Siber Dayanıklılık Yasası (CRA): 11 Eylül 2026'da Başlayan Bildirim Yükümlülüğü
Avrupa Siber Dayanıklılık Yasası'nın bildirim yükümlülüğü 11 Eylül 2026'da başlıyor: 24 saatte erken uyarı, 72 saatte bildirim, 14 günde nihai rapor.
Gaziantep'ten Avrupa'ya makine satan bir üreticinin ürününde bugün neredeyse her zaman bir yazılım var: bir PLC programı, bir dokunmatik panel arayüzü, uzaktan bağlanan bir servis modülü, belki bir mobil uygulama. Bu yazılım yıllardır ürünün "yan unsuru" sayıldı. 11 Eylül 2026'dan itibaren Avrupa hukuku onu ürünün kendisi gibi görmeye başlıyor.
Avrupa Siber Dayanıklılık Yasası (Cyber Resilience Act, Regulation (EU) 2024/2847), dijital unsur içeren ürünler için siber güvenlik yükümlülükleri getiriyor. Düzenleme 10 Aralık 2024'te yürürlüğe girdi ve kademeli bir takvimle uygulanıyor. İlk gerçek kilometre taşı ise bildirim yükümlülüğü: 11 Eylül 2026.
Bu yazı, dijital bileşenli ürün üreten bir firmanın bu tarihe kadar yazılım tarafında ne kurması gerektiğini anlatıyor. Baştan söyleyelim: kapsam değerlendirmesi ve uygunluk süreci, ürün mevzuatı danışmanınızla yürütülecek bir iştir; buradaki çerçeve teknik hazırlık içindir.
Kim "Üretici" Sayılıyor?
CRA, dijital unsur içeren ürünleri kapsıyor: yani doğrudan veya dolaylı olarak bir cihaza ya da ağa bağlanan donanım ve yazılım ürünleri. Bir ürünü kendi markanızla Avrupa pazarına sunuyorsanız, üretimi nerede yaptığınızdan bağımsız olarak üretici sorumluluğu size ait.
Türkiye'den ihracat yapan firmalar için pratik sonuç şu: Avrupa'ya sattığınız makinede gömülü yazılım, bağlantı modülü veya eşlik eden bir uygulama varsa, bu düzenleme muhataplarından birisiniz. Avrupa'da yerleşik olmayan üreticiler için bildirimin hangi ulusal ekibe yapılacağı, yetkili temsilcinizin veya ithalatçınızın bulunduğu ülkeye göre belirleniyor. Bu, sözleşmelerinizde bugün netleştirilmesi gereken bir madde.
11 Eylül 2026'da Tam Olarak Ne Başlıyor?
Bu tarihte başlayan yükümlülük, ürünün nasıl tasarlandığıyla değil, bir şey ters gittiğinde ne kadar hızlı haber verdiğinizle ilgili. İki tetikleyici var: aktif olarak istismar edilen bir güvenlik açığı ve ciddi güvenlik olayı.
| Aşama | Aktif istismar edilen açık | Ciddi güvenlik olayı |
|---|---|---|
| Erken uyarı | 24 saat | 24 saat |
| Teknik bildirim (açıklama ve alınan önlemler) | 72 saat | 72 saat |
| Nihai rapor | 14 gün | 1 ay |
Bildirimler ilgili ulusal siber olaylara müdahale ekibine (CSIRT) yapılıyor; rapor buradan ENISA'ya ve tek bir Avrupa platformu üzerinden diğer ekiplere iletiliyor.
Bu tablonun altında görünmeyen asıl zorluk şu: 24 saat, bir organizasyon süresidir. Açığı öğrenen kişi ile bildirimi yapacak kişi arasındaki mesafe belirsizse, saat teknik ekipte değil e-posta trafiğinde harcanır.
Sahada Kırılan Yer: "Hangi Müşteride Hangi Sürüm Var?"
Bildirim yükümlülüğünün pratikte gerektirdiği şey, hukuki bir metin değil bir envanterdir. Bir açık duyurulduğunda cevaplamanız gereken sorular şunlar:
- Bu bileşen hangi ürün modellerimizde var?
- O modellerin hangi sürümleri sahada çalışıyor?
- Hangi müşteride, hangi sürüm, hangi tarihten beri kurulu?
