Cyber Resilience Act 24 Saat Açık Zafiyet Raporlama: Sağlayıcılar & Fiyatlar (2026)

• CRA Madde 14, ENISA'ya 24 saat içinde aktif olarak kullanılan zafiyetlerin raporlanmasını zorunlu kılar.
• AB dışı üreticiler, raporlama için AB merkezli yetkili temsilci atamalıdır.
• REP27 — Europe Services, SE, Madde 18 yetkisi için yıllık 490 € ücret talep eder.
• Rakip fiyatları: kadano (999 €/yıl), Euverify (590 £/yıl), diğerleri talep üzerine fiyat verir.
• REP27 yasal danışmanlık, SBOM oluşturma ve uygunluk değerlendirmesi hizmeti sunmaz.
• İthalatçılar, dağıtıcılar veya 11 Eylül 2026 öncesi piyasaya sürülen ürünler için zorunlu değildir.

Güncellendi 17 October 2026 · 8 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 17 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Yasaların Gerektirdikleri: CRA Madde 14 & 18

Cyber Resilience Act (CRA), AB pazarına dijital unsurlu ürünler sunan üreticiler için sıkı bir düzenleme getirir. Madde 1 kapsamı tanımlar: dijital unsurlu donanım ve yazılımlar, bağlı cihazlar, firmware ve uygulamalar dahildir. Madde 10, ürün yaşam döngüsü boyunca siber güvenlik önlemleri için temel gereksinimleri belirlerken, Madde 11 üreticilerin risk değerlendirmesi, zafiyet yönetimi ve uygunluk değerlendirmesi gibi yükümlülüklerini detaylandırır.

Madde 14 merkezi önemdedir: üreticilerin, aktif olarak kullanılan zafiyetleri veya ürün güvenliğini etkileyen ciddi olayları fark ettikten sonra 24 saat içinde ENISA'ya tek raporlama platformu üzerinden bildirmesini zorunlu kılar. Görev, sadece zafiyet keşfiyle değil, istismar kanıtı veya önemli güvenlik olayıyla tetiklenir. 24 saat takvimi, gece, hafta sonu ve tatilleri de kapsar.

AB dışı üreticiler için Madde 18, AB'de kurulu yetkili temsilci atamayı zorunlu kılar. Bu temsilci 24 saat raporlama sürecini yürütür ve AB makamlarıyla resmi iletişim noktasıdır. İthalatçılar ve dağıtıcıların kendi yükümlülükleri Madde 12'de belirtilmiştir, ancak asıl raporlama görevi üretici veya temsilcisine aittir.

11 Eylül 2026 öncesi AB pazarına sunulan ürünler 24 saat raporlama yükümlülüğünden muaftır ancak diğer CRA hükümlerine uymak zorundadır. Uyumsuzluk, 15 milyon € veya yıllık global cironun %2,5'i kadar para cezasına yol açabilir. Yasa açıktır: Eylül 2026 sonrası AB'de dijital ürün satan AB dışı üreticiler, nitelikli olaylarda 24 saat içinde harekete geçecek yetkili temsilci atamalıdır.

CRA Yetkili Temsilci Seçimi Nasıl Yapılır?

Doğru yetkili temsilci seçimi uyumluluk ve operasyonel verimlilik için kritiktir. Sağlayıcının yasal varlığını, AB'deki kuruluşunu ve geçmişini doğrulayarak başlayın. Örneğin, REP27 — Europe Services, SE Prag, Çekya merkezlidir ve 2018'den beri faaliyet göstermekte, 24 ülkede şirketlerle yetki sözleşmesi imzalamıştır.

Seçim kriterleri şunlardır:

• Şeffaf Fiyatlandırma: Net, yayınlanmış fiyatlar ve yenileme koşulları arayın. REP27 hem ilk yıl hem yenileme fiyatlarını yayınlar. Kadano ve Euverify fiyatlarını yayınlarken, diğerleri teklif ister.
• Yetki Kapsamı: Yetkinin sadece Madde 18 yükümlülükleriyle sınırlı olduğundan emin olun. Aşırı kapsamlı yetkiler Madde 13 yükümlülüklerini de kapsayabilir ki bu Madde 18(2) ile yasaktır. REP27 kapsamını açıkça Madde 18 ile sınırlar.
• Uygunluk ve Erişilebilirlik: Raporlama masası hafta sonları ve tatiller dahil 7/24 hizmet vermelidir. REP27 sürekli hizmet garantisi verir, diğer sağlayıcılar için doğrulama gerekir.
• Sertifika Doğrulaması: REP27'nin QR kodlu ve kamuya açık doğrulama sertifikası gibi doğrulanabilir sertifikalar atanma kanıtı sağlar ve yetkililer ya da müşteriler tarafından kontrol edilebilir.
• Dahil Olmayan Hizmetler: Yasal danışmanlık, SBOM oluşturma veya teknik test gibi hizmetlerin dahil olmadığını netleştirin. REP27 tüm hariç tutmaları açıkça listeler; birçok rakip bunu yapmaz.

