AB Siber Dayanıklılık Yasası (CRA) Nedir?
Son güncelleme: 5 Kasım 2026. Bu yazı genel bilgi amaçlıdır; hukuki danışmanlık değildir.
Yıllarca Avrupa'da yazılım güvenliği büyük ölçüde iyi uygulamalar ve sözleşmeler meselesiydi. AB Siber Dayanıklılık Yasası (Cyber Resilience Act, CRA), uygulamalardan masaüstü yazılımlara ve bağlantılı cihazlara kadar AB'de satılan dijital unsurlu ürünler için siber güvenliği yasal bir zorunluluk haline getirerek bunu değiştiriyor. Düzenleme Aralık 2024'te yürürlüğe girdi, ancak yükümlülükleri aşamalı olarak devreye giriyor. 11 Eylül 2026'dan bu yana üreticiler, aktif olarak istismar edilen açıkları ve ciddi olayları sıkı süreler içinde bildirmek zorunda. 11 Aralık 2027'de ise tasarımdan güvenli olma, ürünün destek süresi boyunca açıkların yönetilmesi ve CE işareti dahil gereksinimlerin tamamı uygulanacak. AB içindeki ve dışındaki yazılım şirketlerinin nerede durduklarını anlaması gerekiyor.
Önemli Tarihler
- 10 Aralık 2024: CRA yürürlüğe girdi.
- 11 Haziran 2026: uygunluk değerlendirme kuruluşlarına ilişkin kurallar uygulanmaya başladı.
- 11 Eylül 2026: aktif olarak istismar edilen açıklar ve ciddi olaylar için bildirim yükümlülükleri uygulanmaya başladı.
- 11 Aralık 2027: temel siber güvenlik gereksinimleri, uygunluk değerlendirmesi ve CE işareti dahil kalan yükümlülükler uygulanacak.
CRA Kimleri Kapsıyor?
CRA, ticari bir faaliyetin parçası olarak AB pazarında sunulan dijital unsurlu ürünleri kapsar. Bu; bir cihaza veya ağa doğrudan ya da dolaylı olarak bağlanan yazılım ve donanımları ve bir ürünün işlevleri için temel olan uzaktan veri işleme çözümlerini içerir. Yükümlülüklerin çoğu üreticilere aittir; ithalatçıların ve dağıtıcıların da kendi görevleri vardır. Bir ürünü kendi adıyla satan veya önemli ölçüde değiştiren bir dağıtıcı ya da ithalatçı üretici olarak kabul edilir.
Düzenleme AB pazarına bağlı olduğu için konum bir muafiyet sağlamaz. İngiltere, Türkiye, Körfez veya başka bir yerde bulunan yazılım şirketleri, kapsamdaki ürünleri AB'deki müşterilere sattıklarında etkilenir. Tıbbi cihazlar, motorlu araçlar ve sivil havacılık gibi zaten özel AB kurallarına tabi bazı sektörler kapsam dışıdır; ticari faaliyet dışında sunulan özgür ve açık kaynaklı yazılımlar ise farklı ele alınır.
Peki SaaS?
Yerel kurulum olmadan internet üzerinden sunulan ve ayrı bir ürün olarak pazarlanmayan saf hizmet olarak yazılım (SaaS), NIS2 veya DORA gibi başka düzenlemelerin kapsamına girebilse de genellikle CRA'nın dışındadır. Ancak sınır her zaman net değildir. Kullanıcıların indirip kurduğu bir mobil uygulama gibi yazılımlar kapsamdadır. Bu uygulama yalnızca sağlayıcının arka yüzüyle çalışıyorsa, temel işlevi için gerekli olduğundan uzaktaki servis ürünün bir parçası sayılabilir. İsteğe bağlı eklenti niteliğindeki bulut özelliklerinin ise CRA dışında kalma olasılığı daha yüksektir. Kurulumlu yazılım ve bulut hizmetlerini birlikte sunan şirketler her ürünü dikkatle değerlendirmelidir.
Eylül 2026'dan Beri Yürürlükte Olan Bildirim Yükümlülükleri
İki tür olayın bildirilmesi gerekiyor: bir saldırganın açığı istismar ettiğine dair güvenilir kanıt bulunan aktif olarak istismar edilen açıklar ve ürünün güvenliğini etkileyen ciddi olaylar. Her ikisi için de süreler zorlayıcı:
- Açığın veya olayın farkına varıldıktan sonra 24 saat içinde erken uyarı.
- Daha ayrıntılı bilgiyle 72 saat içinde bildirim.
- İstismar edilen bir açık için bir düzeltme veya hafifletme önlemi sunulduktan en geç 14 gün sonra, ciddi bir olay için ise bildirimden sonraki bir ay içinde nihai rapor.
Raporlar, tek bir bildirim platformu üzerinden koordinatör ulusal CSIRT'e ve AB siber güvenlik ajansı ENISA'ya iletilir. Üreticilerin etkilenen kullanıcıları da sorun ve alabilecekleri önlemler hakkında bilgilendirmesi gerekir. Mikro ve küçük işletmelere 24 saatlik erken uyarı süresini kaçırdıkları için para cezası verilmez, ancak bildirim yükümlülüğü onlar için de geçerlidir.
Aralık 2027'den İtibaren Neler Uygulanacak?
