Cyber Resilience Act Kapsamında AB Dışı Üreticilerin Yükümlülükleri

• AB dışı üreticiler için AB temsilcisi zorunluluğu (Madde 18 CRA)
• Güvenlik açığı bildirimi 24 saat içinde (Madde 14 CRA) temsilci aracılığıyla
• REP27: CRA yetki ücreti €490/yıl (2026 Ekim fiyatı)
• Hizmet kapsamı ve sınırlar sağlayıcıya göre değişir, önceden kontrol edin
• Dahil değil: uygunluk değerlendirmesi, test, SBOM, teknik raporlama
• Kendi adına satış yapmayan ithalatçı/dağıtıcıların yükümlülüğü yok

Güncellendi 21 October 2026 · 4 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 21 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Yasa Ne İstiyor: CRA'nın Ana Maddeleri

Cyber Resilience Act (CRA, AB Yönetmeliği 2024/2847), AB'de dijital öğeler içeren ürün satan üreticiler için sıkı yükümlülükler getirir. Üretici AB'de yerleşik değilse, Madde 18 uyarınca AB'de yetkili bir temsilci atamak zorundadır. Bu temsilci, piyasa gözetim otoriteleriyle resmi iletişimde tek temas noktasıdır ve taleplerin alınması ile iletilmesini sağlar.

Bir diğer önemli yükümlülük ise güvenlik açıklarının bildirimi: Madde 14, üreticinin aktif olarak kullanılan bir açığı veya ciddi bir güvenlik olayını 24 saat içinde bildirmesini zorunlu kılar. Bildirim, temsilcinin yer aldığı ülkeye göre ENISA ve koordinatör CSIRT platformu üzerinden yapılır. Yetkili temsilci, farklı saat dilimlerinde bulunan veya Avrupa'da personeli olmayan şirketler için iletişimin doğruluğu ve zamanında yapılması açısından kritik önemdedir.

Önemli: Yükümlülük sadece üreticiler içindir. Kendi adına satış yapmayan ithalatçı ve dağıtıcıların temsilci atama zorunluluğu yoktur. Ayrıca Amazon, Etsy, eBay gibi pazaryerleri üzerinden satış yapanların CRA tanımına göre üretici olup olmadığını değerlendirmesi gerekir. CRA yürürlüğe girmeden önce piyasada olan ürünler de bildirim yükümlülüğüne tabidir.

• Madde 18 CRA: AB dışı üreticiler için AB temsilcisi atama zorunluluğu
• Madde 14 CRA: Güvenlik açığı bildirimi 24 saat içinde
• Hariç tutulanlar: Kendi adına satış yapmayan ithalatçı/dağıtıcılar

CRA Temsilcisi Seçimi: Kriterler, Karşılaştırma ve Önemli Sorular

CRA temsilcisi seçimi, uyumluluk, olaylara hızlı yanıt ve maliyet şeffaflığı açısından stratejik bir karardır. Dikkate alınması gereken başlıca kriterler:

• Yayınlanan fiyat ve yenileme koşulları: Sadece bazı sağlayıcılar (örneğin REP27) şeffaf fiyat ve yenileme koşulları sunar; diğerleri detay için doğrudan iletişim ister.
• Dahil edilen hizmetler: Yetki kapsamını daima kontrol edin: taleplerin alınması ve iletilmesi, doğrulanabilir sertifika, bildirim desteği, 7/24 aktif masa varlığı.
• Açık hariç tutmalar: Hiçbir temsilci uygunluk değerlendirmesi, güvenlik testi, SBOM oluşturma veya teknik raporlama sunmaz; bunlar üreticinin sorumluluğundadır.
• Yetki doğrulaması: QR kodlu ve kamuya açık doğrulama sayfası sunan sağlayıcı tercih edin.
• Sormanız gereken sorular: Yetkiyi kim imzalıyor? Otorite talepleri nasıl yönetiliyor? Hangi dillerde hizmet veriliyor? Yenileme ve ek ücret politikaları nedir?

Aşağıda beyan edilen hizmetlerin karşılaştırma tablosu yer almaktadır:

Hizmet kapsamı, hariç tutmalar ve fiyatlar konusunda şeffaflık güvenilirliğin göstergesidir; belirsiz sağlayıcılardan kaçının.

