökeni belgelerinin kaydı ve Bayifi'nin yeri

Toptancı için en sağlam savunma, her ürün partisinin kökenini belgeleriyle birlikte kayıt altında tutmaktır. Kurulumcu veya kamu müşterisi menşei sorduğunda, belgeye hızlı ulaşmak hem güven hem zaman kazandırır. Kayıt altında tutulabilecek belgeler şunlardır: üretici veya ithalatçı beyanı, CE uygunluk beyanı ve test raporları, ithalat belgeleri ve gümrük kayıtları, ürün kodu-seri numarası eşleşmesi, OEM veya beyaz etiket ilişkisini gösteren yazılı üretici bilgisi ve firmware sürüm/destek bildirimleri.

Bayifi'de güvenlik sektöründe kurulumcu bulmak için bayiler dizinine, toptancıların stoktaki ürünlerini görmek ve tek talepten teklif almak için pazar bölümüne bakılabilir; toptancı veya kurulumcu olarak firmanızı eklemek için kaydol sayfası kullanılır. Bayifi ürün menşeine karar vermez; menşei beyanı ve belge sorumluluğu ürünü satan ve kuran taraftadır.