AB Dışı Bulut veya SaaS Sağlayıcıları Hem GDPR Hem NIS2 Temsilcisi Gerekir mi?

• GDPR Madde 27 ve NIS2 Madde 26 genellikle AB dışı bulut/SaaS sağlayıcılarına birlikte uygulanır
• GDPR için büyüklük sınırı yoktur; NIS2 bulut/CDN/DNS için şirket büyüklüğüne bakmaz
• REP27, EU Presence, DataShield Guardian ve Regingada her iki hizmeti de sunar
• Yayınlanan fiyatlar çok farklıdır; nelerin dahil olduğunu mutlaka kontrol edin
• Uyumsuzluk cezaları GDPR için 10 milyon € veya cirosunun %2'sine kadar çıkabilir
• Atama süreci, istisnalar ve gizli ücretler sağlayıcıya göre değişir

Güncellendi 3 Kasım 2026 · 8 kaynak doğrulandı

Karşılaştırılan sağlayıcılar

Fiyatlar, her sağlayıcının web sitesinde 3 Kasım 2026 tarihinde yayımlandığı şekildedir; aksi belirtilmedikçe KDV hariçtir. Her satır kaynağına bağlanır.

Yasal Gereklilikler: GDPR Madde 27 ve NIS2 Madde 26

AB dışı bulut ve SaaS sağlayıcıları AB’ye hizmet veriyorsa iki ayrı yasal yükümlülükle karşı karşıyadır:

• GDPR Madde 27 temsilcisi: AB dışı her kontrolör veya işlemci, AB bireylerine mal/hizmet sunuyor veya onları izliyorsa AB’de bir temsilci atamalıdır. Bu, hizmetler B2B olsa bile AB bireylerinin verileri işleniyorsa SaaS ve bulut sağlayıcıları için geçerlidir. Minimum büyüklük sınırı yoktur—her AB verisi işleyen AB dışı kuruluş uymak zorundadır. (GDPR Madde 27)
• NIS2 Madde 26 temsilcisi: Bulut, DNS, CDN, yönetilen hizmetler, pazar yerleri ve sosyal platformlar gibi hizmetler sunan AB dışı sağlayıcılar, hizmet verdikleri AB üye devletinde temsilci atamalıdır. NIS2’nin bazı yükümlülüklerinden farklı olarak, bu dijital hizmetler için şirket büyüklüğü veya cirosu önemli değildir. (NIS2 Madde 26)

Bu yükümlülükler birikimlidir. GDPR temsilcisi atamak NIS2’den muafiyet sağlamaz ve tam tersi de geçerlidir. Her iki rol de AB yetkilileri ve ilgili bireyler için iletişim noktasıdır ancak farklı yasal çerçeveler ve raporlama görevleri vardır. Örneğin NIS2 zorunlu olay raporlaması ve 2025 Ocak ayına kadar ulusal yetkililere kayıt gerektirirken, GDPR veri koruma ve veri sahiplerinin haklarına odaklanır.

Gerekli temsilcileri atamamak ciddi cezalar doğurabilir. GDPR uyumsuzluğu 10 milyon € veya küresel cironun %2’sine kadar para cezası getirebilir. NIS2 kapsamında üye devletler, temsilci atanmış olsa bile AB dışı sağlayıcılara doğrudan yaptırım uygulayabilir. Bu nedenle uyum sadece temsilci atamakla kalmayıp, yetkililerle sürekli işbirliği ve yanıt verme gerektirir.

Özetle, AB dışı SaaS ve bulut sağlayıcıları faaliyetlerini dikkatle değerlendirmeli ve gerekirse her iki rolü de karşılayabilecek bir sağlayıcı seçmelidir.

Nasıl Seçilir: AB Dışı Sağlayıcılar İçin Karar Matrisi

Doğru temsilci(ler)i seçmek iş modelinize, hizmetlerinizin doğasına ve müşteri tabanınıza bağlıdır. Aşağıdaki matris durumunuza göre neye ihtiyacınız olduğunu netleştirir:

Pratik öneriler:

• Veri akışlarınızı inceleyin: AB kişisel verisi işliyorsanız GDPR geçerlidir.
• Dijital hizmetlerinizi değerlendirin: AB’ye bulut, CDN, DNS veya yönetilen hizmet sunuyorsanız NIS2 uygulanır, kişisel veri işlenip işlenmediğine bakılmaz.
• Pazar yerleri: Sadece Amazon veya eBay gibi platformlarda fiziksel ürün satıyor ve AB kişisel verisi işlemiyor veya dijital hizmet sunmuyorsanız, GDPR veya NIS2 temsilcisi değil, ürün sorumlusu gerekir.
• AB kuruluşu: Şirketiniz zaten AB’de kurulmuşsa, bu yükümlülükler geçerli değildir (AB dışı ana şirket için hareket etmiyorsanız).

