24 Saatlik Güvenlik Açığı Bildirimi Sağlayıcıları: Piyasa Genel Bakışı ve Fiyatlar (2026)

• 24 saatlik bildirim zorunluluğu 11.09.2026 itibarıyla dijital ürün üreticileri için geçerlidir (CRA Madde 14)
• REP27, kadano ve Euverify bu konuda temsilcilik hizmeti sunmaktadır
• Fiyatlar: REP27 yıllık EUR 490'dan, kadano yıllık EUR 999, Euverify yıllık GBP 590
• Hizmetler değişken: yetki kapsamı, bildirim kanalı; teknik inceleme veya SBOM oluşturma dahil değildir
• İthalatçılar, distribütörler veya sadece pazar yeri satıcıları için zorunlu değildir

Güncellendi 26 October 2026 · 4 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 26 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Yasa Ne Diyor? (CRA Madde 14, Madde 18)

AB Siber Dayanıklılık Yasası (CRA) 11 Eylül 2026'dan itibaren dijital öğeler içeren ürünlerin üreticilerini, aktif olarak kullanılan güvenlik açıkları veya ciddi güvenlik olaylarını 24 saat içinde bildirmekle yükümlü kılar (Madde 14). Bildirim, merkezi ENISA portalı üzerinden ilgili üye devletin CSIRT birimine yapılır. Süreler katıdır: erken uyarı için 24 saat, ilk tam bildirim için 72 saat ve nihai rapor için 14 gün. Süre gerçek zamanlı işler; gece, hafta sonu ve tatiller dahil.

AB dışındaki üreticiler CRA Madde 18 uyarınca AB'de yetkili temsilci atamak zorundadır. Bu temsilci bildirim kanalı ve yetkili makamların muhatabı olur. Temsilci olmadan bildirim yasal değildir. İthalatçılar, distribütörler ve sadece pazar yeri satıcıları (örneğin Amazon, Etsy, eBay) kendi adlarına ürün piyasaya sürmedikleri için yükümlü değildir. Ticari olmayan açık kaynak projeleri için hafifletilmiş bildirim rejimi geçerlidir ancak bildirim zorunluluğu devam eder.

• CRA Madde 14: 24 saat erken uyarı, 72 saat tam bildirim, 14 gün nihai rapor
• CRA Madde 18: AB'de yerleşik olmayan üreticiler için yetkili temsilci zorunluluğu

Bildirim zorunluluğunu tetikleyen durumun tanımı kritik önemdedir: Sadece aktif olarak kullanılan açıklar veya ürün güvenliğini etkileyen ciddi olaylar bildirilir. Keşfedilmemiş veya kullanılmayan açıklar bildirim kapsamına girmez. Sürelerin takibi üreticinin sorumluluğundadır; gecikmeler veya yanlış bildirimler ağır yaptırımlara yol açabilir.

Hizmet Karşılaştırması: Neler Dahil, Neler Değil?

Sağlayıcılar şeffaflık ve hizmet kapsamı açısından belirgin farklılıklar gösterir. REP27, tüm fiyatları yayımlayan ve yetki kapsamını net şekilde listeleyen tek sağlayıcıdır. Yetki; CRA Madde 18 uyarınca yasal temsilcilik, Avrupa'da 24 saat destek hattı, bildirimlerin kabulü ve ilgili makamlara iletilmesini kapsar. REP27 teknik inceleme, SBOM oluşturma, uygunluk değerlendirmesi veya test yapmaz; bu görevler üreticiye aittir veya ayrı hizmet olarak alınmalıdır.

kadano ve Euverify fiyatlarını yayımlamış ancak hizmet detayları, ek ücretler veya hariç tutulan hizmetler "Talep üzerine" olarak belirtilmiştir. Sözleşme öncesi hangi hizmetlerin kapsandığını ve ek ücretlerin olup olmadığını yazılı olarak sormak faydalıdır.

Önemli: Teknik analiz, SBOM (Yazılım Malzeme Listesi) oluşturma ve güvenlik testleri temsilcilik fiyatına dahil değildir. Bu hizmetlere ihtiyaç duyanlar uzman sağlayıcılardan ayrı hizmet almalıdır.

Karar Matrisi: Kim Neye İhtiyaç Duyar?

CRA temsilcisi ve 24 saatlik bildirim gereksinimi, tedarik zincirindeki rolünüze, şirket konumunuza ve satış yapınıza bağlıdır. Aşağıdaki matris hızlı sınıflandırma için yardımcı olur:

Örnekler: ABD merkezli SaaS sağlayıcısı AB müşterilerine sattığında temsilci atamalı ve 24 saat bildirimi kurmalıdır. Çinli IoT üreticisi kendi markasıyla AB'de satış yapıyorsa temsilci zorunludur. İngiltere'deki sadece satıcı olan ve kendi markasını kullanmayan online mağaza temsilci veya 24 saat bildirim zorunluluğundan muaftır.

