Mandiant, Inc.’in tek kontrolünün Alphabet, Inc.’in kontrolündeki Google LLC tarafından devralınması işlemi.

Rekabet Kurumu Başkanlığından;

REKABET KURULU KARARI

A. TOPLANTIYA KATILAN ÜYELER

Başkan: Birol KÜLE

Üyeler: Ahmet ALGAN (İkinci Başkan), Şükran KODALAK,

Hasan Hüseyin ÜNLÜ, Ayşe ERGEZEN,

Cengiz ÇOLAK, Berat UZUN

B. RAPORTÖRLER: İsmail Atalay YOLCU, Selçuk YILMAZ, Bilge EMİNOĞLU,

Habil Arda KEL

C. BİLDİRİMDE

BULUNAN: - Google LLC

Temsilcileri: Av. Gönenç GÜRKAYNAK, Av. Ali Kağan UÇAR,

Av. Hakan DEMİRKAN, Av. Uzay Görkem YILDIZ,

Av. Leman Hilal ÖZTÜRK

Yıldız Mahallesi, Çitlenbik Sokak, No:12 Beşiktaş/İSTANBUL

(1) D. DOSYA KONUSU: Mandiant, Inc.’in tek kontrolünün Alphabet, Inc.’in kontrolündeki Google LLC tarafından devralınması işlemi.

(2) E. DOSYA EVRELERİ: Rekabet Kurumu (Kurum) kayıtlarına 20.05.2022 tarih ve 28095 sayı ile intikal eden bildirim üzerine düzenlenen 31.05.2022 tarih ve 2022-1- 016/Öİ sayılı Devralma Ön İnceleme Raporu görüşülerek karara bağlanmıştır.

(3) F. RAPORTÖR GÖRÜŞÜ: İlgili raporda özetle; dosya konusu işleme izin verilmesinde sakınca bulunmadığı ifade edilmiştir.

G. İNCELEME VE DEĞERLENDİRME

(4) Kurum kayıtlarına 20.05.2022 tarih ve 28095 sayı ile intikal eden ve Google LLC (GOOGLE) tarafından yapılan başvuruda, Mandiant Inc.’in (MANDIANT) tek kontrolünün Alphabet Inc.’in (ALPHABET) kontrol ettiği GOOGLE tarafından devralınması işlemine 4054 sayılı Rekabetin Korunması Hakkında Kanun (4054 sayılı Kanun) ve 2010/4 sayılı Rekabet Kurulundan İzin Alınması Gereken Birleşme ve Devralmalar Hakkında Tebliğ (2010/4 sayılı Tebliğ) çerçevesinde izin verilmesi talep edilmektedir.

(5) Bildirim konusu işlemin temelini 07.03.2022 tarihinde GOOGLE, Dupin Inc., (DUPIN) ve MANDIANT arasında akdedilen Birleşme Sözleşmesi ve Planı (SÖZLEŞME) oluşturmaktadır. SÖZLEŞME’de, işlemin iki aşamada gerçekleşeceği belirtilmiştir. Bu kapsamda MANDIANT, GOOGLE’ın tamamına sahip olduğu bir iştiraki olan DUPIN (Merger Sub) ile birleşecek ve MANDIANT birleşme sonrası varlığını sürdürerek devralan teşebbüsün bir iştiraki haline gelecektir. DUPIN’ın ise birleşme sonrasında varlığı sona erecektir.

(6) Hâlihazırda MANDIANT’ın hisseleri Nasdaq borsasına kote olup çok sayıda hissedarı bulunmaktadır. Bu kapsamda Bildirim Formu’nda, MANDIANT’ın, hissedarlarından herhangi biri veya herhangi bir ekonomik birim tarafından tek başına veya birlikte kontrol edilmediği ifade edilmektedir.

(7) Taraflar arasında akdedilen SÖZLEŞME uyarınca GOOGLE, MANDIANT’ın hisselerinin %(.....)’ünü devraldığından; bildirime konu işlem gerçekleştikten sonra MANDIANT üzerindeki tek kontrole nihai olarak sahip olacaktır. Dolayısıyla bildirime konu işlem 2010/4 sayılı Tebliğ’in 5. maddesi çerçevesinde bir devralma işlemidir.

