Kriz Yönetimi ve Kriz İletişimi Planı Nasıl Hazırlanır?

Dosya sunucuları şifrelenmiş, üretim durmuş, bir müşteri telefonda “verilerimiz sızdı mı?” diye soruyor ve aynı anda üç yönetici üç farklı cevap veriyor. Krizde işleri çoğu zaman teknik arıza değil, bu dağınıklık büyütür: kimin karar vereceği belirsizdir, yasal bildirim süresi sessizce akar. Bir kesinti müşteri güvenini, yasal yükümlülükleri veya şirketin itibarını tehdit etmeye başladığında artık kriz yönetimi gerekir. Aşağıda kriz yönetim ekibinin yapısını, toplantı ritmini, karar kaydını ve iç/dış paydaş iletişimini; üst yönetim, iş sürekliliği sorumluları ve kurumsal iletişim ekipleri için uygulama sırasıyla anlatıyoruz.

Olay, kesinti ve kriz arasındaki fark

Her olayı kriz ilan etmek ekibi yıpratır; hiçbir olayı kriz saymamak ise stratejik kararları geciktirir. Ayrım, olayın etkisine ve gerektirdiği karar düzeyine göre yapılır:

Durum	Tanım	Yöneten	Örnek
Olay	Olağan prosedürlerle yönetilebilen sapma	Operasyon / BT / güvenlik ekibi	Tek sunucu arızası, tek hesapta şüpheli giriş
Kesinti	Öncelikli bir faaliyetin planlı seviyenin altına düşmesi	İş sürekliliği koordinatörü, BCP	ERP’nin saatlerce erişilemez olması
Kriz	Kuruluşun hedeflerini, itibarını veya varlığını tehdit eden, stratejik karar gerektiren durum	Kriz yönetim ekibi	Fidye yazılımıyla üretimin durması ve müşteri verisinin sızdırıldığı iddiası

Kriz ilan kriterlerini önceden yazın: medyanın veya sosyal medyanın konuya ilgi göstermesi, kişisel veri ihlali şüphesi, kilit müşteriye sözleşme taahhüdünün karşılanamayacak olması, BIA’daki MTPD’ye yaklaşılması, can güvenliği riski, yetkili makamlara bildirim yükümlülüğü doğması. Bu kriterlerden biri gerçekleştiğinde iş sürekliliği koordinatörü kriz ekibini toplantıya çağırır. Kriz ekibi iş sürekliliği planının yerine geçmez: plan operasyonu yürütür, kriz ekibi stratejik kararları ve dış iletişimi yönetir. Planın yapısı için iş sürekliliği planı içeriği rehberine bakabilirsiniz.

Kriz yönetim ekibi ve yetkileri

Kriz ekibini küçük tutun. On iki kişilik bir ekip toplantı yapar, karar vermez. Çekirdek yapı genellikle şu rollerden oluşur:

• Kriz lideri: Genel müdür veya yetkilendirdiği üst yönetici. Nihai karar yetkisi ondadır.
• Kriz koordinatörü: Toplantıları yönetir, karar kaydını tutar, aksiyonları takip eder. Çoğu zaman iş sürekliliği sorumlusudur.
• Operasyon temsilcisi: Etkilenen iş birimlerinin durumunu ve BCP’nin ilerleyişini raporlar.
• BT / bilgi güvenliği temsilcisi: Teknik durumu, kurtarma tahminlerini ve güvenlik olayının seyrini yönetici diliyle aktarır. “Domain controller’lar etkilenmiş” yerine “kimse sisteme giriş yapamıyor, tahmini düzelme yarın öğlen” der.
• Hukuk: Sözleşmesel ve yasal yükümlülükleri, bildirim sürelerini ve açıklamaların hukuki riskini değerlendirir.
• İletişim: Mesajları hazırlar, kanalları yönetir, medya ve sosyal medya takibini yapar.
• İnsan kaynakları: Çalışan güvenliği, bilgilendirme ve gerektiğinde çalışma düzeni kararları.

Yetkiler önceden yazılır: olağan onay süreçlerinin dışında harcama limiti, tedarikçiyle acil sözleşme, üretimi veya hizmeti durdurma, sistemleri ağdan ayırma, dış uzman veya hukuk desteği çağırma. Gece 02.00’de üretim ağını ofis ağından ayırma kararını kimin vereceği yazılı değilse, o karar sabah verilir. Her rol için en az bir vekil tanımlanır. Ekibin toplanma yöntemi de (fiziksel toplanma yeri ve kurumsal sistemlerden bağımsız bir sanal toplantı kanalı) plana yazılır; ekibe ulaşma mekaniği çağrı ağacı ve acil iletişim yazısında ayrıca ele alınır.

