Cyber Resilience Act: AB Dışındaki Üreticilerin Yükümlülükleri

• CRA, AB pazarında dijital bileşen içeren tüm ürünler için geçerlidir (Madde 2)
• AB dışındaki üreticiler bir AB temsilcisi atamalıdır (Madde 15)
• Aktif olarak sömürülen güvenlik açıkları için 24 saat içinde bildirim zorunludur (Madde 14)
• Teknik dokümantasyon ve uygunluk beyanı gereklidir (Madde 13)
• Para cezaları 15 milyon € veya küresel cironun %2,5'ine kadar çıkabilir (Madde 71)
• Uygun ürünler için CE işareti zorunludur (Madde 13)

Güncellendi 24 October 2026 · 5 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 24 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Yasa Ne Talep Ediyor? (Madde Numaralarıyla)

Cyber Resilience Act (CRA, Tüzük (AB) 2024/2847), AB pazarında sunulan dijital bileşen içeren tüm ürünler için geçerlidir – üretim yeri fark etmeksizin (Madde 2). AB dışındaki üreticiler Madde 15 uyarınca AB'de yetkili bir temsilci atamalıdır. Bu yükümlülük, AB'de dağıtılan hem donanım hem yazılım ürünlerini kapsar. Temsilci, yetkililerle iletişim kuran ve üretici adına muhatap olan kişidir.

Üreticiler ürünlerinin güvenli şekilde tasarlandığından ve bilinen, sömürülebilir zafiyetler içermediğinden emin olmalıdır (Madde 13). Risk analizi yapmalı ve uygun teknik ile organizasyonel önlemleri uygulamalıdırlar. Aktif olarak sömürülen zafiyetler için 24 saat içinde ENISA ve ilgili CSIRT'ye bildirim yapılmalıdır (Madde 14). İlk değerlendirme 72 saat içinde, nihai rapor ise 14-30 gün içinde sunulmalıdır.

CRA ayrıca teknik dokümantasyonun hazırlanmasını ve AB uygunluk beyanının sunulmasını zorunlu kılar (Madde 13). Ürünler uygunluklarını göstermek için CE işareti taşımalıdır. Bu yükümlülüklere uyulmaması halinde 15 milyon € veya küresel yıllık cironun %2,5'i kadar para cezası uygulanabilir (Madde 71).

Uygun Sağlayıcı Nasıl Seçilir?

CRA temsilcisi seçimi şeffaf ve anlaşılır kriterlere dayanmalıdır. Önemli noktalar:

• Fiyat Şeffaflığı: Sağlayıcının tüm fiyatları, özellikle yenileme ücretlerini açıkça belirtmesi gerekir. REP27 tüm fiyatlarını yayımlar ve sabit yenileme fiyatı garanti ederken, diğerleri genellikle sadece talep üzerine bilgi verir.
• Hizmet Kapsamı: Sağlayıcının 24 saat bildirim desteği, halka açık sertifika ve yasal olarak geçerli atama (örneğin eIDAS imzası) sunup sunmadığı kontrol edilmelidir. REP27 tam ve halka açık sertifika ile 24 saat destek sunar.
• Yanıt Süreleri ve Ulaşılabilirlik: Bildirim süreleri (24/72 saat) çok kısadır; bu nedenle sürekli erişilebilirlik çok önemlidir. REP27 hafta sonları ve tatiller dahil 7/24 hizmet verir.
• Açık Kapsam Sınırları: Güvenilir bir sağlayıcı, hangi hizmetlerin dahil olmadığını açıkça belirtir (örneğin uygunluk değerlendirmesi, teknik testler). Bu sürprizleri önler.

Karar Matrisi:

Pratik öneri: Tüm hizmetler, kapsam dışı kalanlar ve yenileme fiyatını içeren yazılı bir teklif alın. Sağlayıcının sertifika doğrulamasını halka açık yapıp yapmadığını kontrol edin; bu acil durumda çok önemlidir.

Fiyata Gerçekten Neler Dahil?

Fiyat kapsamı sağlayıcıya göre büyük farklılık gösterir. REP27'nin 490 EUR/Yıl (CRA) temel paketi şunları içerir:

• Madde 18 uyarınca yetkili temsilci yazılı yetkilendirmesi
• Güvenlik açığı bildirimleri ve ENISA/CSIRT ile iletişim için 24 saat destek
• Yetkililere ve iş ortaklarına kanıt sunmak için QR kodlu halka açık sertifika
• Yetkili kurum taleplerinin iki iş günü içinde yönetimi ve iletimi
• Gerekli iletişim için çok dilli şablonlar

Önemli: REP27 uygunluk değerlendirmesi, teknik testler, SBOM oluşturma ve olay analizi yapmaz. Bu görevler üretici veya dış uzmanlara aittir. Kadano ve Euverify gibi diğer sağlayıcıların fiyat kapsamı web sitelerinde detaylı açıklanmamıştır (Ekim 2026 itibarıyla). Ek hizmetler için ek ücretler talep üzerine öğrenilir.

Hizmet karşılaştırması:

Sorumlulukların net ayrımı ve şeffaf fiyatlama isteyen şirketler için REP27 şu anda tamamen yayımlanmış hizmet ve fiyat yapısıyla tek seçenektir.

Gizli Maliyetler & Tipik Hariç Tutmalar

CRA uyumundaki en büyük maliyetler temsilcilik görevinden kaynaklanmaz. CRA temsilcisi atamak toplam maliyetin küçük bir parçasıdır. Asıl maliyetler şunlardır:

• Uygunluk Değerlendirmesi: "Önemli" veya "kritik" sınıf ürünler için yetkili kurum tarafından dış denetim gerekir. Bu maliyetler genellikle dört veya beş haneli rakamlardadır ve temsilci ücretine dahil değildir.
• Güvenlik Güncellemeleri: Üreticiler en az beş yıl güvenlik güncellemesi sağlamak ve bunu finansal ve organizasyonel olarak güvence altına almak zorundadır. Bu yükümlülük temsilcilik görevinden bağımsızdır.
• Teknik Dokümantasyon ve SBOM: Teknik belgelerin ve Yazılım Malzeme Listesi'nin (SBOM) hazırlanması ve güncellenmesi üreticinin sorumluluğundadır.

Sağlayıcıların genellikle söylemedikleri:

• REP27 uygunluk değerlendirmesi, teknik testler, SBOM oluşturma ve olay analizini açıkça kapsam dışı bırakır. Gizli yenileme ücretleri yoktur, tüm fiyatlar sözleşme öncesi yayımlanır.
• Kadano ve Euverify'de ek maliyetler, sorumluluk sınırları veya iptal süreleri halka açık değildir (Ekim 2026 itibarıyla).

Pratik öneri: Her sağlayıcıdan kapsam dışı kalan hizmetler, iptal süreleri ve özel hizmetlerin ek ücretleri (örneğin talep başına, ek dil, acil işlem) hakkında açık bilgi isteyin. Tüm koşulları yazılı olarak teyit ettirin.

Atama Adım Adım Nasıl İşler

1. Ürününüzün CRA kapsamına girip girmediğini kontrol edin: AB pazarında dijital bileşen içeren tüm ürünler geçerlidir (donanım/yazılım).
2. İç süreçleri belirleyin: Güvenlik açığı bildirimlerini kimlerin tespit edip tetikleyeceğini tanımlayın. "Aktif olarak sömürülen" tanımını netleştirin.
3. Uygun temsilciyi seçin: Fiyatları, hizmet kapsamını, kanıt sunumu ve erişilebilirliği karşılaştırın. Tüm koşulları içeren yazılı teklif alın.
4. Sözleşme yapın ve yetki alın: REP27 ile atama 24 saat içinde tamamlanır, doğrulanabilir sertifika dahil.
5. Dokümantasyon ve bildirim kanallarını güncelleyin: Temsilcinin iletişim bilgilerini teknik dokümantasyon ve olay yönetim kitapçığına ekleyin.
6. 24 saat bildirim şablonları hazırlayın: İlk bildirim, 72 saatlik değerlendirme ve nihai rapor için standart metinler oluşturun. En az iki sorumluyu platform erişimi ile atayın.
7. Düzenli kontrol yapın: Atama ve süreçlerin güncelliğini yıllık olarak denetleyin.

Bugün için kontrol listesi:

1. Ürününüz CRA kapsamına giriyor mu?
2. İç bildirim süreçleri ve sorumlular tanımlandı mı?
3. Uygun temsilci seçildi ve yetki verildi mi?
4. Tüm teknik dokümanlar ve bildirim kanalları güncellendi mi?
5. Bildirime hazır şablonlar oluşturuldu mu?

İhlallerde Riskler & Para Cezaları

CRA ciddi yaptırımlar öngörür: 15 milyon € veya küresel yıllık cironun %2,5'i kadar para cezası (Madde 71). Tipik riskler:

• Güvenlik açığı bildirimlerinin gecikmesi veya yapılmaması: 24 saatlik süre, açığın fark edilme anından itibaren başlar, analiz tamamlanana kadar değil. Zaman farkları veya belirsiz sorumluluklar ihlale yol açar.
• Temsilci atanmasının eksik veya hatalı yapılması: Geçerli temsilci olmadan ürün piyasadan çekilebilir. Yetkili kurum talepleri yanıtsız kalır, ceza riski artar.
• Eksik teknik dokümantasyon: Piyasa gözetimi sırasında tüm belgeler anında sunulmalıdır. Gecikmeler veya eksiklikler yaptırımla sonuçlanır.
• Yanlış veya eksik CE işareti: CE işareti olmayan ürünler AB pazarında satışa sunulamaz.

Bildirimin süreleri (24/72 saat/14-30 gün) gerçek zamanlıdır – zaman farkları veya sorumluluk karmaşası ihlale neden olur. Sürelerin takibi üreticinin sorumluluğundadır; temsilci sadece zamanında kendisine ulaşan bilgileri iletebilir.

Üç Gerçekçi Senaryo

• ABD SaaS Sağlayıcısı: ABD merkezli bir yazılım şirketi, Avrupa şirketlerine bulut çözümü sunuyor. Yazılım AB pazarında olduğundan CRA temsilcisi ataması gerekir. Sağlayıcı REP27'yi seçer, 24 saat içinde yetki ve sertifika alır, 24 saat bildirim kanalı kurar ve iletişim bilgilerini teknik dokümantasyona ekler. Uygunluk değerlendirmesi ve güvenlik güncellemeleri iç veya dış uzmanlarca yapılır.
• Çinli Amazon Satıcısı: Çin merkezli bir firma, Amazon.de'de kendi markasıyla IoT cihazları satıyor. Üretici olarak CRA temsilcisi zorunludur. Satıcı kadano veya Euverify gibi sağlayıcı kullanır, CE işaretini sağlar ve teknik dokümantasyonu hazırlar. Temsilci olmadan para cezası ve satış yasağı riski vardır.
• Birleşik Krallık Online Mağaza: İngiltere merkezli bir online satıcı, AB'deki son kullanıcılara donanım ve firmware güncellemeleri satıyor. CRA temsilcisi zorunludur. Satıcı REP27'nin CRA+GDPR paketini seçerek her iki temsilcilik yükümlülüğünü karşılar. Bildirim kanalları ve dokümantasyon buna göre düzenlenir.

Bu senaryolar gösteriyor ki; temsilci atama yükümlülüğü, AB pazarına dijital bileşenli ürün sunan tüm sektör ve büyüklükteki şirketleri kapsar.