Teknik tarama, SBOM oluşturma gibi paket hizmetler iç kaynaklarınız yoksa faydalı olabilir ancak gizli maliyetler, belirsiz yenileme fiyatları veya muğlak hizmet tanımlarına dikkat edin. Yazılı süreç talep edin; taleplerin nasıl, hangi dillerde ve hangi saatlerde işleneceği net olmalıdır.

Son olarak, sağlayıcının yetkisinin doğrulanabilir ve yetkili makam taleplerinin hızlı ve belgelenmiş şekilde iletildiğinden emin olun. Bu sadece uyumluluk için bir kutu işareti değil; gecikmeler veya yanlış iletişim yasal ve ticari sonuçlar doğurabilir.

Fiyata Gerçekten Neler Dahil? Sağlayıcı Karşılaştırması

Yayınlanan fiyatın neleri kapsadığını anlamak sürprizleri önler. Aşağıda mevcut verilere göre her sağlayıcının sundukları detaylıca karşılaştırılmıştır:

REP27 fiyatı (490 €/yıl, yenileme 440 €) sadece Madde 18 yetkisini kapsar ve hariç tutmaları net belirtir. Kadano ve Euverify fiyat yayınlasa da dahil olanları veya hariç tutmaları açıklamaz. ResilienceWP ve Seentrix teknik hizmetler (SBOM, tarama, dokümantasyon) sunar ancak fiyat ve kapsam talep üzerine verilir.

İmzalamadan önce detaylı hizmet tanımı ve yenileme fiyatı teyidi mutlaka alın. En maliyetli hata, teknik uyumluluk veya yasal danışmanlık dahil sanmaktır.

Gizli Maliyetler & Sağlayıcıların Genellikle Söylemedikleri

Başlık fiyat önemli olsa da gizli maliyetler ve hariç tutmalar uyumluluk bütçeniz ve operasyonel riskiniz üzerinde büyük etki yapabilir. Sağlayıcıların genellikle önceden açıklamadıkları şunlardır:

• Hariç Tutmalar: REP27 açıkça belirtir: yasal danışmanlık, DPO hizmetleri, teknik uyumluluk değerlendirmeleri, SBOM oluşturma veya test dahil değildir. Birçok rakip bu hariç tutmaları yayınlamaz; mutlaka sorun. Teknik uyumluluk (SBOM, uygunluk değerlendirmesi, mühendislik) hiçbir temsilci yetkisinde yoktur ve ayrı bütçelenmelidir.
• Yenileme Fiyatları: Bazı sağlayıcılar ilk yıl düşük fiyat verir ancak yenileme ücretlerini yayınlamaz. REP27 her ikisini de açıklar. Beklenmedik artışları önlemek için yazılı yenileme koşulları alın.
• Talep Başına Ücretler: Bazı temsilciler her yetkili veya veri sahibi talebi için ek ücret talep edebilir veya acil bildirimlerde ücret alabilir. REP27 böyle bir ücret belirtmez ancak diğerlerinde durum farklı olabilir. İmzalamadan önce netleştirin.
• İptal ve Bildirim Süreleri: Yetkinin sona erdirilmesi veya sağlayıcı değişikliği prosedürleri nadiren açıklanır. Bildirim sürelerini ve varsa ücretleri sorun.
• Sorumluluk Sınırları: Çoğu temsilci, gecikme veya yanlış bildirim durumunda sorumluluklarını sınırlar. Bu sınırlar kamuya açık sayfalarda her zaman belirtilmez.
• Paket Hizmetler: Teknik hizmetler (SBOM, tarama) sunan sağlayıcılar yüksek ek ücret veya uzun süreli sözleşme talep edebilir. Kapsam ve fiyatı yazılı teyit edin.