Kriz toplantısı ritmi ve karar kaydı

Krizin ilk saatlerinde bilgi hızla değişir; düzensiz toplantılar ekibi sürekli toplantı odasında tutar ve işi yapacak kişileri işten alıkoyar. Ritim şöyle kurulur: ilk toplantı kriz ilanından kısa süre sonra yapılır, sonrakiler sabit aralıklarla (ilk gün için örneğin her 2–4 saatte bir) planlanır ve aralık kriz yatıştıkça uzatılır. Her toplantı aynı gündemi izler:

1. Durum özeti: ne biliyoruz, ne bilmiyoruz, son toplantıdan beri ne değişti?
2. Etki: müşteri, operasyon, yasal, itibar boyutunda güncel değerlendirme.
3. Önceki aksiyonların durumu.
4. Alınacak kararlar ve seçenekler.
5. İletişim: kime, ne zaman, hangi mesaj?
6. Bir sonraki toplantı saati.

Karar kaydı krizin en değerli dokümanıdır. Sonradan yapılacak incelemede, sigorta veya hukuki süreçte ve yasal bildirimlerde “hangi bilgiyle, ne zaman, hangi kararı verdik?” sorusunun cevabı buradadır. Kayıt basit bir yapıda tutulur:

KRİZ KARAR KAYDI
No | Tarih-saat | Durum bilgisi (o anki) | Karar | Gerekçe / alternatifler | Karar veren | Aksiyon sahibi | Termin
---+------------+------------------------+-------+------------------------+-------------+----------------+-------
07 | [gg.aa ss:dd] | Dosya sunucularında şifreleme tespit edildi, yayılım bilinmiyor | Üretim ağı ile ofis ağı arasındaki bağlantı kesilsin | Yayılım riskine karşı; üretim etkisi 4 saat kabul edildi | Kriz lideri | BT temsilcisi | Derhal

Kurumsal sistemler etkilenmiş olabileceği için kayıt bağımsız bir ortamda veya basılı tutulur ve kriz koordinatörü tarafından her toplantıda güncellenir. Şifrelenmiş bir dosya sunucusundaki karar kaydı kayıt değildir.

Paydaş iletişim matrisi

İletişim planının çekirdeği, paydaşları, mesajın amacını, kanalı ve onay sahibini tek tabloda toplayan matristir. Matris kriz başlamadan hazırlanır; kriz anında yalnız güncellenir:

Paydaş	Mesajın amacı	Kanal	Hazırlayan / onaylayan
Çalışanlar	Ne yapacakları, ne yapmayacakları, kimden bilgi alacakları	SMS, yöneticiler üzerinden, kurumsal dışı kanal	İK / kriz lideri
Kilit müşteriler	Etki, teslim durumu, sonraki bilgilendirme zamanı	Hesap yöneticisi telefonu, e-posta	Satış / kriz lideri + hukuk
Tedarikçiler	Sipariş ve teslim değişiklikleri, bağlantı kısıtları	Telefon, e-posta	Satın alma / operasyon
Düzenleyici kurumlar	Yasal bildirim	Kurumun resmi bildirim kanalı	Hukuk / kriz lideri
Medya	Doğrulanmış kısa açıklama	Basın açıklaması, yalnız yetkili sözcü	İletişim / kriz lideri + hukuk
Sigorta	Hasar bildirimi, poliçe şartlarına uyum	Poliçede belirtilen kanal	Finans / hukuk

İç iletişim dış iletişimden önce ya da en geç aynı anda yapılır. Çalışanlar şirketlerinin durumunu basından veya sosyal medyadan öğrenirse güven kaybolur ve çalışanların kendi kanallarından yaptığı paylaşımlar kontrol edilemez hale gelir. Bir çalışanın WhatsApp grubuna attığı ekran görüntüsü, onaylı basın açıklamasından hızlı yayılır.

Hazır mesaj şablonları ve yetki sınırları

Kriz anında sıfırdan metin yazmak zaman kaybettirir ve hukuki risk yaratır. Bu yüzden sık senaryolar (sistem kesintisi, tesis erişim kaybı, siber olay, ürün/hizmet gecikmesi) için önceden onaylanmış şablonlar hazırlanır. Şablon dolu bir metin değil, sabit yapı ve boşluklardır: ne oldu (doğrulanmış kadarıyla), müşteriye/çalışana etkisi, şirketin ne yaptığı, paydaştan ne beklendiği, bir sonraki bilgilendirmenin ne zaman yapılacağı. Şablonda tahmin, suçlama ve kesin süre taahhüdü yer almaz.

