Cyber Resilience Act Yetkili Temsilci: Zorunluluklar, Fiyatlar ve Seçim (2026)

• AB dışı üreticiler için AB'de satışta zorunlu (madde 18 CRA)
• Yayınlanan fiyatlar: yıllık €490 ile €999 arası (Ekim 2026)
• Temsilci ilişkileri, belgeleri ve yetkili bildirimleri yönetir
• Değerlendirme, test veya SBOM içermez: sadece yetki ve iletim
• Şeffaf fiyatlı sağlayıcı karşılaştırması: REP27, Kadano, Euverify
• 10 milyon €'ya kadar para cezası veya global cironun %2'si

Güncellendi 23 October 2026 · 8 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 23 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Yasa ne gerektiriyor: CRA temsilci zorunluluğu (madde 18)

Cyber Resilience Act (CRA), AB dışında yerleşik ancak AB pazarına dijital ürün sunan tüm üreticiler için yeni bir zorunluluk getiriyor. Madde 18 uyarınca, bu üreticiler yazılı yetki ile bir yetkili temsilci atamalıdır. Temsilci, AB dışı üretici ile Avrupa gözetim otoriteleri arasında tek iletişim noktası olarak görev yapar ve şu sorumlulukları üstlenir:

• Ürünün AB uygunluk beyanı ve teknik dokümantasyonunu, pazarlamadan sonra en az 10 yıl veya destek süresi boyunca saklamak.
• Yetkililer talep ettiğinde ürünün uygunluğunu kanıtlayan bilgi ve belgeleri sağlamak.
• Yetkililerle işbirliği yaparak ürünle ilgili risklerin giderilmesini sağlamak.

Bu zorunluluk, ürünlerin menşei ülkesinden bağımsız olarak AB pazarına sunulması durumunda geçerlidir (kaynak). İthalatçılar, dağıtıcılar ve üretici olmayan pazar yerleri bu zorunluluğa tabi değildir. Temsilci atanmaması halinde 10 milyon €'ya kadar veya global cironun %2'si tutarında ceza ve pazarlama engeli uygulanabilir.

Atama sadece formalite değildir: yetkililer her an teknik doküman ve uygunluk beyanı talep edebilir. Güvenlik olaylarında temsilci, yetkili makamların taleplerine hızlı yanıt vermelidir.

CRA temsilcisi seçimi: kriterler, karşılaştırma ve farklar

CRA yetkili temsilcisinin seçimi, uyumluluk ve yetkili taleplerin etkin yönetimi açısından stratejiktir. Değerlendirmeniz gereken başlıca kriterler şunlardır:

• Yetkinin netliği: Yetki sadece madde 18 kapsamındaki sorumluluklarla sınırlı olmalı, yasaya aykırı ek hizmetler (örneğin değerlendirme veya test) olmamalıdır.
• Şeffaf fiyat: Fiyat önceden açıklanmalı, yenileme koşulları net olmalı, sonraki yıllarda sürpriz olmamalıdır.
• Doğrulanabilir sertifika: Denetim veya kontrollerde atamanın kanıtı için QR kodlu veya halka açık sertifika sunan sağlayıcı tercih edilmelidir.
• İletim süreci: Yetkili taleplerin hangi dillerde, hangi sürelerde iletildiği sorulmalıdır.
• Hariç tutulanlar ve sınırlar: Hizmet kapsamı net belirtilmeli, değerlendirme, test, SBOM veya teknik destek gibi hizmetler açıkça hariç tutulmalıdır.

Dahil edilenler ve ek ücretler karşılaştırma tablosu:

Ürün kataloğu taraması gibi ek hizmetler ve birden fazla düzenlemeyi (GDPR, GPSR) kapsayan sağlayıcılar da değerlendirilebilir.

Fiyata gerçekten neler dahil: görünür ve gizli maliyetler

Yayınlanan fiyatlar sadece yazılı temsilci yetkisini ve yetkili taleplerin yönetimini kapsar. Dahil olmayanlar:

• Uygunluk değerlendirmesi (bildirilen kuruluşların görevi, temsilcinin değil)
• Güvenlik testleri, SBOM oluşturma veya teknik destek
• Teknik dokümantasyonun hazırlanması veya gözden geçirilmesi
• Hukuki danışmanlık veya eğitim (Comply.Land gibi özel teklifler hariç)

Dahil edilenler tablosu:

Gizli maliyetlere dikkat: bazı sağlayıcılar yenileme fiyatını açıklamaz veya ek talepler, sağlayıcı değişikliği için ücret talep eder. Yazılı tekliflerde yenileme fiyatı ve iptal koşulları mutlaka yer almalıdır.

Temsilci maliyeti CRA uyumluluğunun küçük bir parçasıdır; esas maliyetler teknik uyarlama, dokümantasyon ve üst sınıf ürünlerde bildirilen kuruluş sertifikasyonundadır.

Gizli maliyetler ve sözleşme öncesi sorulması gerekenler

Sağlayıcı ile yetki sözleşmesi imzalamadan önce şu hususlar netleştirilmelidir:

• Yenileme fiyatı: Sözleşme veya yazılı teklifte açıkça belirtilmeli, sadece web sitesinde olmamalıdır.
• Ek talepler için ücret: Mesai dışı, acil durum veya sağlayıcı değişikliği için ek ücret olup olmadığı sorulmalıdır.
• Yetki kapsamı: Sadece madde 18 kapsamı olmalı; değerlendirme, test gibi ek hizmetler yasaya aykırıdır.
• Doğrulanabilir sertifika: QR kodlu veya halka açık sertifika denetimlerde faydalıdır.
• Yanıt süreleri: Taleplerin iletim süresi ve mesai dışı, tatil günlerinde hizmet durumu öğrenilmelidir.

