AB Dışındaki Üreticiler İçin Cyber Resilience Act Yükümlülükleri

• CRA, 11 Eylül 2026'dan itibaren AB'de satış yapan AB dışı üreticilere uygulanır
• Madde 18: AB'de kuruluşu olmayanlar için yetkili temsilci zorunludur
• 24 saat içinde istismar edilen güvenlik açıklarının bildirilmesi zorunluluğu (Madde 14)
• Uygunluk değerlendirme yolu ürün sınıfına bağlıdır
• İhlallerde 15 milyon € veya cironun %2,5'ine kadar para cezası

Güncellendi 18 October 2026 · 9 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 18 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Yasanın Gerektirdikleri (Madde Numaralarıyla)

Cyber Resilience Act (CRA), donanım, yazılım ve bileşenler dahil dijital unsurlara sahip ürünler için AB'nin yeni düzenlemesidir. Ürünleri AB pazarına sunulan her üreticiye, konumu ne olursa olsun uygulanır. Yasa 10 Aralık 2024'te yürürlüğe girmiştir. Bildirim yükümlülükleri 11 Eylül 2026'da başlar; tam uyum (CE işareti ve uygunluk değerlendirmesi dahil) 11 Aralık 2027'den itibaren zorunludur.

• Madde 18: AB dışı üreticiler, AB'de kuruluşları yoksa her ürün serisi için bir yetkili temsilci atamalıdır. Bu temsilci, yetkililer ve piyasa gözetimi için resmi irtibat noktasıdır.
• Madde 14: Üreticiler, aktif olarak istismar edilen güvenlik açıkları ve ürün güvenliğini etkileyen ciddi olayları bildirmek zorundadır. Süreler katıdır: 24 saat içinde erken uyarı, 72 saat içinde tam bildirim ve iyileştirme veya bildirimden sonra 14 gün içinde nihai rapor. Bildirim platformu ENISA tarafından yönetilir ve alıcı temsilcinin üye devletine bağlıdır.
• Ek I & II: Üreticiler, güvenlik açığı yönetimi, güvenli tasarım geliştirme ve kullanıcıların ve yetkililerin kolayca anlayabileceği dilde açık kullanıcı talimatları dahil temel siber güvenlik gereksinimlerini karşılamalıdır.
• Uygunluk Değerlendirmesi: Gerekli süreç ürün sınıfına bağlıdır. Varsayılan ürünler kendi kendini değerlendirebilir; önemli sınıf I ürünler uyumlu standartlar veya üçüncü taraf değerlendirme kullanır; önemli sınıf II ve kritik ürünler bildirilmiş kuruluş veya sertifikasyon şeması değerlendirmesi gerektirir.
• Destek Süresi: Üreticiler, beş yıl asgari olmak üzere beyan edilen destek süresi boyunca güvenlik güncellemeleri ve zafiyet yönetimi sağlamalıdır.
• Muafiyetler: Mikro ve küçük işletmeler ile açık kaynak yöneticileri geç bildirim için ceza muafiyetine sahiptir ancak teknik ve bildirim yükümlülüklerine uymalıdır.

İthalatçılar ve dağıtıcılar, ürünleri kendi adlarına sunar veya önemli değişiklik yaparsa üretici sayılır. Aksi halde orijinal üretici CRA uyumu ve bildiriminden sorumludur.

CRA Temsilcisi veya Uyum Sağlayıcı Nasıl Seçilir

AB dışı üreticiler için doğru Madde 18 temsilcisini veya uyum sağlayıcıyı seçmek kritiktir. Piyasada fiyat, şeffaflık ve hizmetler büyük farklılık gösterir. Dikkat edilmesi gerekenler:

