AB Siber Dayanıklılık Tüzüğü: 11 Eylül'de Başlayan Yükümlülük

11 Eylül 2026’dan sonra Avrupa pazarına sattığınız bir üründeki zafiyetin gerçekten istismar edildiğini öğrendiğinizde geri sayım başlıyor: 24 saat içinde erken uyarı, 72 saat içinde ayrıntılı bildirim. Üst sınırdaki idari para cezası 15 milyon avro ya da küresel yıllık cironun %2,5’i; hangisi büyükse o uygulanıyor.

Yaygın bir yanlış anlama şu: bunun bir siber güvenlik düzenlemesi olduğu sanılıyor. Değil. AB Siber Dayanıklılık Tüzüğü (Regulation (EU) 2024/2847, kısaca CRA) bir ürün mevzuatı. Yani ilgili departman bilgi işlem değil, CE işaretini ve teknik dosyayı yöneten ekip. Bilgi işlem burada tedarikçi konumunda.

Hangi ürünler kapsama giriyor?

Tüzüğün tanımı geniş: doğrudan ya da dolaylı olarak bir cihaza veya ağa bağlanabilen her donanım ve yazılım. “Dijital unsur taşıyan ürün” ifadesi, yazılım firmalarının çok ötesine geçiyor. Elektronik kontrol kartı olan bir tekstil makinesi, uzaktan izlenen bir klima sistemi, akıllı sayaç, ödeme terminali, hatta ürünle birlikte verilen mobil uygulama.

Ürünlerin çoğu (yaklaşık %90’ı) üreticinin kendi öz beyanıyla değerlendirilebiliyor. Fakat Ek III ve Ek IV’te sayılan kategorilerde iş değişiyor:

Sınıf	Örnek ürünler	Uygunluk değerlendirmesi
Standart	Sayılmayan diğer tüm bağlantılı ürünler	Üreticinin öz beyanı yeterli
Önemli — Sınıf I	Router, parola yöneticisi, VPN, tarayıcı, kimlik yönetimi yazılımı, akıllı ev asistanı	Uyumlaştırılmış standarda uyulmazsa üçüncü taraf
Önemli — Sınıf II	Firewall, saldırı tespit/önleme sistemleri, hipervizör, kurcalamaya dayanıklı mikrodenetleyici	Üçüncü taraf değerlendirmesi zorunlu
Kritik	Akıllı sayaç ağ geçidi, akıllı kart, güvenlik kutulu donanım	Avrupa siber güvenlik sertifikasyonu gerekebilir

Sınıf II’ye giren bir ürün üretiyorsanız, 2027’ye kadar bir AB onaylı kuruluşuyla çalışma planı yapmanız gerekiyor. TSE’nin onaylı kuruluş olma hedefi var, ancak bu önce mevzuat uyumunu ve AB tarafından atanmayı gerektiriyor; bugünkü tabloda muhatap AB’deki kuruluşlar.

11 Eylül’de tam olarak ne başlıyor?

Tüzük 10 Aralık 2024’te yürürlüğe girdi ama yükümlülükler kademeli açılıyor. Eylül ayında devreye giren kısım yalnızca bildirim.

Bildirilecek durum	Erken uyarı	Ayrıntılı bildirim	Nihai rapor
Aktif olarak istismar edilen zafiyet	24 saat	72 saat	Düzeltici önlem hazır olduktan sonra en geç 14 gün
Ciddi güvenlik olayı	24 saat	72 saat	Bildirimden sonra 1 ay

Buradaki ölçüt “istismar edilebilir” değil, istismar ediliyor. Kavram kanıtı ya da araştırma bulgusu tek başına bildirim doğurmuyor; gerçek saldırıya dair kanıt aranıyor. Sayaç, üreticinin durumu öğrendiği andan işlemeye başlıyor — açığın oluştuğu andan değil.

Bildirim tek noktadan yapılıyor: Tek Bildirim Platformu (Single Reporting Platform). Kayıt, üreticinin bağlı olduğu koordinatör CSIRT’e gidiyor ve eş zamanlı olarak ENISA’ya açılıyor. Ayrıca etkilenen kullanıcıların da bilgilendirilmesi ve risk azaltıcı önlemlerin paylaşılması isteniyor.

Türkiye’den satan üretici hangi ülkeye bildirim yapacak?

Pratikte en çok atlanan nokta bu. Tüzük, AB’de yerleşik olmayan üretici için bir sıra düzeni tanımlıyor: önce en fazla ürünü kapsayan yetkili temsilcinin bulunduğu üye devlet, yoksa en çok ürünü piyasaya arz eden ithalatçının ülkesi, o da yoksa dağıtıcının ülkesi, en son çare olarak kullanıcı sayısının en yüksek olduğu üye devlet.

Yetkili temsilci atamak CRA’da zorunlu değil — tüzüğün 18. maddesi “atayabilir” diyor, tıbbi cihaz ya da telsiz ekipmanı mevzuatındaki gibi bir zorunluluk getirmiyor. Ama atamadığınızda bildirim adresiniz ithalatçınızın bulunduğu ülkeye kayıyor.

İşin özü, 24 saatlik sürede kimin kime haber vereceği bir sözleşme meselesi. İthalatçı sözleşmelerinize bildirim akışını ve iletişim kanalını yazmadıysanız, ilk gerçek olayda saatler telefon trafiğinde geçer.