Alıcılar İçin Kontrol Listesi: Nasıl İlerlenir?

1. Rolünüzü belirleyin: AB'de satılan dijital ürün üreticisi misiniz?
2. Şirket konumunuzu tespit edin: AB dışı mısınız?
3. Sağlayıcıları karşılaştırın: Fiyatı yayımlanmış, yetki kapsamı net bir sağlayıcı seçin. Fiyatın tüm hizmetleri kapsayıp kapsamadığını kontrol edin.
4. Hizmet kapsamını yazılı teyit edin: Sözleşme öncesi hangi hizmetlerin dahil olduğunu ve hangi hizmetlerin hariç olduğunu yazılı olarak alın.
5. İç süreçleri hazırlayın: 24 saat bildirim sorumlularını belirleyin. Yetki ve bildirim şablonları içeren bir çalışma rehberi oluşturun.
6. Temsilci bilgilerini kaydedin: Temsilci ve iletişim bilgilerini uyumluluk dokümanlarınıza ekleyin, ekibinizi bilgilendirin.
7. Bildirimi test edin: Son tarih öncesi 24 saatlik bildirim simülasyonu yaparak süreçteki zayıf noktaları tespit edin.
8. Düzenli kontrol yapın: Satış yapınız veya ürün portföyünüzdeki değişikliklerin bildirim yükümlülüğünü etkileyip etkilemediğini yıllık olarak gözden geçirin.

Bu liste tipik hataları önler ve son tarihte uyumlu olmanızı sağlar.

Sağlayıcıların Genellikle Belirtmediği Konular (Hariç Tutmalar, Süreler, Ücretler)

Çoğu sağlayıcı, yetki kapsamındaki hizmetlerin hangileri olduğunu ve hangilerinin olmadığını açıkça belirtmez. REP27 teknik inceleme, uygunluk değerlendirmesi, SBOM oluşturma ve testin yetki kapsamında olmadığını açıkça listeler. Ayrıca şablon hazırlama, teknik analiz desteği veya son kullanıcı iletişimi gibi ek hizmetler kapsam dışıdır.

• REP27 fiyatı sabittir, gizli ücret yoktur. Yenileme fiyatı önceden belirlenmiştir ve önceden bildirilmeden değişmez.
• kadano ve Euverify ek ücretler, iptal süreleri veya sorumluluk sınırları hakkında bilgi vermez. Bu konular sözleşme öncesi mutlaka sorulmalıdır.
• Bildirimin zamanında yapılması ve kalitesi üreticinin sorumluluğundadır. Temsilci sadece bildirimi alıp iletir, teknik değerlendirme yapmaz.
• REP27 yetki verme süresi 24 saat olarak belirtilmiştir. Diğer sağlayıcılar için süre "Talep üzerine" olarak verilmiştir.

Sık yapılan hata: Yetki tüm CRA uyumluluğunu kapsamaz. Maliyetli ve kapsamlı kısımlar (uygunluk değerlendirmesi, teknik dokümantasyon, SBOM) ayrı organize edilmelidir. Hazırlıksız olanlar gecikme ve para cezası riski altındadır.

Pratikten Üç Senaryo: Kim Ne Yapmalı?

• ABD SaaS Sağlayıcısı: ABD merkezli, AB'deki şirketlere bulut yazılımı sunan bir firma. Dijital ürün üreticisi olarak CRA temsilcisi atamalı ve 24 saat bildirim sürecini kurmalıdır. İç sorumlular belirlenmeli ve şablonlar hazırlanmalıdır.
• Çinli Amazon Satıcısı: Kendi markasıyla AB'de IoT cihazları satan Çinli firma. AB'de yerleşik olmadığından CRA Madde 18 uyarınca temsilci zorunludur. Bildirimler bu temsilci üzerinden yapılır. Sadece satıcı olup kendi markasını kullanmayanlar zorunludan muaftır.
• İngiltere Online Mağazası: Üçüncü taraf ürünlerini satan ancak kendi markası olmayan İngiliz mağaza. 24 saat bildirim ve temsilci zorunluluğu yoktur; üretici sorumludur.

Bu senaryolar, rolünüzün doğru belirlenmesinin önemini gösterir. Yanlış değerlendirmeler gereksiz maliyet ve uyum boşluklarına yol açar.