Cyber Resilience Act Yetkili Temsilci Maliyetleri: 2026 Rehberi

• REP27 — Europe Services, SE: Yıllık €490, yenileme €440
• Kadano: Yıllık €999 (Avusturya), Euverify: Yıllık £590 (İrlanda)
• Yetki sadece yasal temsilciliği kapsar (Madde 18 CRA)
• Hiçbir sağlayıcı teknik uygunluk, test ve SBOM hizmeti sunmaz
• Fiyatlar Ekim 2026'da yayımlanıp doğrulanmıştır
• İthalatçılar, distribütörler veya sadece AB içi şirketler için gerekli değildir

Güncellendi 20 October 2026 · 3 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 20 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Yasa Gereklilikleri: Cyber Resilience Act Madde 18

Cyber Resilience Act (AB Yönetmeliği 2024/2847), AB pazarında dijital bileşen içeren ürünler satan üreticiler için yeni yükümlülükler getirir. Özellikle, Madde 18, AB dışında yerleşik üreticilerin AB içinde yetkili bir temsilci atamasını zorunlu kılar. Bu temsilci, üretici ile üye devletlerin yetkili mercileri arasında resmi iletişim noktasıdır; özellikle zafiyet bildirimleri (Madde 14) ve ulusal CSIRT ile ENISA iletişimi için görev yapar.

Atama yazılı ve resmi olmalıdır. Yetkili temsilci, piyasa gözetim otoritelerinden gelen tüm talepleri alır ve iletir, sürekli iletişim kanalı sağlar. Bu zorunluluk şu durumlarda geçerlidir:

• Üretici AB dışında yerleşiktir
• Ürün AB pazarına yöneliktir (doğrudan satış, distribütör veya pazar yeri aracılığıyla)

AB içi ithalatçılar ve distribütörler, kendi adlarına satış yapmadıkları sürece bu zorunluluğa tabi değildir. Temsilci teknik değerlendirme, güvenlik testleri veya SBOM oluşturmaz; bunlar üreticinin sorumluluğundadır.

Temsilci atanmaması durumunda idari para cezaları ve AB pazarına erişim engeli uygulanabilir.

Temsilci Seçimi: Pratik Kriterler ve Karşılaştırma

Cyber Resilience Act için yetkili temsilci seçimi, uyumluluk, hızlı yanıt ve yetkililere karşı şeffaflık açısından stratejik bir karardır. Değerlendirilmesi gereken temel kriterler:

• Şeffaf fiyat ve yenileme koşulları: Başlangıç ve yenileme fiyatlarını yayımlayan sağlayıcılar tercih edilmeli. Örneğin REP27 her ikisini de yayımlar; diğerleri talep üzerine bilgi verebilir.
• Doğrulanabilir sertifika: QR kodlu dijital sertifika (REP27 gibi) yetkililere ve iş ortaklarına atamayı kolayca kanıtlamayı sağlar.
• Dil desteği ve hızlı yanıt: Birden fazla dilde talepleri yönetme ve tatil veya mesai dışı zamanlarda hızlı yanıt verme yeteneği CRA'nın sıkı sürelerine uymak için önemlidir.
• Açık kapsam dışı hizmetler: Hiçbir sağlayıcı teknik değerlendirme, güvenlik testi veya SBOM hizmeti sunmaz; bunlar ayrı yönetilmelidir.

Pratik karar matrisi:

REP27, GDPR Madde 27 + CRA + NIS2 gibi birden fazla yetkiyi birleştiren paketlerde indirimler sunarak idari yükü ve yenileme riskini azaltır.

Fiyata Dahil Olanlar: Detaylı Karşılaştırma ve Sınırlamalar

Sağlayıcıların yayımladığı fiyatlar yalnızca Madde 18 CRA kapsamında yasal temsilciliği kapsar. Bu kapsamda:

• Yazılı yetki imzalanması ve atama sertifikası verilmesi
• Piyasa gözetim otoritelerinden gelen taleplerin alınması ve iletilmesi
• Madde 14 CRA uyarınca zafiyet bildirimlerinin (ör. CSIRT ve ENISA'ya iletilmesi) yönetimi

Hiçbir zaman dahil olmayanlar:

• Uygunluk değerlendirmesi (özellikle önemli II. sınıf veya kritik ürünler için zorunlu)
• Güvenlik testleri, SBOM oluşturma, mühendislik desteği
• Teknik politika veya dokümantasyon hazırlama

Özet tablo:

Yetki, AB pazarına erişim için asgari yasal gerekliliktir; teknik uyumluluk tamamen üreticinin sorumluluğundadır.

