Cyber Resilience Act: Bildirim Yükümlülüğü 11 Eylül 2026'dan Beri Yürürlükte

AB düzenlemelerinin çoğu size bir uyum tarihi ve herkesin sessizce hazırlandığı bir geçiş süresi verir. Cyber Resilience Act (Siber Dayanıklılık Yasası) farklı bir şey yapıyor. İlk katı yükümlülüğü bir 24 saatlik bildirim süresi ve bu yükümlülük 11 Eylül 2026'dan beri uygulanıyor.

24 saatlik bir süreyi aşamalı olarak devreye alamazsınız. Ya istismar edilen bir güvenlik açığı ortaya çıktığında süreç hazırdır ya da süreyi kaçırırsınız.

CRA Nedir

(AB) 2024/2847 sayılı Tüzük, AB pazarına sunulan dijital unsurlu ürünler için siber güvenlik gereksinimleri belirliyor. Bu ifade, insanların ilk başta sandığından çok daha fazlasını kapsıyor: amaçlanan veya makul olarak öngörülebilir kullanımı doğrudan veya dolaylı bir veri bağlantısı içeren her yazılım veya donanım ürünü ve onun uzaktan veri işleme çözümleri.

Bağlantılı cihazlar kapsamda. Ticari yazılımların çoğu, işletim sistemleri, tarayıcılar, mobil uygulamalar, ürün yazılımları (firmware) ve başka ürünlerin içindeki bileşenler de öyle.

Yasa Kasım 2024'te yayımlandı ve aşamalı olarak uygulanıyor:

• 11 Haziran 2026: uygunluk değerlendirme kuruluşlarına ilişkin yükümlülükler.
• 11 Eylül 2026: aktif olarak istismar edilen güvenlik açıkları ve ciddi olaylar için bildirim yükümlülükleri.
• 11 Aralık 2027: temel siber güvenlik gereksinimleri, CE işareti, teknik dokümantasyon ve yazılım malzeme listesi dahil tam uygulama.

Ortadaki tarih şimdiden yürürlükte olanı ve sahip olmayabileceğiniz bir yetkinliğe dayanıyor.

11 Eylül 2026'dan Beri Neler Uygulanıyor

Bu tarihten bu yana üreticiler şunları bildirmek zorunda:

Dijital unsurlu ürünlerindeki aktif olarak istismar edilen güvenlik açıkları ve

Bu ürünlerin güvenliğini etkileyen ciddi olaylar.

Bildirimler, ENISA'nın işlettiği CRA Single Reporting Platform üzerinden, üreticinin ana yerleşim yerinin bulunduğu Üye Devlet'te görevlendirilmiş CSIRT'e yapılıyor; o da bildirimi etkilenen diğer CSIRT'lerle ve ENISA ile paylaşıyor. ENISA, platformun ilk sürümünü yükümlülüğün başladığı gün olan 11 Eylül 2026'da devreye aldı ve önümüzdeki aylarda işlevler ekleyeceğini söylüyor.

Süreler:

• Farkına varıldıktan sonra 24 saat içinde: bir erken uyarı.
• 72 saat içinde: alınan düzeltici veya hafifletici önlemler dahil tam bir bildirim.
• Bir düzeltici önlemin kullanıma sunulmasından itibaren 14 gün içinde: aktif olarak istismar edilen bir güvenlik açığı için nihai rapor.
• Bir ay içinde: ciddi bir olay için nihai rapor.

Yirmi dört saat, farkına varıldığı andan itibaren işler; teyitten veya giderilmeden itibaren değil. Ürününüzdeki bir bileşende bulunan güvenlik açığı bir cumartesi günü gerçek ortamda istismar ediliyorsa, süre cumartesi günü işlemeye başlar.

Bu Neden Göründüğünden Daha Zor

Bildirim yükümlülüğünün kendisi bir form göndermekten ibaret. Zorluk, onu doldurabilmeniz için önceden hazır olması gereken her şeyde.

Ürününüzde ne olduğunu bilmeniz gerekir

Ürününüzdeki bir güvenlik açığının aktif olarak istismar edildiğini bildirebilmek için, açığı olan bileşenin ürününüzde bulunduğunu bilmeniz gerekir. Yüzlerce dolaylı bağımlılığı olan modern bir uygulama için bu, bir insanın ezberden cevaplayabileceği bir soru değil.

Ekiplerin, Aralık 2027'deki resmi SBOM gereksiniminden bir yıldan fazla önce yazılım malzeme listesi (SBOM) hatlarını şimdi kurmasının nedeni bu. SBOM amaç değil. Amaç, “etkileniyor muyuz?” sorusunu saatler içinde cevaplayabilmek; SBOM ise bunu cevaplanabilir kılan şey.