(8) Hangi tür birleşme devralmaların izne tabi olduğunun belirlenmesi bakımından, 2010/4 sayılı Tebliğ’in 7. maddesinin birinci fıkrasında işlem taraflarının cirolarına ilişkin bazı eşikler düzenlenmiştir. Öte yandan 2022/2 sayılı Rekabet Kurulundan İzin Alınması Gereken Birleşme ve Devralmalar Hakkında Tebliğ (Tebliğ No: 2010/4)’de Değişiklik Yapılması Hakkında Tebliğ’in (2022/2 sayılı Tebliğ) 2. maddesiyle değişik 2010/4 sayılı Tebliğ’in 7. maddesinin ikinci fıkrası “Türkiye coğrafi pazarında faaliyet gösteren veya ar-ge faaliyeti olan ya da Türkiye’deki kullanıcılara hizmet sunan teknoloji teşebbüslerinin devralınmasına ilişkin işlemlerde; birinci fıkranın (a) ve (b) bentlerinde yer alan iki yüz elli milyon TL eşikleri aranmaz” düzenlemesini haizdir. 2022/2 sayılı Tebliğ’in 1. maddesiyle değişik 2010/4 sayılı Tebliğ’in 4. maddesinin birinci fıkrasının (e) bendinde teknoloji teşebbüsleri, “Dijital platformlar, yazılım ve oyun yazılımı, finansal teknolojiler, biyoteknoloji, farmakoloji, tarım kimyasalları ve sağlık teknolojileri alanlarında faaliyet gösteren teşebbüsleri veya bunlara ilişkin varlıklar” şeklinde tanımlanmıştır. Bildirim konusu işlem kapsamında devre konu MANDIANT Türkiye de dâhil olmak üzere yazılım alanında faaliyet gösterdiğinden teknoloji teşebbüsü niteliğindedir. Bu açıklamalar ve tarafların cirolarının incelenmesi sonucunda, 2010/4 sayılı Tebliğ’in 7. maddesinin birinci ve ikinci fıkraları uyarınca bildirime konu işlemin izne tabi olduğu anlaşılmaktadır.

(9) Küresel ölçekte faaliyet göstermekte olan MANDIANT’ın temel ürünü/hizmeti, özellikle vaka yanıtı ile bağlantılı olarak kurumsal siber güvenlik danışmanlığıdır. MADIANT’ın siber güvenlik faaliyetleri aşağıda belirtilmekte olan ürün ve hizmetleri içermektedir:

- Vaka Yanıtı ve Danışmanlık: Bu hizmetler bir şirketin siber saldırı yaşadığında

vakanın tipik olarak nasıl vuku bulduğu, şirketin bilişim teknolojileri (information

technology, IT) ortamındaki hassas noktaları ve alınması gereken düzenleyici

önlemlerle ilgilidir. MANDIANT’ın küresel düzeyde temel faaliyet alanı, 2021

yılındaki küresel gelirinin %(.....)’ini ve Türkiye’deki gelirinin %(.....)’sini

oluşturan, vaka yanıtı ve danışmanlık hizmetleridir. GOOGLE bu hizmeti

sağlamamaktadır.

- Yönetilen Algılama ve Yanıt (Managed Detection and Response, MDR):

Tehditleri aramak, belirlemek ve bunlara yanıt vermek için teknoloji ve insan

gözetimini birleştirmektedir. GOOGLE küresel çapta veya Türkiye’de MDR

hizmeti sunmamaktadır.

- Advantage Platformu: MANDIANT, genişletilmiş algılama ve yanıt (extended

detection and response) platformu olan Advantage Platform aracılığı ile

müşterilere çeşitli hizmetler sunmaktadır. Advantage platformu; güvenlik

doğrulaması ve kırmızı ekip oluşturma, tehdit istihbaratı, saldırı yüzey yönetimi

(attack surface management) ve otomatik savunma olmak üzere alt

kırılımlardan oluşmakta ve GOOGLE bu kırılımların hiçbirinde faaliyet

göstermemektedir.

(10) MANDIANT Türkiye’ye olan bütün satışlarını Mandiant Ireland Limited tarafından gerçekleştirmekte, Türkiye’den yerel distribütörler ve yerel yeniden satıcılar aracılığıyla yaptığı dolaylı satışlar vasıtasıyla gelir elde etmektedir. MANDIANT grubu Türkiye’de 2021 yılında; (i) vaka yanıtı ve danışmanlık hizmetleri, (ii) tehdit

