Cyber Resilience Act (CRA) Zafiyet Raporlama Hizmet Sağlayıcıları Karşılaştırması

• CRA zafiyet raporlama zorunluluğu 11 Eylül 2026’dan itibaren geçerli
• Sadece bazı sağlayıcılar fiyat ve dahil edilen detayları yayımlıyor
• Temsilcilik, raporların iletimini kapsar; teknik değerlendirmeyi değil
• Hariç tutulanlar, yenilemeler ve doğrulama süreçlerini karşılaştırın
• Raporlama yapılmaması halinde cezalar 15 milyon € veya cironun %2,5’ine kadar çıkabilir
• Temsilcilik görevi değerlendirme, SBOM veya teknik destek içermez

Güncellendi 21 October 2026 · 12 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 21 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Yasanın Gereklilikleri: Yükümlülükler, Maddeler ve Tarihler

Cyber Resilience Act (CRA), (AB) 2024/2847 sayılı Yönetmelik, AB pazarına donanım veya yazılım içeren dijital ürünler sunanlar için sıkı yükümlülükler getirir. Ana yükümlülükler şunlardır:

• Yetkili temsilci atama (Madde 18): Üretici AB’de yerleşik değilse, yazılı olarak AB içinde bir temsilci atamalıdır. Bu temsilci, zafiyet ve ciddi olay bildirimlerini ilgili otoritelere (CSIRT, ENISA) iletmekle yükümlüdür.
• Zafiyet raporlama (Madde 14): 11 Eylül 2026’dan itibaren, üretici aktif olarak kullanılan bir zafiyet veya ciddi güvenlik olayını öğrendiği andan itibaren 24 saat içinde rapor vermelidir. Rapor ENISA platformu üzerinden CSIRT koordinatörüne iletilmelidir.
• Detaylı bildirim ve nihai rapor: İlk bildirimden sonra 72 saat içinde ayrıntılı bildirim ve ilk düzeltici önlemler sunulmalı; 14-30 gün içinde ise zafiyet ve çözüm detaylarını içeren nihai rapor verilmelidir.
• Tüm dijital ürünleri kapsar: Hem yeni hem de piyasadaki ürünler, yaşam döngüsü boyunca (güncellemeler ve destek dahil) kapsama dahildir.
• Para cezaları: Yükümlülüğün yerine getirilmemesi halinde 15 milyon € veya global cironun %2,5’ine kadar ceza uygulanabilir.

CRA zafiyet raporlaması, GDPR (kişisel veri ihlalleri) veya NIS2 (hizmet kesintileri) gibi diğer yükümlülüklerden farklıdır; her biri farklı muhataplar, süreler ve platformlar içerir.

Sağlayıcı Seçimi: Pratik Kriterler ve Riskler

CRA zafiyet raporlama sağlayıcısı seçerken pratik ve şeffaf kriterler önemlidir. Değerlendirmeniz gerekenler:

• Yayımlanmış ve şeffaf fiyat: Fiyat ve yenileme bedelini açıkça belirten sağlayıcıları tercih edin. "Tanıtım fiyatı" veya gizli yenileme ücretlerinden kaçının.
• Dahil olan hizmetler: Hizmet sadece temsilcilik ve rapor iletimini mi kapsıyor, yoksa teknik destek, dokümantasyon, SBOM veya gelişmiş iş akışları da sunuluyor mu? Çoğu sağlayıcı sadece yasal temsilcilik sağlar.
• Doğrulanabilir sertifika: QR kodlu ve kamuya açık doğrulama sayfası olan sertifikalar, denetim ve olaylarda itiraz riskini azaltır.
• 7/24 aktif masa: Raporlama gece, hafta sonu ve tatiller dahil her zaman mümkün olmalıdır. Masa hizmetinin yıl boyunca aktif olup olmadığını sorun.
• Dil ve yanıt süreleri: Sağlayıcının İngilizce ve gerekirse diğer AB dillerinde talepleri karşılayabildiğinden emin olun. 24 saati aşan yanıt süreleri uyumluluğu riske atar.
• Hariç tutulanlar ve sınırlar: Hiçbir temsilci teknik değerlendirme, güvenlik testi, SBOM oluşturma veya mühendislik desteği sağlamaz; bunlar üretici veya uzman sağlayıcıların sorumluluğundadır.

Hariç tutulanların netliği çok önemlidir; açıklamayan sağlayıcılar hizmet kapsamını iyi tanımlamamış olabilir.

Fiyata Gerçekten Neler Dahil? Karşılaştırmalı Tablo ve Analiz

Çoğu sağlayıcı temsilcilik ve rapor iletimini sunar; teknik hizmetler nadiren dahildir. Karşılaştırma tablosu:

"Klasik" sağlayıcılar (REP27, kadano, Euverify) sadece yasal zorunlulukları karşılar; geniş hizmet sunanlar (Attestra AI, Seentrix, Illicium) güvenlik iş akışları, otomatik SBOM veya pentest sunar. Ancak sadece Art. 18 ve 14 uyumluluğu için temsilcilik ve hızlı rapor iletimi yeterlidir.