İşin can sıkıcı yanı, bunun yıllar önce piyasaya sürdüğünüz ürünler için de geçerli olması. Sahada, 2022'de kimsenin kaydını tutmadığı bir bağımlılık ağacından derlenmiş ürün yazılımıyla çalışan ve hâlâ desteklediğiniz cihazlarınız varsa, bunu yeniden ortaya çıkarmak ciddi bir iştir.

Takipte olmanız gerekir

Süreyi farkına varma başlatır ve farkına varmanın tesadüfi değil aktif olması beklenir. Bu da güvenlik açığı akışlarını izlemek, bileşenlerinize ilişkin güvenlik duyurularına abone olmak, bilinen istismar edilmiş güvenlik açığı kataloglarını takip etmek ve güvenlik araştırmacılarının size ulaşıp yanıt alabileceği bir kanala sahip olmak demektir.

Bir karar yolunuz olmalı

Birinin, günün her saatinde, bir olayın eşiği aşıp aşmadığına ve sürenin başlayıp başlamadığına karar verebilmesi gerekir. Adı belli bir rol ve bir eskalasyon yolu olmadan, ilk saatler kararı kimin verebileceğini çözmekle geçer.

Ömrünü tamamlamış bağımlılıklar bir yüke dönüşür

Ürününüzdeki bir bileşen artık güvenlik güncellemesi almıyorsa, istismar edildiğinde bildirim yükümlülüğü yine sizdedir ve gösterebileceğiniz bir üst kaynak düzeltmesi yoktur. Ömrünü tamamlamış bağımlılıkları denetlemek, şu anda yapılabilecek en yararlı işlerden biridir; çünkü sonuç bazen kendi hazırlık süresi olan bir geçişi zorunlu kılar.

Aralık 2027'deki Tam Uygulama Neler Getiriyor

Aralık 2027 yükümlülükleri daha büyük bir program ve bunlara o tarihten çok önce başlanması gerekiyor.

Tasarımda ve varsayılan olarak güvenlik. Ürünler, riske dayalı uygun bir siber güvenlik düzeyini sağlayacak şekilde tasarlanmalı, geliştirilmeli ve üretilmeli. Varsayılan parola yok. Kutudan çıktığı haliyle güvenli yapılandırma. Saldırı yüzeyinin en aza indirilmesi. İletimdeki ve depolanan verinin korunması.

Güvenlik açığı yönetimi. Tespit, giderme, test, dağıtım ve açıklamayı kapsayan belgelenmiş bir süreç. Güvenlik güncellemeleri, beklenen ürün ömrünü yansıtan bir destek süresi boyunca gecikmeksizin ve ücretsiz sağlanmalı; yaygın referans noktası beş yıl.

Yazılım malzeme listesi. Makine tarafından okunabilir bir formatta, en azından üst düzey bağımlılıkları kapsayan ve güncel tutulan.

Teknik dokümantasyon ve uygunluk değerlendirmesi. Ürünlerin çoğu öz değerlendirmeye tabi. Parola yöneticileri, VPN'ler, işletim sistemleri ve endüstriyel kontrol sistemleri gibi ürünleri içeren önemli ve kritik kategoriler üçüncü taraf katılımı gerektirir.

CE işareti. Fiziksel işaretin dijital karşılığı; uygunluğu beyan eder.

Koordineli güvenlik açığı açıklama politikası. Yayımlanmış ve çalışan bir iletişim noktasıyla.

Kimler Gerçekten Kapsamda

Bazı sınır durumlar sürekli gündeme geliyor.

Ticari bir faaliyet dışında geliştirilen özgür ve açık kaynak yazılım büyük ölçüde kapsam dışı. Yasa, daha hafif yükümlülükleri olan açık kaynak yazılım yöneticisi (steward) kavramını getiriyor. Ama açık kaynağı ticarileştiriyorsanız ya da sattığınız bir ürünün içinde dağıtıyorsanız, ürün yükümlülükleri sizindir.

Hizmet olarak yazılım (SaaS) genellikle CRA'nın dışında, onun yerine NIS2 kapsamında yer alıyor; ancak dijital unsurlu bir ürünün ayrılmaz parçası olan uzaktan veri işleme çözümleri kapsama giriyor. Cihazınız çalışmak için sizin bulut arka ucunuza bağlıysa, o arka uç da ürünle birlikte gelir.