Özetle, uyumluluğun gerçek maliyeti sadece temsilci ücreti değil, iç mühendislik, teknik uyumluluk ve 7/24 olay müdahale süreçlerinin maliyetidir. Tüm şartları yazılı ve detaylı olarak teyit etmeden taahhütte bulunmayın.

Atama Süreci: Adım Adım

CRA yetkili temsilci ataması dikkatli planlama ve dokümantasyon gerektiren bir süreçtir. İşte güncel en iyi uygulamalar ve yasal gerekliliklere dayalı pratik adımlar:

1. Uygunluğu Değerlendir: Ürününüzün dijital unsurlu (donanım/yazılım) ve 11 Eylül 2026 sonrası AB pazarına sunulduğundan emin olun. Bu durumda CRA 24 saat raporlama zorunludur.
2. Sağlayıcı Seçimi: Yayınlanmış fiyat, kapsam, hariç tutmalar ve itibara göre karşılaştırma yapın. Tüm ücret, yenileme ve kapsam şartlarını yazılı isteyin.
3. Sözleşme ve Yetki: Seçtiğiniz temsilci ile yazılı yetki sözleşmesi imzalayın. REP27, 24 saat içinde imzalı Madde 18 yetkisi ve doğrulanabilir sertifika sağlar. Yasal varlığın AB'de olduğunu ve ticari sicile kayıtlı olduğunu kontrol edin.
4. Dokümantasyonu Güncelle: Temsilci bilgilerini uyumluluk rehberinize ekleyin. Olay bildirim sürecini, kimlerin bildirim yapabileceğini ve kanıtların nasıl kaydedileceğini hazırlayın.
5. İç Hazırlık: ENISA platformu için farklı zaman dilimlerinden en az iki yetkili belirleyin. Erken uyarı şablonlarını önceden hazırlayın ve 72 saat bildirim ile kullanıcı iletişimi sorumlularını atayın.
6. Olay Müdahalesi: Nitelikli zafiyet veya olay tespitinde temsilcinizi hemen bilgilendirin. Temsilci, 24 saat içinde ENISA/CSIRT'ye erken uyarı bildirimi yapar, ardından 72 saat bildirimi ve nihai raporu takip eder.
7. Kayıt Tutma: Farkındalık, bildirim zamanları ve iletişim detaylarını ayrıntılı tutun. Yetkililerce uyumluluğun sorgulanması durumunda kritik önemdedir.
8. Sürekli Gözden Geçirme: Süreçlerinizi düzenli olarak gözden geçirin, iletişim bilgilerini, şablonları ve sorumlulukları güncelleyin.

Bu süreç, CRA’nın sıkı zaman sınırlarına uyulmasını ve cezaların önlenmesini sağlar. Anahtar hazırlıktır: tetikleyicileri tanımlayın, rolleri atayın ve yasa yürürlüğe girmeden önce süreci prova edin.

Riskler, Cezalar ve Uyumluluk Tarihleri

Cyber Resilience Act, uyumsuzluk halinde önemli yasal ve finansal riskler getirir. Madde 15, yaptırım prosedürleri ve cezaları açıklar. En büyük risk, aktif olarak kullanılan zafiyet veya ciddi olay için 24 saat raporlama süresinin kaçırılmasıdır. Saat, farkındalık anında başlar, soruşturma tamamlanınca değil. Gecikmeler 15 milyon € veya yıllık global cironun %2,5'i kadar para cezasına yol açabilir.

Diğer riskler şunlardır:

• Pazar Erişim Gecikmeleri: Temsilci atamamak veya doğrulanabilir sertifika sunmamak ürün lansmanlarını geciktirebilir veya kurumsal satış süreçlerinde satın alma durabilir.
• Yaptırım İşlemleri: Yetkililer soruşturma başlatabilir, belge talep edebilir veya düzeltici önlemler uygulayabilir.
• İtibar Zedelenmesi: Kamuya açık raporlama başarısızlıkları marka ve müşteri güvenine zarar verebilir.
• Çoklu Raporlama Rejimleri: Tek bir olay CRA, NIS2, GDPR ve GPSR kapsamında farklı zaman ve mercilerle raporlanabilir. Örneğin, ürününüzü hedef alan bir fidye yazılımı saldırısı üç ayrı rapor gerektirebilir.