Fiyata Gerçekten Neler Dahil: Şeffaflık, Sınırlar ve Pratik Karşılaştırma

CRA temsilcisi yetkisi sadece yasal temsil ve Avrupa otoriteleriyle iletişim yönetimini kapsar. REP27'nin yayınlanan fiyatı (€490/yıl, yenileme €440) şunları içerir:

• Madde 18 CRA yazılı yetkisi, elektronik imzalı
• QR kodlu ve kamuya açık doğrulama sertifikası
• Piyasa gözetim otoritelerinden gelen tüm taleplerin alınması ve iletilmesi
• CRA zaman çizelgesine uygun güvenlik açığı bildirimlerinin yönetimi

Dahil olmayanlar:

• Ürün uygunluk değerlendirmesi (bildirilen kuruluşların görevi, temsilcinin değil)
• Güvenlik testi veya SBOM oluşturma
• Teknik raporların hazırlanması veya gönderilmesi
• Operasyonel destek veya teknik danışmanlık

Çoğu sağlayıcı hizmet detaylarını yayınlamaz: kadano (€999/yıl) ve Euverify (£590/yıl) fiyatlarına nelerin dahil olduğunu belirtmez. İmzalamadan önce detaylı hizmet listesi istemek zorunludur.

Ayrıca otomatik yenileme ve faturalama politikalarına dikkat edin: REP27 yılda tek fatura ve önceden açıklanmış yenileme fiyatı garantisi verir.

Gizli Maliyetler ve Riskler: CRA Uyumluluğu İçin Gerçek Değerlendirme

Temsilci yetki maliyeti CRA uyumluluğunun sadece küçük bir parçasıdır. Gizli veya hafife alınan ana maliyetler şunlardır:

• Uygunluk değerlendirmesi: Önemli veya kritik sınıf ürünlerde bildirilen kuruluşun katılımı zorunludur ve maliyeti temsilci ücretinden çok daha yüksek olabilir.
• Teknik destek ve güncellemeler: Üretici en az 5 yıl güvenlik güncellemeleri için kaynak ayırmalıdır.
• Olay yönetimi ve raporlama: Zamanında bildirim yapılmaması ceza, satış yasağı ve itibar kaybına yol açabilir.
• Yenileme ve ek ücretler: Bazı sağlayıcılar mesai dışı talepler, ek diller veya karmaşık olay yönetimi için ek ücret talep edebilir. REP27 ek ücret almadığını belirtir, diğerleri açıklamaz.

En büyük operasyonel risk 7/24 aktif bildirim kanalının olmamasıdır: temsilci masası gece ve tatillerde de ulaşılabilir olmalıdır ki 24 saat kuralı sağlansın.

Özetle, CRA uyumluluğu planlama, iç kaynaklar ve bilinçli temsilci seçimi gerektirir; sadece en düşük fiyata güvenmek yetersizdir.

Atama Süreci: Operasyonel Adımlar ve En İyi Uygulamalar

CRA temsilcisi atama süreci uyumluluk ve otorite taleplerine hızlı yanıt için kritik adımlardan oluşur:

1. Gerekliliği değerlendirin: AB dışı dijital ürün üreticisi misiniz? Evetse devam edin.
2. Sağlayıcı seçin: Yayınlanan fiyatları, hizmet kapsamını, yetki doğrulama yöntemini ve 7/24 masa varlığını analiz edin.
3. Hizmeti talep edin: Seçilen sağlayıcının web sitesindeki başvuru formunu doldurun.
4. Yetkiyi imzalayın: Madde 18 yetkisini yazılı ve tercihen eIDAS gibi elektronik imza ile imzalayın.
5. Sertifikayı alın: QR kodlu doğrulanabilir sertifikayı alın ve teknik dokümantasyona ekleyin.
6. İç prosedürleri güncelleyin: Temsilci bilgilerini güvenlik politikalarına, olay müdahale rehberine ve teknik dokümantasyona ekleyin.
7. Bildirimi hazırlayın: Güvenlik açığı bildirim şablonlarını (erken uyarı, 72 saat bildirimi, nihai rapor) önceden doldurun ve ENISA platformuna erişimi olan en az iki bildirimci atayın.
8. Ulaşılabilirliği kontrol edin: Temsilcinin 7/24 erişilebilir olduğundan emin olun, bildirimlerin zamanında iletilmesi için.