Her iki rolü de kapsayan bir sağlayıcı seçmek uyumu kolaylaştırır, idari yükü azaltır ve yetkililerle tutarlı iletişim sağlar. Sağlayıcının her iki yükümlülüğü de karşılayabildiğini ve fiyatların ile dahil hizmetlerin açık olduğunu mutlaka teyit edin.

Fiyat Gerçekten Neleri Kapsar (ve Neleri Kapsamaz)

GDPR ve NIS2 temsilciliği için yayınlanan fiyatlar oldukça farklıdır. Her sağlayıcının temel ücretine nelerin dahil olduğunu ve hangi hizmetlerin ek ücret gerektirebileceğini anlamak çok önemlidir. İşte karşılaştırmalı genel bakış:

Sağlayıcılardan önemli detaylar:

• REP27: GDPR ve NIS2 temsilciliği, sertifika, kamu doğrulaması ve birden fazla rol için tek sözleşme sunar. GDPR fiyatı yıllık 290 €'dan başlar; NIS2 fiyatı talep üzerine. Tüm atamalar Europe Services SE (AB) tarafından imzalanır ve doğrulanabilir sertifika ile gelir. (kaynak)
• EU Presence: GDPR için aylık 127 $, NIS2 için aylık 327 $ ücret alır (fiyat_kaynak_sayfasında_doğrulandı). Olay raporlama iş akışı ve tüm 27 AB ülkesini kapsar. (kaynak)
• DataShield Guardian: Yıllık 12.000 $'dan başlayan Full Presence planı GDPR, NIS2, AI Yasası temsilciliği, yönetilen DPO ve uyum desteği içerir. (kaynak)
• Regingada: GDPR yıllık 490 €'dan; NIS2 talep üzerine. Belgelenmiş iletim, son tarih kaydı sağlar ve Almanya merkezlidir. (kaynak)

Her zaman detaylı teklif ve sözleşme talep edin. Birçok sağlayıcı olay başı ücretler, yetkili yanıt ücretleri veya yenileme masraflarını yayımlamaz. İmzalamadan önce bu konuları özellikle sorun.

Gizli Maliyetler ve Sağlayıcıların Genellikle Söylemedikleri

Sağlayıcılar yıllık veya aylık temsilcilik ücretlerini ilan etse de, bazı önemli detaylar genellikle kamuya açıklanmaz. Alıcıların gizli maliyetler ve istisnalar konusunda dikkatli olması gerekir:

• Bildirim süreleri: Yukarıdaki sağlayıcıların hiçbiri minimum sözleşme süresi veya fesih bildirim süresi belirtmemiştir. Sözleşmeyi mutlaka kontrol edin.
• Talep/olay başı ücretler: Hiçbir sağlayıcı olay başı veya yetkili talebi ücretlerini yayımlamaz. NIS2 kapsamında olay raporlama ve yetkili iletişimleri ek ücret getirebilir. Tam ücret tarifesini isteyin.
• Sorumluluk sınırları: Sorumluluk sınırları veya istisnaları hakkında kamuya açık bilgi yoktur. Sağlayıcıların sözleşmede para cezası veya zararlar için sorumluluğu sınırlandırması yaygındır—bu bölümü imzalamadan önce talep edin.
• Hizmet dışı bırakmalar: Bazı sağlayıcılar tüm yetkili iletişimlerini, olay yönetimini veya sertifika yenilemelerini temel fiyata dahil etmeyebilir. Örneğin Regingada NIS2 temsilciliğini talep üzerine sunar ve olay raporlama detayları yayımlanmaz. DataShield Guardian DPO ve uyum desteği paketler ancak kapsam saat veya olay türü ile sınırlı olabilir.
• Doğrulama ve belgeler: REP27 kamuya açık sertifika ve doğrulama kodu sağlar; bu yetkililere ve pazar yerlerine uyumu göstermek için faydalıdır. Tüm sağlayıcılar bu özelliği sunmaz.