- Güncellemeyi nasıl ulaştıracağız ve ulaştığını nasıl doğrulayacağız?
Bu dört soruya bugün saatler içinde cevap veremeyen bir üretici, 24 saatlik takvimi yakalayamaz. Cevapları üretecek yapı da yeni bir sistem değil: ürün, sürüm ve bileşen kaydını tutan disiplinli bir envanterdir. Gömülü sistem ve IoT tarafında çalışan ekiplerde bu kayıt çoğu zaman vardır ama dağınıktır; servis defterinde, geliştiricinin bilgisayarında ve satış kayıtlarında ayrı ayrı durur.
SBOM: Aralık 2027'nin Yükümlülüğü, Bugünün İhtiyacı
Yazılım bileşen listesi (SBOM), ürününüzdeki her kütüphanenin ve bağımlılığın kayıtlı olduğu envanterdir. Teknik dokümantasyon yükümlülükleri kapsamında asıl olarak 2027 takviminde yer alıyor. Ancak sıralamayı tersinden okumak gerekiyor: hiç envanterine almadığınız bir bileşen hakkında 24 saat içinde bildirim yapamazsınız.
Yaygın senaryo şudur: bir açık kamuya duyurulur, sektör basınında yayılır, müşteriniz size sorar. Bileşen listeniz varsa cevap on dakikada verilir. Yoksa cevap "kontrol ediyoruz" olur ve bu cümle hem takvimi hem güveni tüketir. Yazılım bileşen listesi ve ürün güvenliği tarafında yaptığımız iş, tam olarak bu listeyi üretmek ve sürüm sürüm saklanabilir hâle getirmektir.
11 Aralık 2027: Asıl Yükümlülükler
İkinci ve daha ağır kilometre taşı, üreticinin ürün tasarımına, geliştirmesine ve bakımına ilişkin temel yükümlülüklerinin uygulanmaya başladığı 11 Aralık 2027. Bu aşamada konu, olay sonrası bildirimden çıkıp ürünün baştan nasıl yapıldığına geçiyor: güvenlik gereklerine uygun tasarım, açık yönetimi süreci, destek süresi boyunca güvenlik güncellemesi sağlama ve teknik dokümantasyon.
Aradaki on beş ay, tesadüfi bir boşluk değil. Bildirimle başlayıp tasarımla biten bu sıralama, üreticiye önce görünürlük, sonra disiplin kurma zamanı bırakıyor.
Her Ürün Aynı Kefede Değil
Düzenleme, dijital unsur içeren ürünleri tek bir kalıba sokmuyor. Sıradan ürünler için üreticinin kendi uygunluk beyanı yeterken, güvenlik açısından daha kritik sayılan ürün kategorileri için uygunluk değerlendirmesi ağırlaşıyor; bazı kategorilerde üçüncü taraf değerlendirmesi devreye giriyor. Kendi sektörel mevzuatı bulunan bazı ürün grupları ise (tıbbi cihazlar, motorlu araçlar, sivil havacılık ve gemi ekipmanı gibi) CRA'nın dışında bırakıldı ve kendi düzenlemeleri üzerinden yürüyor.
Buradaki pratik sonuç: ürününüzün hangi kategoride olduğunu bilmeden hazırlık maliyetini tahmin edemezsiniz. Kategori tespiti, teknik hazırlıktan önce yapılması gereken ve ürün mevzuatı danışmanınızla birlikte verilecek bir karardır. Aynı fabrikanın iki ürün hattı farklı kategorilere düşebilir; bu da hazırlığın hattı hatta planlanması anlamına gelir.
CRA, NIS2 ve Türkiye'deki Siber Güvenlik Kanunu Aynı Şey mi?
