Madde 11 — Denetçi firma ve personelinde aranacak nitelikler

MADDE 11- (Başlığı ile Birlikte Değişik:RG-25/11/2025-33088)

(1) Denetim ekibinde en az biri başdenetçi olmak üzere iki kişi bulunur. Ekipte birden fazla başdenetçi olması durumunda başdenetçilerden biri koordinatör olarak görevlendirilir. Denetimin kapsamı ve denetlenen sistemlerin karmaşıklığına bağlı olarak denetim ekibindeki denetçi sayısı artırılabilir.

(2) Denetçi firmanın başdenetçi ve denetçi ünvanlı personelinde aranacak nitelikler aşağıda belirtilmiştir:

a) Üniversitelerin veya denkliği Yükseköğretim Kurulu tarafından kabul edilen yurt dışındaki yüksek öğretim kurumlarının en az dört yıllık lisans programlarını tamamlamış olmak.

b) ISO/IEC 27001 standardının güncel versiyonu doğrultusunda geçerli bir başdenetçi sertifikasına veya geçerliliğini koruyan bir CISA sertifikasına sahip olmak.

c) Bilgi sistemleri denetimi, yönetimi, geliştirilmesi veya güvenliği konularından herhangi birinde ya da birkaçında başdenetçi için en az yedi yıllık, denetçi için en az beş yıllık tam zamanlı mesleki tecrübeye sahip olduğunu resmî hizmet dökümleri, iş deneyim belgeleri veya kurum onaylı referans yazıları ile belgelendirmek.

ç) Kritik Altyapılar Ulusal Test Yatağı Merkezi tarafından verilen EKS eğitimleri sonrası denetim alanında başarı sertifikasına sahip olmak ve bu belgenin geçerliliğini sağlamak.

d) Türkiye Cumhuriyeti vatandaşı olmak ve kamu haklarından mahrum bulunmamak.

e) Adli sicil kaydı ve adli sicil arşiv kaydının bulunmadığını belgelemek.

f) Herhangi bir suçtan dolayı adli soruşturma veya kovuşturma altında olmadığına dair yazılı beyanda bulunmak.

(3) İkinci fıkranın (ç) bendinde aranan yetkinliğin, denetim ekibinde görev alan başdenetçi veya denetçi personelden en az birinde bulunması yeterlidir.

(4) Denetçi firmada aranacak nitelikler aşağıda belirtilmiştir:

a) Firmanın hizmet verdiği ana faaliyet alanı ile denetim faaliyetlerine ilişkin bilgi varlıklarını kapsam dâhiline alan ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) standardını uygun bir şekilde işletmek, ISO/IEC 27001 BGYS standardına uygun faaliyet gösterdiğini IAF üyesi bir akreditasyon kuruluşu tarafından akredite edilmiş bir belgelendirme kurumuna ispat ederek sistemlerini belgelendirmek ve söz konusu belgenin geçerliliğini sağlamak.

b) Son beş yıl içerisinde, ISO/IEC 27001 veya benzeri ulusal ya da uluslararası bilgi güvenliği standartları ve düzenlemeleri kapsamında en az beş adet bilgi güvenliği denetimi yapmış olmak.

c) Firma bünyesinde ikinci fıkrada nitelikleri belirtilen başdenetçi ve denetçi ünvanlı personelin tam zamanlı çalıştığını belgelemek.

ç) Firmada çalışan başdenetçi ve denetçi ünvanlı personelin başka bir firmada kısmi zamanlı denetçi olarak istihdam edilmediğini belgelemek.

(5) Denetçi firma ve yükümlü kuruluşun aynı holding çatısı altında yer alan grup şirketleri olması ve/veya aralarında 13/1/2011 tarihli ve 6102 sayılı Türk Ticaret Kanununun 195 inci maddesinde tanımlanan hakim-bağlı şirket ilişkisi bulunması durumunda, denetçi firma yükümlü kuruluşu denetleyemez.

(6) Bir yatırımcının hissedarı olduğu denetim firması, aynı yatırımcının yatırım yaptığı yükümlü kuruluşu denetleyemez.

Denetçi firmanın yetki başvurusu sırasında Kuruma sunması gereken bilgi ve belgeler