Sosyal medya ve basın için yetki sınırları açık yazılır:

• Şirket adına yalnız tanımlı sözcü açıklama yapar; diğer çalışanlar basın ve sosyal medya sorularını iletişim birimine yönlendirir.
• Sosyal medya hesaplarında yalnız onaylı metin paylaşılır; tek tek yorumlara cevap verilip verilmeyeceği kriz ekibi kararıdır.
• Planlı reklam ve kampanya paylaşımları kriz süresince gözden geçirilir veya durdurulur.
• “Yorum yok” yerine doğrulanmış bilgiyle kısa bir açıklama ve bir sonraki bilgilendirme zamanı verilir.

Siber olayda iletişim hassasiyetleri

Siber olaylar kriz iletişimine üç ek zorluk getirir. Birincisi, kurumsal e-posta ve mesajlaşma sistemleri saldırganın erişiminde olabilir. Saldırgan Exchange veya Microsoft 365 hesabına erişmişse kriz ekibinin “müdahale planımız şu” e-postasını o da okur. Kriz ekibinin iletişimi olay boyunca kurumsal altyapıdan bağımsız, önceden hazırlanmış bir kanaldan yürütülmelidir.

İkincisi, yasal bildirim süreleri kısa ve olaya özgüdür. Kişisel veri ihlallerinde Kişisel Verileri Koruma Kurulu’nun 2019/10 sayılı kararı, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a, ihlalden etkilenen ilgili kişilere ise makul olan en kısa süre içinde bildirim yapılmasını öngörür; güncel usul için KVKK resmi sitesi esas alınmalıdır. AB’de faaliyet gösteren ve NIS2 kapsamındaki kuruluşlar için NIS2 Direktifi’nin 23. maddesi, önemli olaylarda olayın farkına varılmasından itibaren 24 saat içinde erken uyarı, 72 saat içinde olay bildirimi ve olay bildiriminden itibaren en geç bir ay içinde nihai rapor sırasını tanımlar; ulusal uygulama mevzuatı ayrıntıları değiştirebilir. Süreklilik ve kriz yönetimi boyutuyla NIS2 yükümlülükleri NIS2 iş sürekliliği gereklilikleri yazısında ele alınır. Bildirim süreleri kriz ilanını beklemez. Saat, olay müdahale sürecinde işlemeye başlar ve kriz ekibi bu takvimi gündemde tutar. Olay müdahale ve bildirim süreçlerinin yapısı için olay yönetimi prosedürü rehberine bakabilirsiniz.

Üçüncüsü, açıklamaların hukuki ve adli sonuçları vardır. Olayın kaynağı, kapsamı ve veri sızıntısı hakkında doğrulanmamış ifadeler sigorta, sözleşme ve olası hukuki süreçlerde şirket aleyhine kullanılabilir. Bu yüzden siber olaylarda dış açıklamalar hukuk onayı olmadan yayımlanmaz; teknik inceleme ekibinin bulgularıyla iletişim mesajları arasında tek bir doğrulama noktası (kriz koordinatörü) bulunur. Log incelemesi bitmeden “veri sızıntısı yok” denmez.

Siber olaylarda müdahale ve bildirim süreçlerinin tasarımı için siber olay müdahale planı hizmeti, kriz yapısının iş sürekliliği planıyla birlikte kurulması için iş sürekliliği planı ve BIA hizmeti sayfalarına bakabilirsiniz.

Sık sorulan sorular

Kriz yönetim ekibi ile iş sürekliliği ekibi aynı mı olmalı?

Küçük şirketlerde kişiler örtüşebilir, ama roller ayrı yazılmalıdır. Kriz ekibi stratejik kararları ve dış iletişimi yönetir; iş sürekliliği ekipleri planı uygulayarak faaliyetleri sürdürür. Aynı kişiler iki işi aynı anda yapmaya çalışırsa karar hızı düşer.

Kriz anında basına açıklama yapmak zorunlu mu?

Her krizde basın açıklaması gerekmez. Konu kamuoyunun gündemine girdiyse, doğrulanmış bilgiyle kısa bir açıklama ve bir sonraki bilgilendirme zamanı vermek sessiz kalmaktan genellikle daha az risk taşır. Kararı kriz ekibi, hukuk ve iletişim görüşüyle verir.

Hazır mesaj şablonları ne sıklıkla güncellenmeli?

Yılda en az bir kez ve her tatbikattan sonra gözden geçirilir. Mevzuat, sözleşme yükümlülükleri, iletişim kanalları veya sözcü değiştiğinde şablonlar güncellenir ve yeniden onaylanır.

Kriz ekibi kurumsal e-posta çöktüğünde nasıl haberleşir?

Önceden belirlenmiş ve kurumsal altyapıdan bağımsız bir kanal kullanılır: ayrı bir mesajlaşma grubu, telefon konferans hattı veya bağımsız bir toplantı hesabı. Bu kanal tatbikatlarda denenir ve erişim bilgileri basılı olarak da saklanır.