Sağlayıcıların genellikle söylemedikleri:

• Her yetkili talebine yanıt verip vermedikleri veya karmaşık durumlar için ek ücret alıp almadıkları
• Fiyata sürekli uyum tavsiyesi dahil olup olmadığı veya sadece yasal atama yapıldığı
• Olay raporlarını veya yetkili yazışmalarını ne kadar hızlı işledikleri
• Sözleşmenin otomatik yenilenip yenilenmediği ve koşulları

Sürprizleri önlemek için tam sözleşmeyi talep edin, dahil ve hariç hizmetlerin detaylı dökümünü isteyin ve acil olaylar ile yetkili soruşturmaları için süreçleri netleştirin.

Atama Süreci: Adım Adım

GDPR ve/veya NIS2 temsilcisi atamak birkaç somut adımı içerir. Süreç temsilcinin yetkili olduğunu ve şirketinizin AB yetkililerine yanıt vermeye hazır olduğunu garanti etmek için tasarlanmıştır. REP27 örneği ile tipik süreç:

1. Yükümlülüklerinizi değerlendirin: Yukarıdaki karar matrisini kullanarak GDPR ve/veya NIS2 temsilcisine ihtiyacınız olup olmadığını belirleyin. AB’ye sunduğunuz hizmetler ve veri işleme faaliyetlerinizi gözden geçirin.
2. Bir sağlayıcı seçin: Yayınlanan fiyatlar, dahil hizmetler ve itibarına göre sağlayıcıları karşılaştırın. Sağlayıcının her iki rolü de karşılayabildiğini doğrulayın.
3. Şirket bilgilerini gönderin: Şirketinizin yasal bilgileri, hizmet açıklaması ve AB müşterileri/kullanıcıları hakkında bilgi sağlamanız gerekir. REP27 örneğinde, bu bilgiler insan incelemesi için dosya halinde istenir.
4. Sağlayıcı incelemesi: Sağlayıcı dosyanızı tüm bilgilerin eksiksiz ve doğru olduğundan emin olmak için inceler. REP27 genellikle 24 iş saati içinde tamamlar.
5. Atama ve imza: Sağlayıcının yasal temsilcisi atama mektubunu imzalar ve resmi olarak temsilci olarak atanır. REP27 imzalı sertifika, QR kodu ve doğrulama kodu verir.
6. Belgeleri alın: İmzalı atama, sertifika ve gizlilik bildirimi/website için şablon metni size verilir. Bu belgeler yetkililere, müşterilere ve pazar yerlerine uyumu göstermek için gereklidir.
7. Yasal bildirimleri güncelleyin: Gizlilik politikanızı, web sitenizi güncelleyin ve (NIS2 için) temsilci iletişim bilgilerini ilgili ulusal yetkiliye kaydedin. NIS2 kaydı 2025 Ocak ayına kadar zorunludur.
8. Sürekli işbirliği: Olay raporlama, yetkili talepleri ve uyum güncellemeleri için temsilcinizle iletişimi sürdürün. Acil bildirimler ve sağlayıcının yanıt sürelerini anlayın.

Alıcılar için kontrol listesi:

1. AB kişisel verisi işleyip işlemediğinizi veya AB’ye bulut/dijital hizmet sunup sunmadığınızı doğrulayın.
2. GDPR ve NIS2’nin faaliyetlerinize uygulanıp uygulanmadığını kontrol edin.
3. Tüm gerekli şirket belgeleri ve hizmet açıklamalarını toplayın.
4. Ek ücretler hakkında sorarak sağlayıcılardan tam teklif ve sözleşme isteyin.
5. Sözleşme şartlarını, bildirim süreleri ve sorumluluk sınırlarını inceleyin.
6. Temsilcinizi atayın ve belgeleri alın.
7. Gizlilik bildiriminizi güncelleyin ve yetkililere kayıt yaptırın.
8. Olay raporlama ve yetkili iletişimleri için iç süreçler kurun.

Bu adımları takip etmek AB yasal gerekliliklerini karşılamanızı ve yüksek maliyetli yaptırımlardan kaçınmanızı sağlar.