istihbaratı ve (iii) güvenlik doğrulaması alanlarında hizmet sunan (.....) müşteri aracılığıyla yaklaşık (.....) ABD Doları ciro elde etmiştir. MANDIANT hâlihazırda Türkiye’de (.....) müşteriye sahiptir. MANDIANT’ın, Türkiye’de kurulu sahip olduğu bir iştiraki olmayıp, Mandiant International, LLC Türkiye (İstanbul) İrtibat Bürosu unvanlı bir temsil ofisi bulunmaktadır. Bu irtibat bürosu, yabancı bir şirketin sektörel kuruluşlar ve ilgili kuruluşlar önünde temsil edilmesi, yabancı şirketin yetkililerinin koordinasyonu ve organizasyonu ile bu kişilerin ofis kullanım ihtiyaçlarının karşılanması gibi alanlarda faaliyet göstermektedir. İrtibat bürosunun herhangi bir ticari faaliyeti bulunmayıp temel amacı, Türkiye pazarını yakından takip etmek ve ana şirketine Türkiye’deki yatırımlarına karar vermesi ve yönlendirmesi için destek ve bilgi sağlamaktır. Nitekim MANDIANT’ın Türkiye’ye özel satışları, distribütörleri tarafından gerçekleştirilmektedir.

(11) Devralan konumundaki GOOGLE ise çevrim içi arama, çevrim içi reklam, Youtube, Google Maps, Gmail ve Google Cloud Platformu (GCP) da dâhil olmak üzere çeşitli yazılım ve internet temelli ürün ve hizmetleri sunmaktadır. GOOGLE’ın Türkiye’de kurulu iştiraklerinden biri olan ve 01.08.2005 tarihinde kurulan Google Reklamcılık ve Pazarlama Ltd. Şti., Google International LLC aracılığıyla Türkiye’deki müşterilere GOOGLE’ın ürünleri için pazarlama ve reklamcılık hizmeti sağlamaktadır. Diğer iştiraki olan Google Bilgi Teknolojileri Ltd. Şti. ise 12.01.2021 tarihinde, Youtube’un yerel Türk temsilci şirketi olarak faaliyet göstermesi amacıyla kurulmuştur. Ayrıca GOOGLE, Türk reklamcılara, İrlanda menşeli ve Google Ireland Limited unvanlı bir iştirak aracılığıyla reklamcılık hizmetleri sağlamaktadır.

(12) Yukarıda belirtilenlere ek olarak GOOGLE/ALPHABET, VirusTotal isimli kötü amaçlı yazılım/virüs tarayıcısı, Chronicle isimli güvenlik bilgisi ve vaka yönetimi (Security Information and Event Management) ve Siemplify isimli güvenlik düzenlemesi, otomasyonu ve yanıtından (Security Orchestration Automation and Response) oluşan siber güvenlik araçlarını müşterilerine sunmaktadır. GOOGLE’ın siber güvenlik yazılımları pazarındaki faaliyetleri oldukça sınırlıdır ve GOOGLE 2021 yılında küresel çapta yaklaşık olarak (.....) ABD Doları gelir elde etmiştir. GOOGLE’ın siber güvenliğe yönelik kabiliyetleri, esas olarak, Google Cloud’da depolanan bilgileri korumayı amaçlayan bulut içi (cloud native) güvenlik çözümlerini içermektedir. Bu, Google Cloud ortamlarının sağlamlığını/dayanıklılığını kontrol eden Google Cloud Güvenlik Komuta Merkezini (Google Cloud Security Command Center) ve GCP müşterilerine sınırlı ölçüde danışmanlık ve eğitim hizmeti sunan GOOGLE’ın Siber Güvenlik Hareket Takımını (Google’s Cybersecurity Action Team) içermektedir. Taraflarca GOOGLE’ın, MANDIANT ile herhangi bir hizmet veya ürün bakımından doğrudan rekabet etmediği belirtilmektedir.

(13) Yukarıda yer verilen bilgiler ışığında ve tarafların beyanları doğrultusunda GOOGLE ve MANDIANT’ın Türkiye’deki faaliyetleri arasında herhangi bir yatay veya dikey ilişki bulunmadığı anlaşılmaktadır. Öte yandan, MANDIANT’ın, GOOGLE’ın çevrim içi reklamcılık, Google Cloud ve VirusTotal hizmetlerini satın aldığı, ancak bu tedarik ilişkisinin Türkiye’de meydana gelmediği, GOOGLE ve MANDIANT arasında Türkiye’de herhangi bir dikey ilişki bulunmadığı belirtilmektedir.

(14) Tüm bunlara ek olarak, GOOGLE, tehdit modellemesi ve teşebbüsün bilişim teknolojileri alanındaki güvenlik önlemlerinin iç sağlamlığını test etmek üzere tasarlanan saldırı simülasyonu gerçekleştiren bir ürün tasarlayan Foreseeti adlı İsveç menşeli küçük bir girişim (start-up) şirketini devralmıştır. Foreseeti’nin (.....) Bildirim Formu’nda Foreseeti’nin, MANDIANT ile aynı işleve sahip olmadığı belirtilmektedir.