11 Aralık 2027’de ne değişiyor?

Asıl ağır yük burada. O tarihten sonra CE işareti siber güvenlik gerekliliklerini de kapsıyor ve teknik dosyanın içinde risk değerlendirmesi, yazılım bileşen listesi (SBOM) ve güvenlik testi kanıtları aranıyor.

Bir kalem özellikle sancılı: destek süresi. Tüzüğün 13. maddesi, destek süresinin ürünün beklenen kullanım ömrünü yansıtmasını ve en az beş yıl olmasını istiyor; ürün beş yıldan kısa kullanılacaksa süre kullanım ömrüne eşitleniyor. Beş yıl boyunca güvenlik güncellemesi yayımlamak, tedarik zincirindeki üçüncü taraf bileşenlerin de aynı süre desteklenmesi anlamına geliyor. Ömrü dolmuş bir kütüphaneyi ürününüzde taşıyorsanız, sorun 2027’de değil, o kütüphanenin desteği bittiği gün başlıyor.

Türkiye tarafındaki durum

Ticaret Bakanlığı Ürün Güvenliği ve Denetimi Genel Müdürlüğü, tüzüğün etki analizi ve mevzuat uyumu çalışmasını sürdürüyor. 7545 sayılı Siber Güvenlik Kanunu’yla (19 Mart 2025 tarihli Resmî Gazete) kurulan Siber Güvenlik Başkanlığı da test, sertifikasyon ve standart tarafında yönlendirici konumda.

Uyum düzenlemesi çıkana kadar beklemenin bir anlamı yok: AB’ye satış yapan üretici, bugünkü haliyle tüzüğe zaten doğrudan tabi.

Kurumsal hazırlık için kontrol çerçevesi

1. Ürün envanteri: AB’ye giden ürünlerden hangileri “dijital unsur” taşıyor, hangisi Ek III kapsamında? Sınıflandırma yanlışsa geri kalan her adım yanlış yerden başlar.
2. Zafiyet istihbaratı: ürününüzdeki bileşenlerle ilgili yayımlanan açıkları kim, hangi sıklıkta izliyor? 24 saatlik süre, haberi geç almanızı mazeret saymıyor.
3. Olay müdahale akışı: kim karar verir, kim platforma bildirim girer, hafta sonu kim ulaşılabilir? Yazılı ve provası yapılmış bir akış olmadan 72 saat kısa bir süre.
4. Yazılım bileşen listesi: ürün yazılımındaki açık kaynak ve üçüncü taraf bileşenlerin dökümü çıkarılmış mı, sürüm bazında güncel mi?
5. Sözleşmeler: ithalatçı ve tedarikçi sözleşmelerinde bildirim, güncelleme ve destek süresi maddeleri güncellenmiş mi?

Bu maddeleri kendi ürün hattınız üzerinden gözden geçirmek isteyen kurumlar için 30 dakikalık bir değerlendirme görüşmesi talebi iletişim formundan iletilebilir.

Sıkça sorulan sorular

Sadece yazılım satıyoruz, donanımımız yok. Kapsamda mıyız? Evet. Tüzük bağımsız yazılımları da kapsıyor. İstisna kapsamı dar: özel amaçlı geliştirilip tek müşteriye teslim edilen, piyasaya arz edilmeyen yazılımlar ile ticari olmayan açık kaynak projeleri farklı değerlendiriliyor.

Ürünümüzü AB’ye ithalatçı satıyor, üretici biz değil miyiz sayılıyoruz? Ürün sizin markanızla gidiyorsa üretici sizsiniz. Zafiyet bildirimi ve teknik dosya yükümlülüğü ithalatçıya devredilemiyor; 18. madde, temel üretici yükümlülüklerinin yetkili temsilci yetkisine dahil edilemeyeceğini açıkça söylüyor.

Bildirimi yapmazsak nasıl ortaya çıkar? Genelde ürünü kullanan taraftan. AB’deki müşteriniz kendi düzenlemesi gereği olayı raporladığında zincir işliyor. Piyasa gözetim otoriteleri de üründen ürüne kontrol yapabiliyor.

KVKK’daki 72 saatlik ihlal bildirimi ile aynı şey mi? Hayır, iki ayrı yükümlülük. KVKK kişisel veri ihlalini, CRA ise ürün zafiyetini konu alıyor. Kişisel veri de sızdıysa iki bildirimi paralel yürütmeniz gerekiyor. Veri ihlali bildirim süreci tarafını ayrıca yazmıştık.

Bileşenlerimizi Uzak Doğu’dan alıyoruz, tedarikçiden kanıt gelmezse ne olur? Sorumluluk sizde kalıyor. Bu yüzden alım sözleşmelerine güncelleme taahhüdü ve bileşen listesi paylaşımı yazmak, 2027 öncesindeki en düşük maliyetli hazırlık adımlarından biri.

Ürün yazılımınızdaki bileşenlerin dökümünü çıkarmak ve zafiyet takibini düzenli bir sürece bağlamak istiyorsanız bize ulaşın.

Kaynaklar: Regulation (EU) 2024/2847 (Siber Dayanıklılık Tüzüğü) md. 13, 14, 18, 64 ve Ek III–IV; Avrupa Komisyonu “CRA reporting obligations” sayfası; 7545 sayılı Siber Güvenlik Kanunu (RG 19.03.2025, S. 32846).