Karar tablosu:

Dahil olan, olmayan ve ek ücretler listesi mutlaka yazılı talep edilmeli; şeffaf sağlayıcı bu bilgileri tereddütsüz verir.

Atama nasıl yapılır: adım adım ve pratik kontrol listesi

CRA temsilci ataması açık bir süreçtir ve yaptırımların başladığı Aralık 2027 öncesinde erkenden yapılabilir:

1. Durumunuzu doğrulayın: AB dışı dijital ürün üreticisi misiniz? Satış AB pazarına mı? Evet ise devam edin.
2. Kapsanan ürünleri belirleyin: AB pazarına sunulan tüm dijital ürünleri listeleyin ve CRA kapsamına girip girmediğini kontrol edin.
3. Dokümantasyonu hazırlayın: AB uygunluk beyanı ve teknik dokümanları tamamlayın.
4. Sağlayıcı seçin: Fiyatı açık ve yetkisi net sağlayıcıları tercih edin (yukarıdaki tabloya bakınız).
5. Yetki talep edin: Online form doldurun veya yazılı talepte bulunun. Yetki imzalı olarak (çoğunlukla eIDAS elektronik imza ile) size iletilir.
6. Temsilciyi kaydedin: Temsilci bilgilerini iç politika, runbook ve teknik dokümantasyona ekleyin.
7. Operasyonel yönetim: Yetkililer talep ettiğinde temsilci iletişimi zamanında (örneğin REP27 için 2 iş günü) sağlar.

Bugün için kontrol listesi:

1. Hukuki durum ve hedef pazarları kontrol edin
2. Teknik dokümanları toplayıp güncelleyin
3. Birden fazla sağlayıcıdan teklif alın
4. Dahil olanlar, hariç tutulanlar ve yenileme fiyatlarını karşılaştırın
5. Yetkiyi imzalayın ve iç prosedürlerinizi güncelleyin

Riskler, cezalar ve temsilcisiz durumlar

Yetkili temsilci atanmaması ciddi riskler doğurur:

• Para cezaları: 10 milyon €'ya kadar veya global cironun %2'si (hangisi yüksekse) (kaynak).
• Pazarlama engeli: Ürünler AB pazarından çekilebilir veya gümrükte bloke edilir.
• Gecikmeler ve verimsizlik: Net iletişim noktası olmadığında yetkili talepleri dağıtıcılara, müşterilere veya ithalatçılara ulaşabilir, gecikme ve itibar kaybı yaşanır.
• Güvenlik olaylarında zorluk: Temsilci yoksa olay yanıtı yavaşlar, hukuki ve ticari sonuçlar ağırlaşır.

Karar tablosu:

Temsilci ataması yaptırımlar riskini azaltır ve yetkili taleplerin hızlı yönetimini sağlar; özellikle güvenlik olaylarında (örneğin istismar edilen zafiyet bildirimi için 24 saat) kritik önemdedir.

Sağlayıcıların genellikle söylemediği: sınırlar, hariç tutulanlar, riskler

Birçok sağlayıcı CRA temsilciliği hizmetindeki bazı önemli noktaları belirtmez:

• Değerlendirme ve test hariç: Hiçbir temsilci uygunluk değerlendirmesi, güvenlik testi veya SBOM oluşturamaz; bunlar bildirilen kuruluşların veya üreticinin sorumluluğundadır.
• Yetki yasal sınırda: Yetki sadece madde 18 kapsamındadır; madde 13 gibi ek yükümlülüklerin yönetimi yasaktır.
• Yenileme fiyatı şeffaf değil: Bazı sağlayıcılar yenileme fiyatını açıklamaz veya ek ücret uygular.
• Sorumluluk sınırlı: Temsilci sadece iletim ve belge tutmaktan sorumludur, teknik uyumluluk veya ürün güvenliği sorumluluğu yoktur.
• Yanıt süreleri ve diller: Tüm sağlayıcılar yanıt süresi ve destek dillerini belirtmez; bu, yetkili taleplerin etkin yönetimi için önemlidir.

Her zaman hizmet kapsamı, hariç tutulanlar ve koşulların yazılı listesini talep edin; yanlış anlamaları ve uyumsuzluk riskini önleyin.

Pratik senaryolar: 3 gerçek örnek ve en kolay çözüm

• ABD SaaS: ABD merkezli bir şirket AB müşterilerine bulut yazılım sunuyor. CRA temsilcisi atamalı, teknik doküman ve uygunluk beyanı hazırlamalı. Şeffaf fiyatlı ve yetkili sağlayıcı (ör. REP27 veya Euverify) seçebilir. Ürün temel sınıf ve uyumlu standartlar varsa değerlendirme gerekmez.
• Çin Amazon satıcısı: Çinli üretici IoT cihazlarını Amazon üzerinden AB müşterilerine satıyor. CRA temsilcisi atamalı, pazaryeri lojistik yönetse bile. Temsilci dokümanlarda ve ürün politikalarında belirtilmeli. Pazaryeri bu zorunluluğu karşılamaz.
• İngiltere online mağaza: Brexit sonrası İngiltere'deki mağaza AB'de akıllı donanım satıyor. AB dışı sayılır, CRA temsilcisi atamalı, doküman hazırlamalı ve doğrulanabilir yetki sağlayıcı seçmeli. Pazaryerinde satış olsa da üretici sorumludur.

Tüm durumlarda en kolay çözüm, fiyatı açık, yazılı yetkisi ve hızlı atama süreci olan sağlayıcı seçmektir (ör. REP27: 24 saatte atama, QR sertifika, sabit fiyat).