(15) Bildirim konusu işlem kapsamında herhangi bir yatay ya da dikey örtüşme meydana gelmese de pazarın en geniş anlamda değerlendirilmesi durumunda nasıl bir görüntü meydana geleceği önem arz etmektedir. Diğer bir ifadeyle kurumsal güvenlik yazılımı geniş pazarında işlem taraflarının ve pazarın durumu ele alınarak değerlendirme yapılmalıdır.

(16) Tarafların faaliyet alanlarına ilişkin yukarıda yer verilen bilgiler dikkate alındığında, bildirime konu işlemin kurumsal güvenlik yazılımı ve ilgili hizmetlerin tedarikine ilişkin olduğu görülmektedir. Gartner Yazılım Raporu [1] güvenlik yazılımı kategorisini 10 alt segmente ayırmaktadır. MANDIANT, bu 10 alt segmentten yalnızca “diğer güvenlik yazılımları” alanında faaliyet göstermektedir. Diğer güvenlik yazılımı alt segmentinin büyüklüğünün küresel ölçekte toplam 17,8 milyar ABD Doları olarak tahmin edildiği ve MANDIANT’ın bu alt segmentteki payının küresel ölçekte yaklaşık %(.....) olduğu ifade edilmektedir. Gartner Raporu’nda ayrıca diğer güvenlik yazılımları kırılımında faaliyet gösteren CyberArk, IBM, Check Point Software, MicroFocus, Broadcom, Oracle ve Microsoft gibi rakip teşebbüslerin bulunduğu belirtilmiştir. Bahsi geçen raporda diğer güvenlik yazılımları alt segmentinde küresel ölçekte GOOGLE, %(.....)’den fazla paya sahip olan sağlayıcılar arasında yer almamaktadır.

(17) Öte yandan GOOGLE ve MANDIANT kurumsal güvenlik yazılımları veya siber güvenlik sektörü geniş pazarında da oldukça küçük oyuncular olup sektörün çok az bir bölümünü temsil etmektedir. Gartner Yazılım Raporunda; Türkiye’de bütün kurumsal güvenlik yazılımı segmenti için pazar büyüklüğü 153,7 milyon ABD Doları olarak tahmin edilmektedir. Hem MANDIANT hem de GOOGLE Türkiye’de kurumsal güvenlik yazılımı pazarında % (.....)’den fazla paya sahip olan sağlayıcılar arasında yer almamaktadır.

(18) MANDIANT’ın vaka yanıtı ve danışmanlık ile MDR hizmetleri, Gartner Yazılım Raporu’nda yer almamakla birlikte, MANDIANT’ın danışmanlık ve MDR için Türkiye’deki pazar payının yaklaşık % (.....) olduğunu tahmin edilmektedir. Ek olarak, MANDIANT’ın küresel cirosu; toplam siber güvenlik satışlarının yalnızca %(.....)’üne tekabül ederken, GOOGLE’ın güvenlik hizmetlerinden elde ettiği ciro, toplam siber güvenlik sektörünün %(.....)’sinden daha az bir bölümüne tekabül etmektedir.

(19) Sonuç olarak, GOOGLE ve MANDIANT’ın faaliyet gösterdiği pazarlar bakımından yatay veya dikey herhangi bir örtüşme mevcut olmaması, işlem taraflarının ilgili pazarlarda paylarının oldukça düşük olması ve faaliyet gösterilen pazarlarda birçok rakip olması sebebiyle; işlemin Türkiye’de herhangi bir olası ilgili ürün pazarında yoğunlaşma seviyesini artırmayacağı ve işlem sonrasında etkin rekabetin önemli ölçüde azaltılmasının söz konusu olmayacağı kanaatine varılmaktadır.

H. SONUÇ

(20) Düzenlenen rapora ve incelenen dosya kapsamına göre, bildirim konusu işlemin 4054 sayılı Kanun’un 7. maddesi ve bu maddeye dayanılarak çıkarılan 2010/4 sayılı Rekabet Kurulundan İzin Alınması Gereken Birleşme ve Devralmalar Hakkında Tebliğ kapsamında izne tabi olduğuna; işlem sonucunda etkin rekabetin önemli ölçüde azaltılmasının söz konusu olmaması nedeniyle işleme izin verilmesine, gerekçeli kararın tebliğinden itibaren 60 gün içinde Ankara İdare Mahkemelerinde yargı yolu açık olmak üzere OYBİRLİĞİ ile karar verilmiştir.

1 Gartner, All Software Markets (Nisan 2021).