Dikkat: Yayımlanan fiyat sadece açıkça belirtileni kapsar. Ek teknik hizmetler genellikle ayrı fiyatlandırılır ve çok daha pahalı olabilir.

Gizli Maliyetler, Hariç Tutulanlar ve Sağlayıcıların Söylemedikleri

Birçok sağlayıcı yenileme fiyatını yayımlamaz veya mesai dışı talepler, ek sertifika talepleri ya da İngilizce dışı destek için ek ücret alır. Dikkat edilmesi gerekenler:

• Yenilemeler: İmza öncesi yenileme fiyatını yazılı talep edin. REP27 bunu net olarak yayımlar (€440), diğerleri genellikle talep üzerine bildirir.
• Hariç tutulanlar: Uygunluk değerlendirmesi, güvenlik testi, SBOM oluşturma ve teknik destek hiçbir sağlayıcı tarafından kapsanmaz; bunlar ayrı ve genellikle temsilcilik ücretinden çok daha pahalıdır.
• Sorumluluk sınırları: Sağlayıcılar teknik hatalar, müşterinin raporlamaması veya zafiyet yönetimi için sorumluluk kabul etmez.
• Bildirim süresi: Bazı sağlayıcılar hizmet sonlandırma veya temsilci değişikliği için önceden bildirim isteyebilir. Sözleşme koşullarını mutlaka kontrol edin.
• Talep başına ücretler: Kamuya açık bilgi yoksa, ekstra talepler, yeni sertifika talepleri veya acil destek için ücret olup olmadığını sorun.

Karar tablosu:

Özetle, hariç tutulanlar ve gizli maliyetler konusunda netlik sürprizleri önler ve tam uyumluluk sağlar.

Temsilci Atama Süreci: Adım Adım ve Pratik Kontrol Listesi

CRA temsilcisi atama süreci şu adımları içerir:

1. Yükümlülüğü doğrula: AB’de yerleşik olmayan ve AB’de dijital ürün satan üretici misin? Evetse, yükümlüsün.
2. Sağlayıcı seç: Fiyat, dahil olanlar, hariç tutulanlar ve doğrulama süreçlerini karşılaştır. 7/24 masa ve doğrulanabilir sertifika sunan sağlayıcıları tercih et.
3. Yetki belgesini imzala: Yazılı ve sağlayıcı tüzel kişisi tarafından imzalanmış olmalı (ör. REP27 için Europe Services, SE). Madde 18 kapsamı dışında (ör. Madde 13) yetki vermekten kaçın.
4. Sertifikayı al: Sağlayıcıdan QR kodlu ve çevrimiçi doğrulama sayfası olan atama sertifikası iste.
5. İç prosedürleri hazırla: Temsilci bilgileri, yükseltme prosedürleri ve raporlama iletişimlerini iç dokümantasyona ekle.
6. Raporlama kanalı oluştur: ENISA platformunda en az iki kişi submitter olarak atanmış, zafiyet ve olay raporlarını toplayan dahili kanal kur.
7. Ekibi eğit: Personelin ne zaman ve neyi raporlayacağını bilmesini sağla, prosedürleri simülasyonla test et.

Pratik kontrol listesi:

1. Ürün sınıflarını ve AB’deki hedef pazarı belirledin mi?
2. Tüm satış ve dağıtım kanallarını haritaladın mı?
3. 7/24 masa ve yenileme fiyatı şeffaf sağlayıcı seçtin mi?
4. Yükseltme ve raporlama prosedürlerini yazdın mı?
5. ENISA platformunda en az iki submitter atadın mı?
6. Raporlama akışını simülasyonla test ettin mi?

Bu adımlar uyumsuzluk ve ceza riskini en aza indirir.

Riskler, Cezalar ve Gerçek Senaryolar: Pratikte Ne Olur?

Zafiyetin 24 saat içinde raporlanmaması halinde 15 milyon € veya global cironun %2,5’ine kadar ceza, itibar kaybı ve AB satışlarının engellenmesi riski vardır. İşte üç gerçekçi senaryo:

• ABD merkezli SaaS: AB müşterilerine hizmet veren ABD’li SaaS şirketi CRA temsilcisi atamalı, 7/24 raporlama kanalı kurmalı ve her zafiyeti raporlamalıdır. Temsilci raporları ENISA’ya iletir ve otoritelerin taleplerine yanıt verir.
• Çinli Amazon satıcısı: Eğer dijital ürünün üreticisi ise CRA temsilcisi atamalı ve raporlama sürelerine uymalıdır. Sadece satıcıysa yükümlülük üreticide olur. Raporlama kanalı 11 Eylül 2026’dan itibaren hazır olmalıdır.
• İngiltere online mağazası: AB’ye firmware içeren cihazlar satan İngiltere mağazası CRA temsilcisi atamalıdır. Sadece dijital olmayan hizmet sunuyorsa yükümlülük yoktur. Olay durumunda raporlama 24 saat içinde yapılmalıdır, AB dışı yerleşim olsa bile.

Hazırlıksızlık (runbook eksikliği, test edilmemiş raporlama kanalı, doğrulanamayan temsilci) yanıtı geciktirir ve hukuki ile finansal sonuçları ağırlaştırır.