Uyumluluk tarihleri sıkıdır: 11 Eylül 2026'dan itibaren yeni ürünler için 24 saat raporlama zorunludur. Önceki ürünler bu zorunluluktan muaftır ancak diğer CRA hükümlerine uymalıdır. En az 5 yıl güvenlik güncelleme desteği gibi gizli maliyetler ürün hattı bütçesi olarak planlanmalıdır.

Özetle, uyumsuzluk riskleri büyüktür ve hazırlıksızlığın maliyeti, nitelikli temsilci atamanın maliyetinden çok daha yüksektir.

Karar Matrisi: CRA Yetkili Temsilciye İhtiyacınız Var mı?

Aşağıdaki matris, CRA yetkili temsilci ihtiyacınızı belirlemenize yardımcı olur:

Bu matris çoğu durumu kapsar. Şüphe halinde hukuk danışmanınıza veya sağlayıcıya danışın. Görev, ithalatçı veya dağıtıcı değil, üretici veya atadığı temsilcidedir; kendi adıyla ürün sunmuyorlarsa.

Kontrol Listesi: CRA 24 Saat Raporlama Uyumluluğu

1. Ürünlerinizi Haritalayın: AB'de satılan dijital unsurlu tüm ürünleri ve lansman tarihlerini listeleyin.
2. İç Süreçleri Değerlendirin: Zafiyetlerin nasıl tespit edildiğini, yükseltildiğini ve belgelendiğini gözden geçirin.
3. Temsilci Seçin: Sağlayıcıları karşılaştırın, tüm ücret, yenileme fiyatları ve hizmet kapsamını yazılı isteyin.
4. Yetki Sözleşmesi İmzala: Seçilen sağlayıcıdan imzalı Madde 18 yetkisi ve doğrulanabilir sertifika alın.
5. Dokümantasyonu Güncelle: Temsilci bilgilerini uyumluluk rehberine ekleyin, erken uyarı ve bildirim şablonları hazırlayın.
6. Raporlama Rolleri Atayın: ENISA platformu için farklı zaman dilimlerinden en az iki yetkili belirleyin.
7. İş Akışını Test Edin: Aktif olarak kullanılan zafiyet simülasyonu yaparak sorumluluk ve zamanlamaları prova edin.
8. Ekibi Eğitin: 24 saat kuralını tetikleyen durumları ve olay yükseltme prosedürlerini öğretin.
9. Mevzuat Güncellemelerini Takip Edin: Eylül 2026 öncesi CRA gereklilikleri veya raporlama platformlarında değişiklikleri izleyin.
10. Düzenli Gözden Geçirme: Süreç ve dokümantasyonu yılda bir veya büyük olay sonrası güncelleyin.

Bu listeyi izlemek, CRA'nın sıkı raporlama yükümlülüklerine uyum sağlamanızı ve maliyetli cezaları önlemenizi destekler.

Gerçekçi Senaryolar: Hangi Yol Geçerli?

• ABD SaaS şirketi AB işletmelerine satış yapıyor: Şirket AB dışı üretici olup AB pazarına dijital ürün sunuyor. Madde 18 raporlama için yetkili temsilci atamalı (örneğin REP27, kadano, Euverify). İç güvenlik ekibi zafiyetleri tespit edip temsilciyi bilgilendirir, temsilci 24 saat içinde ENISA/CSIRT bildirimlerini yapar. İthalatçı veya dağıtıcı yok, görev doğrudan üreticide.
• Çinli Amazon satıcısı AB tüketicilerine IoT cihazı gönderiyor: Satıcı üretici ve AB dışı ise yetkili temsilci atamalı. Amazon kayıtlı ithalatçı ise raporlama görevi Amazon'a geçebilir. Satıcı platformla netleştirip gerekiyorsa temsilci atamalı ve ürün dokümantasyonunu güncellemelidir.
• İngiltere merkezli online mağaza AB'de kendi markalı yönlendiriciler satıyor: AB dışı üretici olarak 24 saat raporlama için yetkili temsilci atamalı. Temsilci bilgileri uyumluluk dokümanlarında yer almalı, iç süreçler hızlı olay yükseltmeye hazır olmalı. Mağaza kendi adıyla ithalatçı veya dağıtıcı ise ek yükümlülükler olabilir.

Bu senaryolar tedarik zincirinizi haritalamanın ve rollerin netleştirilmesinin önemini gösterir. En basit uyum yolu temsilci atamak, süreci belgelemek ve ekibi hızlı müdahaleye hazırlamaktır.