Sahada en çok karışan başlık bu. Üçü de siber güvenlikten söz ediyor ama muhatapları farklı:
| Düzenleme | Neyi düzenler | Muhatabı |
|---|---|---|
| CRA | Piyasaya sunulan ürünün güvenliği | Ürünün üreticisi, ithalatçısı, dağıtıcısı |
| NIS2 | Kuruluşun ağ ve bilgi sistemlerinin güvenliği | Kapsamdaki sektörlerde faaliyet gösteren kuruluşlar |
| 7545 sayılı Siber Güvenlik Kanunu | Türkiye'de siber güvenlik yönetişimi ve bildirim düzeni | Kanun kapsamındaki kurum ve şirketler |
Bir üretici bunların birden fazlasının kapsamında olabilir ve olması da sıra dışı değildir. İyi haber şu: üçünün de istediği temel yapı taşları örtüşüyor. Varlık envanteri, kayıt tutma, olay müdahale prosedürü ve sorumluluk atamaları bir kez düzgün kurulduğunda üç düzenlemeye birden hizmet eder. Bu yüzden hazırlığı düzenleme başına ayrı projeler olarak değil, tek bir denetim ve uygunluk altyapısı olarak kurmak hem daha ucuz hem daha sürdürülebilir oluyor.
Önümüzdeki Üç Ayda Yapılacaklar
11 Eylül'e kadar kurulabilecek, gösterişsiz ama işleyen bir hazırlık şöyle görünür:
- Ürün ve sürüm envanteri. Sahadaki her ürün modeli, yazılım sürümü ve müşteri eşleşmesi tek bir kayıtta toplanır.
- Bileşen listesi. En azından kritik ürünler için üçüncü taraf kütüphane ve bağımlılık listesi çıkarılır.
- Bildirim kanalı ve sorumlu. Güvenlik bildirimlerinin ulaşacağı bir adres, bu adresi izleyen bir sorumlu ve yokluğunda devreye girecek bir yedek belirlenir.
- Müdahale prosedürü. Kim değerlendirir, kim karar verir, kim bildirir, hangi şablonla. Bir sayfalık ama yazılı bir prosedür, kriz anında tartışmayı bitirir.
- Tedarikçi maddeleri. Yazılımını dışarıdan aldığınız bileşenlerde, tedarikçinin size hangi sürede bilgi vereceği sözleşmeye yazılır. Sizin 24 saatiniz, tedarikçiniz üç gün sonra haber veriyorsa anlamsızdır.
- Bir tatbikat. Varsayımsal bir açık senaryosuyla süreç bir kez uçtan uca denenir. İlk denemede aksayan yer, gerçek olayda da aksayacak yerdir.
Bu altı maddenin hiçbiri yeni bir ürün geliştirmeyi gerektirmiyor; hepsi kayıt disiplini ve sorumluluk netliği. Uygulama güvenliği tarafında yaptığımız çalışmalarda gördüğümüz en yaygın eksik de teknik değil, bu üçüncü madde oluyor: bildirimin geleceği adresin kimde olduğunu kimse bilmiyor.
Dürüstlük Sınırı
Bu konuda ne yaptığımızı ve ne yapmadığımızı açıkça yazalım. Ürününüzün CRA kapsamına girip girmediğine dair hukuki nitelendirme ve uygunluk değerlendirmesi bizim işimiz değil; bunun için ürün mevzuatı danışmanınızla veya onaylanmış kuruluşla çalışmanız gerekir. Sızma testi ve bağımsız güvenlik denetimi de ayrı bir uzmanlık alanıdır ve bunu bir yazılım geliştirme ekibinin kendi ürününde yapması metodolojik olarak doğru değildir.
Bizim yaptığımız iş şu: envanter ve bileşen listesinin çıkarılması, kayıt altyapısının kurulması, güncelleme dağıtım mekanizmasının yazılması ve bildirim sürecinin işleyebileceği bir yazılım düzeninin kurulması. Yani uyumun teknik zemini.
Sonuç
CRA, yazılımı ürünün yanında duran bir ek olmaktan çıkarıp ürünün parçası hâline getiriyor. 11 Eylül 2026'da başlayan bildirim yükümlülüğü, bu değişimin ilk somut adımı ve bir üreticiden istediği şey teknolojik yenilik değil; bilme ve haber verme kabiliyeti. Sahadaki ürünlerini, sürümlerini ve bileşenlerini bilen bir firma için bu yükümlülük bir prosedürden ibaret. Bilmeyen bir firma için ise her açık duyurusu bir kriz olacak.
Avrupa'ya sattığınız ürünlerde yazılım envanterinizi çıkarmak ve bildirim sürecini işler hâle getirmek için bizimle iletişime geçin. Çalışma genellikle ürün listesiyle başlar ve ilk hafta içinde hangi ürünün ne kadar görünür olduğunu ortaya koyar.
İlgili rehberler: