AB dışı üreticiler için 24 saat zafiyet raporu maliyeti (CRA 2026)

• 11 Eylül 2026'dan itibaren AB'de satılan dijital ürünlerin tüm üreticileri için zorunludur
• REP27 hizmeti yıllık €490, yenileme €440, fiyatlar yayımlanmıştır
• Kadano: €999/yıl, Euverify: £590/yıl (yaklaşık €690), fiyatlar yayımlanmıştır
• Hizmet sadece rapor iletimini kapsar, teknik test veya değerlendirme içermez
• Uyulmaması halinde €15 milyon veya yıllık global cironun %2,5'i kadar para cezası
• İthalatçılar, distribütörler veya sadece AB dışı satış yapanlar için zorunlu değildir

Güncellendi 22 October 2026 · 7 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 22 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Yasa Ne Diyor: CRA Madde 14

Cyber Resilience Act'in (AB Tüzüğü 2024/2847) 14. Maddesi, AB'de satılan tüm dijital ürün üreticileri için çok sıkı bir raporlama zorunluluğu getirir. 11 Eylül 2026'dan itibaren, üreticiler, ürünlerini etkileyen aktif olarak kullanılan bir zafiyeti veya ciddi bir güvenlik olayını öğrendikten sonra 24 saat içinde bildirim yapmak zorundadır. Bildirim, ENISA tarafından yönetilen tek bir platform üzerinden ilgili AB ülkesinin CSIRT koordinatörüne yapılır.

• Bildirim üç aşamada yapılır: erken uyarı (24 saat içinde), detaylı bildirim (72 saat içinde), nihai rapor (14 gün içinde).
• AB dışı üreticiler de doğrudan veya pazar yerleri aracılığıyla AB müşterilerine satış yapıyorsa raporlama zorunludur.
• Yetkilendirilmiş temsilciden güvenlik testleri veya teknik değerlendirme istenmez; görevi sadece bildirimleri iletmek ve iletişim noktası olmaktır.
• Yükümlülük sadece aktif zafiyetlere değil, ürün güvenliğini etkileyen tüm olaylara da uygulanır.

Bildirim yapılmaması veya gecikmesi halinde, en fazla €15 milyon veya yıllık global cironun %2,5'i kadar para cezası uygulanabilir. Bu kurallar, yazılım, donanım, IoT cihazları, SaaS ve diğer dijital ürün üreticileri için geçerlidir.

Kaynaklar: NIS2.gov.ie, Licentium

Sağlayıcı Seçimi: Pratik Kriterler ve Karşılaştırma

CRA kapsamında zafiyet raporlama için doğru sağlayıcıyı seçmek, fiyattan öte çeşitli pratik kriterleri dikkate almayı gerektirir. Başlıca değerlendirme kriterleri:

• Yayımlanmış ve şeffaf fiyat: Yıllık ve yenileme ücretlerini net belirten sağlayıcılar tercih edilmeli.
• Coğrafi kapsama: Ürünlerin satıldığı tüm AB ülkelerinde temsilcilik garantisi olmalı.
• Sertifikasyon ve doğrulama: Elektronik imzalı ve kamuya açık doğrulanabilir yetki belgesi güven verir.
• 7/24 aktif raporlama kanalı: Hizmet yılın her saati, hafta sonu ve tatiller dahil aktif olmalı.
• Dahil olmayanlar konusunda açıklık: Temel fiyat test, SBOM veya teknik destek içermez; sadece bildirim iletimi kapsanır.

Detaylı karşılaştırma:

Pratik öneri: Neler dahil, tekil bildirim ücreti var mı ve yenileme nasıl yapılır önceden sorulmalı. Kamuya açık doğrulanabilir sertifika ve yasal varlık ile coğrafi kapsam net olmalı.

Fiyata Gerçekten Neler Dahil?

Yayımlanan fiyat, sadece CRA Madde 18 kapsamında zafiyet raporlama için yetkilendirilmiş temsilcilik hizmetini kapsar. Temsilcinin görevleri:

• Zafiyet veya güvenlik olaylarını resmi platform üzerinden CSIRT/ENISA'ya iletmek.
• Avrupa denetim makamları ile iletişim noktası olmak.
• Kamuya açık QR kodlu imzalı yetki belgesi sağlamak.
• En az REP27 için 7/24 raporlama kanalı işletmek.

Fiyata dahil olmayanlar:

• Güvenlik testleri veya zafiyet değerlendirmesi
• Yazılım Malzeme Bildirimi (SBOM) oluşturma
• Teknik, hukuki veya operasyonel destek
• Kriz yönetimi veya son kullanıcı iletişimi (bildirim iletimi dışında)

Örneğin REP27, "uygunluk değerlendirmesi bildirilmiş kuruluşlara, testler güvenlik firmalarına, SBOM oluşturma sizin yapınıza ve raporlama güvenlik ekibinize aittir" demektedir. Ek bildirim ücreti veya gizli satış yoktur.

Öneri: Bildirim hazırlama ve yetkili makamların ek taleplerine yanıt verme yetkiniz içerde olmalı.

Gizli Maliyetler, Hizmet Sınırları ve Pratik Riskler

Yetkilendirilmiş temsilcilik ücreti, CRA uyumu için gereken toplam bütçenin sadece bir parçasıdır. Gizli maliyetler ve hizmet sınırları sıklıkla göz ardı edilir:

• İç hazırlık: Bilgi toplama, bildirim yazımı ve temsilci ile iletişim üretici sorumluluğundadır.
• Denetim ve değerlendirme: Yetkili makam talep ederse dış denetim veya teknik değerlendirme maliyetleri üreticiye aittir.
• Teknik ve hukuki destek: Temsilci sadece bildirim iletir, ek danışmanlık ücretlidir.
• Sınırlı sorumluluk: Sağlayıcılar içerik hataları veya eksikliklerinden sorumlu değildir.
• Yenileme ve değişim: Yenileme koşulları ve sağlayıcı değişim cezaları kontrol edilmeli; REP27 fiyatları yayımlar, diğerleri genellikle yayımlamaz.

Pratik riskler:

• İç prosedür hazır değilse zamanında bildirim riski yüksektir.
• Bildirim yapılmaması veya gecikme yüksek para cezaları ve AB satış engelleri doğurabilir.

Öneri: Yetkilendirilmiş temsilcilik bir "süreç poliçesi" olarak görülmeli, teknik çözüm değil. Uyumluluk iç organizasyona bağlıdır.

Atama Süreci: Adım Adım ve Kontrol Listesi

CRA temsilcisi atama süreci açık bir işleyişe sahiptir. Pratik adımlar ve kontrol listesi:

1. AB'de dijital ürün satıyor musunuz kontrolü: Üreticiyseniz (yalnızca distribütör veya ithalatçı değilseniz) devam edin.
2. Sağlayıcı seçimi: Fiyat, kapsam, sözleşme şeffaflığı karşılaştırması yapın.
3. Online başvuru: Talep formunu doldurun, Madde 18 yetki belgesini alın.
4. Yetki belgesini imzalama ve arşivleme: Her iki tarafça imzalanmalı ve denetim için saklanmalı.
5. Temsilci bilgilerini şirket dokümanlarına ekleyin: Runbook, iç politika ve uyum dokümanlarını güncelleyin.
6. İç bildirim prosedürünü hazırlayın: Zafiyet bildiren kişi, kanıt toplama ve bildirim şablonları (erken uyarı, bildirim, nihai rapor) belirleyin.
7. En az iki bildirim yetkilisi atayın: ENISA platformuna erişim için yedekli kişi olmalı.
8. Tüm bildirimleri kaydedin: Kim, ne zaman, nasıl bildirdi takibi denetim için kritik.

Operasyonel kontrol listesi:

1. Konumunuzu doğrulayın (üretici, ithalatçı, distribütör)
2. Temsilci seçin ve atayın
3. İç raporlama prosedürünü oluşturun
4. Bildirici atayın ve dokümanları güncelleyin
5. Bildirim şablonlarını önceden doldurun
6. Her bildirimi ve iletişimi kaydedin

Öneri: Prosedür netliği temsilcilik hizmetinin gerçek katma değeridir.

Karar Matrisi: Kim Hizmete İhtiyaç Duyar?

Tüm şirketlerin zafiyet raporlama temsilcisi ataması zorunlu değildir. Gerçek vakalara dayalı karar matrisi:

Öneri: Sadece distribütör veya ithalatçıysanız ve ürünü kendi adınıza piyasaya sürmüyorsanız temsilci atama zorunluluğunuz yoktur. AB dışı üreticiyseniz, cezalardan kaçınmak için temsilci atamak zorunludur.

Sağlayıcıların Söylemediği (Ama Bilmeniz Gerekenler)

Birçok sağlayıcı, uyumluluğunuzu ve gerçek maliyetleri etkileyebilecek önemli detayları yayımlamaz:

• Dahil olmayanlar: Temel fiyata güvenlik testleri, SBOM veya teknik değerlendirme dahil değildir; sadece bildirim iletimi kapsanır.
• Sorumluluk: Bildirimlerin doğruluğu ve zamanında yapılması üretici sorumluluğundadır. Temsilci içeriği kontrol etmez veya değiştirmez.
• Yenileme ve değişim: Bazı sağlayıcılar yenileme fiyatı veya temsilci değişim koşullarını yayımlamaz. REP27 her ikisini de yayımlar.
• Dil ve saatler: Sağlayıcının gerçekten 7/24 aktif ve çok dilli destek verebildiğinden emin olun.
• Hizmet sınırları: Temsilci son kullanıcı iletişimi, kriz yönetimi veya hukuki danışmanlık yapmaz.

Öneri: İmzalamadan önce hariç tutulanlar ve sorumluluk sınırlarını yazılı olarak talep edin.

Pratik Senaryolar: 3 Gerçek Vaka ve En Kolay Yol

• ABD merkezli SaaS AB'de satıyor: CRA temsilcisi atamalı, raporlama prosedürünü hazırlamalı ve resmi belgelerde temsilciyi göstermeli. Zafiyet durumunda temsilci bildirimi ENISA/CSIRT'ye iletir. En kolay yol, 7/24 aktif kanal ve doğrulanabilir yetki sunan sağlayıcı seçmektir.
• Çinli Amazon satıcısı: Dijital ürünün üreticisi ise raporlama zorunludur ve temsilci atamalıdır; sadece distribütör ise zorunlu değildir. En kolay yol, sözleşme rolünü netleştirmek ve e-ticaret deneyimli sağlayıcıya güvenmektir.
• İngiltere online mağazası: AB müşterilerine dijital ürün satıyorsa temsilci atamalı ve raporlama yapmalı; sadece İngiltere'de satıyorsa zorunlu değildir. En kolay yol, AB satış oranının uyum maliyetini haklı çıkarıp çıkarmadığını değerlendirmektir.

Her durumda, iç hazırlık ve prosedür netliği son teslim tarihlerine uyum ve ceza risklerini azaltmak için kritiktir.