11 Aralık 2027'den itibaren kapsamdaki ürünlerin CRA'nın temel siber güvenlik gereksinimlerini karşılaması gerekecek. Pratikte bu; ürünleri varsayılan olarak güvenli tasarlamak, piyasaya çıkışta bilinen istismar edilebilir açıklardan kaçınmak, ürünün daha kısa süre kullanılması beklenmedikçe genellikle en az beş yıl olması gereken tanımlı bir destek süresi boyunca açıkları yönetip düzeltmek, güvenlik güncellemeleri sunmak, ürünün içerdiği yazılım bileşenlerini belgelemek ve CE işaretini uygulamadan önce bir uygunluk değerlendirmesi yapmak demektir. Önemli veya kritik olarak sınıflandırılan ürünler daha sıkı değerlendirme prosedürlerine tabidir.
Cezalar
CRA önemli para cezaları öngörüyor. Temel gereksinimlerin ve bildirim dahil temel üretici yükümlülüklerinin ihlali, hangisi daha yüksekse 15 milyon avroya veya dünya genelindeki yıllık cironun yüzde 2,5'ine kadar para cezasına yol açabilir. Diğer ihlaller için daha düşük üst sınırlar geçerlidir. Ulusal makamların geçiş döneminde bu cezaları nasıl ve ne zaman uygulayacağı hukuk danışmanlarıyla teyit edilmelidir.
Yazılım Ekipleri Nasıl Hazırlanmalı?
- Ürünlerinizi haritalayın. AB'de satılan ürünleri listeleyin ve arka yüz servisleri dahil her birinin kapsamda olup olmadığını belirleyin.
- 24 saatlik açık yönetimi kurun. İstismar edilen açıkları ve olayları kimin izleyeceğini, bir olayın bildirilmesi gerekip gerekmediğine kimin karar vereceğini ve raporların süreler içinde nasıl gönderileceğini tanımlayın.
- Bileşenlerinizi bilin. Bir bağımlılıkta açık bildirildiğinde maruziyeti hızla değerlendirebilmek için her ürün için bir yazılım malzeme listesi (SBOM) tutun.
- Bir açıklama politikası yayınlayın. Güvenlik araştırmacılarına ve müşterilere size açık bildirmeleri için net bir yol sunun.
- Güvenliği geliştirmeye dahil edin. Otomatik bağımlılık taraması, güvenli varsayılanlar, kod incelemesi ve güvenilir bir güncelleme süreci 2027 gereksinimlerinin temelidir.
- Destek sürelerini tanımlayın. Her ürünün ne kadar süre güvenlik güncellemesi alacağına karar verin ve bunları sağlayacak kaynakları planlayın.
Sıkça Sorulan Sorular
AB Siber Dayanıklılık Yasası nedir?
Siber Dayanıklılık Yasası, yazılım ve bağlantılı donanımlar dahil AB'de satılan dijital unsurlu ürünler için zorunlu siber güvenlik gereksinimleri belirleyen bir AB düzenlemesidir. Ürünlerin nasıl tasarlandığını, açıkların nasıl yönetildiğini ve güvenlik olaylarının nasıl bildirildiğini kapsar.
CRA bildirimi ne zaman zorunlu hale geldi?
Aktif olarak istismar edilen açıklar ve ciddi olaylar için bildirim yükümlülükleri 11 Eylül 2026'dan beri uygulanıyor. Gereksinimlerin tamamı 11 Aralık 2027'den itibaren uygulanacak.
CRA AB dışındaki şirketleri de kapsıyor mu?
Evet, kapsamdaki ürünleri AB pazarında sunduklarında. Düzenleme üreticinin nerede bulunduğuna değil, ürünlerin nerede satıldığına bağlıdır.
CRA SaaS'ı kapsıyor mu?
Yerel olarak kurulmayan ve ayrı bir ürün olarak pazarlanmayan saf SaaS genellikle CRA'nın dışındadır. Ancak bir mobil uygulamanın onsuz çalışamayan arka yüzü gibi kurulumlu bir ürün için temel olan uzak servisler kapsamda olabilir.
CRA bildirim süreleri nelerdir?
Farkına varıldıktan sonra 24 saat içinde erken uyarı, 72 saat içinde bildirim ve istismar edilen bir açık için düzeltme sunulduktan sonra 14 gün içinde, ciddi bir olay için ise bildirimden sonraki bir ay içinde nihai rapor.
CRA kapsamındaki cezalar nelerdir?
Temel gereksinimlerin ve temel üretici yükümlülüklerinin ihlali için para cezaları, hangisi daha yüksekse 15 milyon avroya veya dünya genelindeki yıllık cironun yüzde 2,5'ine ulaşabilir. Diğer ihlaller için daha düşük üst sınırlar geçerlidir.
Sonuç
Siber Dayanıklılık Yasası, AB'de satılan ürünler için yazılım güvenliğini yasal bir yükümlülüğe dönüştürüyor. 24 saatlik bildirim yükümlülüğü zaten yürürlükte ve gereksinimlerin tamamı Aralık 2027'de geliyor; bu tarih, ürünlerini geliştirme, belgeleme ve bakım şeklini değiştirmesi gereken ekipler için göründüğünden daha yakın. Kapsamdakileri haritalayarak, hızlı bir açık yönetimi kurarak ve geliştirme sürecinizde güvenliği güçlendirerek başlayın. Avrupa pazarı için yazılım geliştiriyorsanız ve güvenli geliştirme, bağımlılık yönetimi ve açık yönetimi süreçlerini kurmak için yardıma ihtiyacınız varsa, ekibimiz hazırlanmanıza yardımcı olabilir.