En iyi uygulama: İmzalamadan önce sağlayıcıdan bildirim simülasyonu isteyerek yanıt sürelerini ve prosedür açıklığını test edin.

CRA Uyumluluk Kontrol Listesi (AB Dışı Üreticiler)

1. AB'de dijital ürün satıp satmadığınızı kontrol edin
2. Ürünü CRA sınıflandırmasına göre kategorize edin (varsayılan, önemli I/II, kritik)
3. Madde 18 yetkisiyle AB temsilcisi atayın
4. 7/24 güvenlik açığı bildirim kanalları ve prosedürleri hazırlayın
5. Atamayı teknik dokümantasyon ve iç politikalara kaydedin
6. ENISA platformuna erişimi olan en az iki bildirimci atayın
7. Bildirim şablonlarını önceden doldurun (erken uyarı, bildirim, nihai rapor)
8. En az 5 yıl güvenlik güncellemeleri için kaynak ayırın
9. Temsilcinin ilgili tüm AB ülkelerinde kapsama sağladığını doğrulayın
10. Operasyonel hazırlık için bildirim simülasyonu yapın

Sağlayıcıların Sıklıkla Söylemediği Şeyler: Hariç Tutmalar, Sınırlar ve Pratik Riskler

• Yetki sadece yasal temsilcilik kapsar: Uygunluk değerlendirmesi, güvenlik testi, SBOM veya teknik destek temel fiyata dahil değildir.
• Asıl maliyetler iç kaynaklıdır: CRA uyumluluğu mühendislik, destek ve güncellemeler gerektirir, bunlar temsilci hizmetine dahil değildir.
• Otomatik yenilemeler ve fiyatlar gizli olabilir: Bazı sağlayıcılar yenileme fiyatlarını açıklamaz veya şeffaf olmayan zamlar uygular. REP27 fiyatları önceden yayınlar.
• 7/24 masa her zaman aktif olmayabilir: Mesai dışı bildirim yönetimi nasıl yapılıyor mutlaka sorun.
• Sorumluluk sınırlıdır: Temsilci ürünün teknik sorumluluğunu değil, sadece iletişim iletimini üstlenir.
• Talep başına ücretler olabilir: Karmaşık talepler, ek diller veya mesai dışı olay yönetimi için ek ücret uygulanabilir; imzalamadan önce kontrol edin.

Karar Matrisi: Kim Temsilci Atamalı?

Bu matris, rol ve iş modeline göre temsilci atama zorunluluğunu hızlıca belirlemenize yardımcı olur.

Pratik Senaryolar: 3 Gerçek Örnek ve En Kolay Çözüm

• ABD SaaS Şirketi: ABD merkezli bir şirket AB müşterilerine yazılım platformu sunuyor. CRA temsilcisi atamalı, güvenlik açığı bildirim kanalları kurmalı ve sertifikayı teknik dokümantasyona eklemeli. Çözüm: REP27, €490/yıl fiyatla 7/24 masa ve doğrulanabilir sertifika sunuyor.
• Çin Amazon Satıcısı: Dijital ürünün üreticisi ise CRA temsilcisi atamalı ve bildirim dokümantasyonu hazırlamalı. Sadece yeniden satıcı/ithalatçı ise zorunluluk yok. Çözüm: CRA tanımına göre üretici olup olmadığını değerlendirin, gerekirse temsilci atayın.
• İngiltere Mağazası: Dijital cihaz üreten ve AB'de satan İngiltere mağazası temsilci atamalı ve bildirim prosedürleri hazırlamalı. Üçüncü taraf ürünleri değiştirmeden veya markalamadan ithal ediyorsa zorunluluk yok. Çözüm: Tedarik zinciri rolünü netleştirin, fiyatları açık ve 7/24 masa sunan sağlayıcı seçin.

Tüm senaryolarda şeffaf sağlayıcı seçimi beklenmedik risk ve maliyetleri azaltır.