İthalatçılar ve dağıtıcıların da yükümlülükleri var. Üçüncü taraf bir ürünü kendi adınız veya markanızla AB pazarına sunarsanız, üretici olarak kabul edilirsiniz.

Tıbbi cihazlar, otomobiller ve havacılık ekipmanı gibi başka mevzuatla zaten düzenlenen ürünler kendi çerçeveleri altında ele alınıyor.

Kapsam soruları gerçekten basit değil ve bu, hukuk danışmanıyla geçirilecek bir saatin yanlış yöne giden aylarca mühendislik çalışmasından kurtardığı bir alan.

Şimdi Ne Yapardık

Kapsamdaysanız ve şimdi başlıyorsanız, işe yarayan sıra şu:

Birincisi, ürün envanterini çıkarın. AB pazarında gerçekte neyiniz var? Sahada hâlâ bulunan eski sürümler, beyaz etiketli varyantlar ve başkası adına dağıttığınız ürünler dahil. Bu liste genellikle herkesin beklediğinden uzundur.

İkincisi, SBOM üretimini CI'ya yerleştirin. Her derlemede CycloneDX veya SPDX formatında bir SBOM üretin, onu sürüm çıktısıyla ilişkilendirerek saklayın ve sorgulanabilir tutun. Amaç, “yayımladığımız sürümlerden hangileri bu kütüphaneyi içeriyor?” diye sorup dakikalar içinde cevap alabilmek.

Üçüncüsü, güvenlik açığı izlemesini kurun. SBOM verilerinizi güvenlik duyurularını ve bilinen istismar edilmiş güvenlik açığı kataloglarını izleyen bir tarayıcıya besleyin ve uyarıları birinin okuduğu bir kanala yönlendirin.

Dördüncüsü, olay müdahale el kitabını yazın. Kim ilan eder, kim değerlendirir, kim bildirir, kim iletişimi yürütür. Adı belli kişiler, yedekleri ve mesai dışı iletişim bilgileri. Sonra bunu sahte bir güvenlik duyurusuyla bir kez prova edin. Bildirim platformunun kimlik bilgilerine sahip kişinin tatilde olduğunu provada fark edersiniz.

Beşincisi, bir güvenlik açığı açıklama politikası yayımlayın. Bir security.txt dosyası, izlenen bir adres ve belirtilmiş bir yanıt süresi. Bu bir öğleden sonralık iş ve bir sorunu bir araştırmacıdan duymakla bir gazeteciden duymak arasındaki fark bu.

Altıncısı, Aralık 2027 çalışmasına başlayın. Güvenli varsayılanlar, güncelleme mekanizmaları, destek süresi kararları ve dokümantasyon evrak işi değil, mimari sorulardır. 2026'da tasarladığınız ürünler 2028'de hâlâ piyasada olacak.

Kimsenin Kullanmadığı Örtüşme

CRA ile diğer rejimler arasında ciddi bir tekrar var ve çoğu şirket her birini ayrı ele alıyor; bu da israf.

CRA için oluşturulan bir SBOM, NIS2 kapsamındaki tedarik zinciri sorularının çoğunu cevaplar. Olay müdahale el kitabı, NIS2'nin 24 saatlik erken uyarısıyla ve GDPR'nin 72 saatlik ihlal bildirimiyle örtüşür. Güvenlik açığı yönetim süreçleri doğrudan müşteri güvenlik anketlerini ve kurumsal satın alma süreçlerini besler.

Bunları bir kez, platform yetkinliği olarak kurun. Alternatifi, aynı varlık envanterinin üç sürümünü kuran üç ekiptir.

Nereden Destek Alabilirsiniz

AB'ye satış yapan şirketler için yazılım geliştiriyor ve bakımını yapıyoruz; bu da giderek daha fazla, CRA'nın var saydığı tedarik zinciri görünürlüğünü ve güncelleme altyapısını kurmak anlamına geliyor. Kapsamda olup olmadığınızı netleştirmeye çalışıyorsanız ya da bildirim yükümlülüğü sizin için zaten geçerli olduğu halde bileşenlerinizi izleyen hiçbir şey yoksa, office@c9group.dev adresinden bize ulaşın.

Bu iş çoğu zaman eski sistem bakımı hizmetimizle başlar, çünkü bağımlılık görünürlüğü en kötü olan ürünler genellikle en eski olanlardır. Daha geniş düzenleyici tablo 2026 AB dijital uyum rehberimizde.

Biz avukat değil mühendisiz. Kapsam ve sınıflandırma kararları hukuk danışmanınıza aittir; biz onların verdiği cevaba göre geliştiririz.