• Hukuki Varlık ve Konum: Sağlayıcının hukuki varlığını ve AB kuruluşunu doğrulayın. Örneğin, REP27, Prag merkezli Europe Services, SE olup Çek ticaret siciline kayıtlıdır. Ödeme yapmadan önce mutlaka kontrol edin.
• Yetki Kapsamı: Bazı sağlayıcılar sadece Madde 18 yetkilendirmesi sunar, bazıları GDPR veya NIS2 temsilciliği gibi ek hizmetler verir. Yetkilendirmenin sadece Madde 18(3) kapsamında olduğundan ve Madde 18(2) tarafından yasaklanan görevleri kapsamadığından emin olun.
• Fiyat Şeffaflığı: İlk yıl ve yenileme fiyatlarını yayınlayan sağlayıcıları tercih edin. Düşük giriş fiyatı sonrası sessizce artan yenileme ücretlerine dikkat edin. REP27 yenileme fiyatlarını açıkça belirtir.
• Doğrulama ve Destek: Sağlayıcının doğrulanabilir sertifika, kamuya açık doğrulama yöntemi ve personelli talep masası sunduğundan emin olun. Yetkili makam veya CSIRT taleplerinin iletimi, desteklenen diller ve yanıt süreleri hakkında bilgi alın.
• Birleştirilmiş Hizmetler: GDPR Madde 27 veya GPSR Madde 16 temsilciliği gerekiyorsa, bazı sağlayıcılar (örneğin REP27) indirimli paketler sunar.

Karar Matrisi:

Ürünleri AB pazarına sunmadan önce mutlaka yazılı yetki ve sertifika talep edin.

Fiyat Gerçekten Neleri Kapsar: Sağlayıcı Karşılaştırması

Fiyatlar ve dahil olan hizmetler önemli ölçüde farklılık gösterir. Madde 18 yetkilendirmeleri genellikle CRA uyumundaki en düşük dış maliyettir, ancak birçok sağlayıcı tam detay yayınlamaz. Ekim 2026 itibarıyla her sağlayıcının neleri kapsadığı, kapsamadığı veya ek ücretlendirebileceği aşağıda karşılaştırılmıştır:

Çoğu üretici için Madde 18 yetkilendirmesi tek sayfalık bir belge ve taleplerin iletilmesi yükümlülüğüdür. Uygunluk değerlendirmesi, teknik test ve SBOM oluşturma temel temsilci ücretlerine dahil değildir.

Gizli Maliyetler ve Hariç Tutulanlar

Madde 18 yetkilendirmesi yasal zorunluluk olsa da toplam CRA uyum maliyetlerinin sadece küçük bir parçasıdır. En pahalı kalemler—uygunluk değerlendirmesi, bildirilmiş kuruluş ücretleri, teknik dokümantasyon ve destek süresi—çoğu temsilci paketine dahil değildir. Dikkat edilmesi gerekenler:

• Uygunluk Değerlendirme Ücretleri: Önemli sınıf II veya kritik ürünlerde bildirilmiş kuruluş veya sertifikasyon şeması ücretleri binlerce euro olabilir ve aylar sürebilir. Bunlar için ayrı bütçe ayırın.
• Teknik Dokümantasyon: Reglyze ve EmberKat gibi sağlayıcılar teknik dosya oluşturma, SBOM alımı ve dokümantasyon eksikliği analizi sunar, ancak bunlar standart temsilci yetkilendirmesine dahil değildir.
• Yenileme ve Talep Ücretleri: Bazı sağlayıcılar yenileme ücretlerini veya talep/bildirim başına ücretleri artırabilir. İmzalamadan önce yenileme fiyatları ve ek ücretler için yazılı onay isteyin.
• Bildirim Süreleri ve Sorumluluk Sınırları: Sessiz yenilemeler ve belirsiz iptal politikaları beklenmedik masraflara yol açabilir. Temsilciler genellikle uyum hatalarından sorumluluk kabul etmez.
• Destek Süresi Maliyetleri: Yasa en az beş yıl güvenlik güncellemesi ve zafiyet yönetimi gerektirir; bu, ürün hattı gibi kaynak ve bütçe ayrılması gereken önemli bir operasyonel yükümlülüktür.

REP27, dahil olmayanları şeffaf şekilde belirtir: hukuki danışmanlık, teknik değerlendirme ve SBOM oluşturma yetki kapsamı dışındadır. Her sağlayıcıyla hariç tutulanlar ve gizli maliyetler mutlaka netleştirilmelidir.