Riskler, Cezalar ve Yaptırımlar

GDPR Madde 27 veya NIS2 Madde 26’ya uyulmaması AB dışı bulut ve SaaS sağlayıcılarını önemli yasal ve mali risklere maruz bırakır. Bu riskleri anlamak bilinçli karar için şarttır:

• GDPR: GDPR temsilcisi atamamak doğrudan ihlaldir ve 10 milyon € veya küresel yıllık cironun %2’sine kadar para cezası ile sonuçlanabilir. Bu cezalar diğer GDPR ihlallerine ek olarak uygulanır. Yetkililer hizmetlerinizi AB’de engelleyebilir veya hukuka aykırı işlenen verilerin silinmesini emredebilir.
• NIS2: NIS2 kapsamında üye devletler temsilci atamayan AB dışı sağlayıcılara doğrudan yaptırım uygulayabilir. Bu soruşturmalar, hizmet engellemeleri ve idari para cezalarını içerebilir. Temsilci atamak yaptırımdan korumaz; sadece yetkililer için yerel iletişim noktası sağlar.
• Kayıt son tarihleri: NIS2, AB dışı sağlayıcıların temsilci iletişim bilgilerini ilgili ulusal yetkiliye 17 Ocak 2025’e kadar kaydetmesini zorunlu kılar. Kayıt yapılmaması anında uyum işlemlerini tetikler.
• Olay raporlama: NIS2, kapsam dahilindeki sağlayıcıların önemli güvenlik olaylarını bildirmesini zorunlu kılar. Bildirim gecikmeleri veya yapılmaması ek cezalar ve itibar kaybı doğurabilir.
• İtibar riski: Kamuya açık yaptırımlar veya hizmet engellemeleri markanıza zarar verir ve özellikle gizlilik ve güvenlik hassasiyeti yüksek AB pazarında müşteri güvenini zedeler.

Bu riskleri azaltmak için nitelikli temsilci atayın, belgelerinizi güncel tutun ve olay müdahalesi ile yetkili iletişimleri için net iç süreçler oluşturun. Uyumu düzenli gözden geçirin ve işiniz geliştikçe temsilci bilgilerini güncelleyin.

Gerçekçi Senaryolar: Uygulanan Kurallar ve En Kolay Yol

Aşağıda kuralların nasıl uygulandığını ve her durum için en basit uyum yolunu gösteren üç pratik senaryo bulunmaktadır:

• Senaryo 1: ABD merkezli SaaS şirketi AB müşterilerine B2B ve B2C hizmet sunuyor
  Yükümlülükler: Hem GDPR Madde 27 hem de NIS2 temsilcisi gerekir. Şirket AB kişisel verisi işler (GDPR) ve bulut tabanlı hizmet sunar (NIS2).
  Uyum yolu: Her iki rolü de karşılayan bir sağlayıcı (örneğin REP27) atayın. Gizlilik bildirimini temsilci bilgileriyle güncelleyin, ilgili NIS2 yetkilisine kayıt yaptırın ve olay raporlama ile yetkili iletişimleri için iç süreç kurun.
• Senaryo 2: Çinli Amazon satıcısı sadece fiziksel ürünleri AB’ye ihraç ediyor
  Yükümlülükler: Ürün güvenliği uyumu için ürün sorumlusu gerekir. GDPR veya NIS2 temsilcisi gerekmez, ancak AB kişisel verisi işleniyorsa veya dijital/bulut hizmeti sunuluyorsa durum değişir.
  Uyum yolu: Ürün sorumlusu atayın (bu rehber kapsamı dışında), ürün etiketleme ve dokümantasyonunu sağlayın ve dijital hizmetler veya veri işleme olup olmadığını kontrol edin.
• Senaryo 3: İngiltere merkezli online mağaza AB tüketicilerine satış yapıyor
  Yükümlülükler: AB kişisel verisi işliyorsa GDPR temsilcisi gerekir. NIS2 sadece mağaza bulut veya dijital hizmet sunuyorsa geçerlidir (saf e-ticaret için değil).
  Uyum yolu: GDPR temsilcisi atayın (örneğin REP27), gizlilik bildirimini güncelleyin ve dijital hizmet sunuyorsanız NIS2 temsilcisi gerekip gerekmediğini doğrulayın. Gerekmezse NIS2 için ek işlem yapmayın.

Bu senaryolar yükümlülüklerin işinizin ve hizmetlerinizin doğasına bağlı olduğunu gösterir. Her zaman detaylı değerlendirme yapın ve GDPR ile NIS2 temsilciliğinde deneyimli bir sağlayıcı ile danışın.