Atama Süreci: Adım Adım

Madde 18 temsilcisi atamak ve CRA uyumu sağlamak için somut adımlar vardır. AB dışı üreticiler için uygulanabilir, pratik süreç:

1. Ürünlerinizin Kapsamda Olup Olmadığını Belirleyin: AB pazarına sunulan dijital unsurlu (donanım, yazılım, bileşen veya uzaktan veri işleme çözümleri) tüm ürünleri tespit edin.
2. Ürünlerinizi Sınıflandırın: CRA tanımlarına göre ürünlerinizin varsayılan, önemli sınıf I/II veya kritik olduğunu belirleyin. Bu, uygunluk değerlendirme yolunu etkiler.
3. Bir Temsilci Seçin: Doğrulanabilir AB hukuki varlığı olan bir Madde 18 temsilcisi seçin. Kapsam, fiyat ve yenileme koşullarını yazılı olarak teyit edin.
4. Yetki Belgesi İmzalanması: Seçilen sağlayıcı ile yazılı yetki (Madde 18(3)) imzalayın. Sertifika ve kamu doğrulama yöntemi alın.
5. Dokümantasyon Hazırlayın: Teknik dokümantasyon (Ek VII), SBOM, AB Uygunluk Beyanı ve gerekli dillerde kullanıcı talimatlarını derleyin.
6. 24 Saatlik Bildirim Kanalı Kurun: Güvenlik açıkları ve olaylar için personelli bir alım kanalı oluşturun. Erken uyarı ve bildirim şablonlarını önceden hazırlayın.
7. ENISA'ya Kayıt Olun: ENISA bildirim platformunda en az iki farklı zaman diliminde erişimi olan kişi kaydedin.
8. Sürekli Uyum İçin Bütçe Ayırın: Destek süresi (en az 5 yıl), uygunluk değerlendirmesi (gerekirse) ve dokümantasyon bakımı için plan yapın.
9. Düzenli İnceleme ve Güncelleme: Uyum durumu, dokümantasyon ve bildirim süreçlerini periyodik olarak gözden geçirin.

Bu kontrol listesi, CRA uyumunun yasal ve pratik gerekliliklerine hazırlanmanızı sağlar.

Uyumsuzluk Riskleri ve Cezalar

CRA, uyumsuzluk durumunda ağır cezalar getirir. Temel siber güvenlik gereksinimleri veya üretici yükümlülüklerinin ihlali halinde, ceza 15 milyon € veya yıllık küresel cironun %2,5'i kadar olabilir. Bu cezalar, AB ve AB dışındaki üreticiler için geçerlidir.

• Bildirim Hataları: 24 saatlik zafiyet bildirim süresinin kaçırılması yaptırım riski doğurur. Mikro ve küçük işletmeler ile açık kaynak yöneticileri geç bildirim cezasından muaf olsa da bildirim yükümlülüğünden muaf değildir.
• Satın Alma ve Piyasa Erişim Riskleri: Madde 18 temsilcisi olmadan satın alma süreçleri aksayabilir, kurumsal satışlar veya kamu ihalelerinden dışlanabilirsiniz.
• Piyasa Gözetimi İşlemleri: Yetkililer uyumsuz üreticilere karşı ürün geri çekme veya toplatma gibi yaptırımlar uygulayabilir.
• Dağıtıcı/İthalatçı Riskleri: Temsilci atamazsanız, AB ithalatçıları veya dağıtıcıları varsayılan bildirim yolu olarak kabul edilebilir, bu da iletişim kontrolünüzü kaybetmenize yol açabilir.
• Gizli Geçişler: Yetki yenilememe veya güncel dokümantasyon sağlamama durumları fark edilmeden uyumsuzluk yaratabilir ve yaptırım riski doğurur.

Etkin uyum sadece cezalardan kaçınmak değil, kesintisiz piyasa erişimi sağlamak ve müşteri ile iş ortaklarının güvenini korumaktır.

Sağlayıcıların Genellikle Söylemediği Şeyler

Birçok sağlayıcı, Madde 18 yetkilendirmesinin yasal zorunluluğuna odaklanır ancak tam resmi açıklamaz. Sıklıkla atlananlar:

• Yetki Kapsamı: Madde 18 yetkilendirmesi sadece taleplerin iletilmesi ve irtibat noktası olmaktan ibarettir. Hukuki danışmanlık, teknik değerlendirme veya SBOM oluşturma dahil değildir, açıkça belirtilmedikçe.
• Uygunluk Değerlendirmesi: Önemli sınıf II ve kritik ürünlerde bildirilmiş kuruluş veya sertifikasyon şeması ücretleri temsilci ücretinden çok daha yüksektir ve tamamlanması aylar sürer. Bunlar temel yetkilendirmeye dahil değildir.
• Destek Süresi: En az beş yıl güvenlik güncellemesi ve zafiyet yönetimi gereksinimi büyük operasyonel maliyettir ve hiçbir temsilci hizmetine dahil değildir.
• Yenileme ve Bildirim Koşulları: Bazı sağlayıcılar düşük ilk yıl fiyatı sunar ancak yenileme ücretleri çok daha yüksektir veya iptal için uzun bildirim süreleri talep eder. Yenileme koşullarını yazılı alın.
• Sorumluluk: Temsilciler genellikle uyum hatalarından sorumluluğu reddeder. Üretici tüm CRA yükümlülüklerinden sorumludur.

Ne dahil olmadığının açıklığı, dahil olan kadar önemlidir. İmzalamadan önce hariç tutulanları ve sağlayıcının rolünü tam olarak öğrenin.

Gerçekçi Senaryolar: Hangi Yol Geçerli?

• ABD SaaS Şirketi: ABD merkezli bir SaaS sağlayıcısı doğrudan AB müşterilerine yazılım satıyor. Madde 18 temsilcisi atamalı, teknik dokümantasyon ve SBOM hazırlamalı, 24 saatlik bildirim kanalı kurmalıdır. Ürün varsayılan sınıftaysa kendi kendini değerlendirme yeterli olabilir; önemli veya kritikse bildirilmiş kuruluş gerekir. En basit yol temsilci atamak (örneğin REP27), dokümantasyon hazırlamak ve ENISA'ya kayıt olmaktır.
• Çinli Amazon Satıcısı: Çin'de bir üretici kendi adıyla Amazon üzerinden AB alıcılarına IoT cihazları satıyor. Madde 18 temsilcisi atamalı ve tüm CRA gereksinimlerine uymalıdır. Ürün AB merkezli ithalatçı tarafından piyasaya sürülüyorsa ithalatçı yükümlülükleri üstlenebilir. Aksi halde üretici bildirim ve dokümantasyondan sorumludur.
• İngiltere Online Mağazası: İngiltere merkezli bir perakendeci AB müşterilerine bağlı cihazlar gönderiyor. Madde 18 temsilcisi atamalı, teknik dosyalar hazırlamalı ve 24 saatlik zafiyet bildirim süreci kurmalıdır. Ürün AB dağıtıcısı tarafından kendi adıyla piyasaya sürülüyorsa dağıtıcı yükümlülükleri üstlenir; aksi halde İngiliz perakendeci sorumludur.

Tüm senaryolarda satış kanallarını haritalamak, ürünü kimin piyasaya sürdüğünü belirlemek ve gerekirse temsilci atamak kritik önemdedir. Bu, satın alma gecikmelerini önler, uyumu sağlar ve cezaları engeller.

Kontrol Listesi: Bugün Nasıl Uyum Sağlanır

1. AB satış kanallarınızı haritalayın ve dijital unsurlu tüm ürünleri belirleyin.
2. Her ürünü CRA tanımlarına göre sınıflandırın (varsayılan, önemli I/II, kritik).
3. Madde 18 temsilcisi gerekip gerekmediğini tespit edin (AB dışı üreticiler için zorunlu).
4. Seçtiğiniz sağlayıcıdan yazılı yetki ve sertifika talep edin (ör. REP27, kadano, Euverify).
5. Teknik dokümantasyon hazırlayın: Ek VII dosyası, SBOM, AB Uygunluk Beyanı, AB dillerinde kullanıcı talimatları.
6. Personelli, 24 saat zafiyet bildirim kanalı kurun. Erken uyarı ve bildirim şablonlarını önceden hazırlayın.
7. ENISA bildirim platformunda en az iki farklı zaman diliminde erişimi olan en az iki kişi kaydedin.
8. Ürününüz önemli sınıf II veya kritikse bildirilmiş kuruluş veya sertifikasyon şeması için bütçe ayırın.
9. Güvenlik güncellemeleri ve zafiyet yönetimi için en az beş yıllık destek süresi beyan edin ve kaynak ayırın.
10. Düzenli uyum incelemeleri ve dokümantasyon güncellemeleri planlayın.

Bu adımlar 2026-2027 CRA uygulama tarihleri için hazır olmanızı ve maliyetli uyum boşluklarını önlemenizi sağlar.