Gizli Maliyetler ve Ek Ücretler: Bilinmesi Gerekenler

Yetkili temsilci maliyeti, Cyber Resilience Act uyumluluğundaki toplam harcamaların küçük bir bölümünü oluşturur. Önemli gizli maliyetler şunlardır:

• Uygunluk değerlendirmesi (notified body): Önemli II. sınıf veya kritik ürünler için zorunlu olan bu değerlendirme, temsilci yetkisinden çok daha yüksek maliyetlere neden olabilir. Hiçbir sağlayıcı bu maliyeti kapsamaz.
• Teknik destek ve güncellemeler: CRA, ürün yaşam döngüsü boyunca en az beş yıl güvenlik güncellemeleri yapılmasını şart koşar; bu planlanmalı ve finanse edilmelidir.
• Zafiyet yönetimi: Kurum içi organizasyon, zafiyetleri keşfettikten sonraki 24 saat içinde bildirim yapmaya hazır olmalıdır; aksi halde cezalar ve itibar kaybı riski vardır.

REP27 açıkça değerlendirme, test ve SBOM hizmeti sunmadığını ve upsell yapmadığını belirtir. Diğer sağlayıcılar acil veya ek hizmet ücretleri hakkında bilgi yayımlamaz; sözleşme öncesi mutlaka sorulmalıdır.

Sürprizleri önlemek için kontrol listesi:

1. Yenileme fiyatı ve iptal koşullarını mutlaka sor
2. Mesai dışı veya acil talepler için ücret olup olmadığını öğren
3. Sağlayıcının neleri kapsayıp kapsamadığını açıkça listelemesini talep et

Atama Süreci: Adım Adım ve Pratik Kontrol Listesi

CRA temsilci ataması, uyumluluğu ve izlenebilirliği sağlamak için belirli bir prosedür izler. İşleyişi:

1. Gerekliliği doğrula: AB dışı üretici misin ve ürünlerin AB pazarına mı satılıyor? Evet ise devam et.
2. Ürün sınıfını değerlendir: Varsayılan, önemli I/II, kritik. Bu, sadece temsilci mi yoksa notified body değerlendirmesi de mi gerektiğini belirler.
3. Sağlayıcı seç: Fiyatları, yenileme koşullarını ve atama doğrulama yöntemlerini karşılaştır.
4. Atama talep et: Yazılı yetkiyi (Madde 18 CRA) seçilen sağlayıcı ile imzala. REP27 atamayı 24 saat içinde yapar.
5. Sertifikayı al: Sağlayıcı, teknik dokümantasyona ve raporlama kanallarına eklenmek üzere doğrulanabilir sertifika (ör. REP27 QR kodu) verir.
6. İç prosedürü hazırla: Zafiyet keşfi, bildirim ve yanıt sürelerinin nasıl yönetileceğini belirle.
7. Temsilci bilgilerini ekle: Teknik dokümantasyon, web sitesi ve destek kanallarını güncelle.

Bugün yapılacaklar:

1. AB dışı üretici olup doğrudan AB'ye satış yapıp yapmadığını kontrol et
2. Ürün sınıfını değerlendir
3. Sağlayıcı fiyat ve koşullarını karşılaştır
4. Kapsam dışı hizmetler ve ek ücretler hakkında bilgi al
5. Atama için gerekli dokümanları hazırla
6. Zafiyet yönetimi prosedürünü belirle

Riskler ve Cezalar: Temsilci Atanmadan Ne Olur?

Yetkili temsilci atanmaması somut riskler ve yüksek cezalar doğurur. Özellikle:

• İdari cezalar: Ulusal otoriteler para cezası verebilir ve uyumsuz ürünlerin satışını engelleyebilir. Cezalar ülkeye göre değişir ancak ciddi olabilir.
• AB pazarına erişim engeli: Temsilci olmadan ürün yasal olarak AB pazarına sunulamaz; bu iş hattının tamamen kapanmasına yol açabilir.
• Olay yönetiminde gecikmeler: Etkili iletişim kanalı olmadan zafiyet bildirimleri zamanında yapılamaz (24 saat erken uyarı süresi), ek cezalar ve itibar kaybı riski artar.

Temsilci teknik veya yasal ürün güvenliğinden sorumlu değildir; yalnızca iletişim ve yasal temsil görevini üstlenir. Nihai sorumluluk üreticidedir.

Risk özet tablosu:

Sağlayıcıların Belirtmediği Noktalar: Sınırlamalar, Hariç Tutmalar ve Yenilemeler

Birçok sağlayıcı, seçim ve yönetim sürecini etkileyen önemli detayları yayımlamaz:

• Yenileme fiyatı: Sadece REP27 yenileme fiyatını açıkça yayımlar (ör. yıllık €440). Diğerleri fiyat artışı yapabilir; yazılı teyit alınmalıdır.
• Kapsam dışı hizmetler: Teknik değerlendirme, güvenlik testi, SBOM ve teknik raporlama hiç dahil değildir. Bunlar ayrı satın alınmalıdır ve uyumluluğun en maliyetli kısmını oluşturabilir.
• İptal koşulları: Temsilci değiştirme koşulları ve bildirim süreleri sözleşmede net olmalıdır; imzadan önce kontrol edilmelidir.
• Ek ücretler: Acil veya mesai dışı talepler için ücret bilgisi yayımlanmaz; mutlaka sorulmalıdır.
• Sorumluluk sınırları: Temsilci teknik veya yasal sorumluluk almaz; görevi sadece iletim ve resmi temsilciliktir.

Bilgili seçim için sözleşmenin dikkatle okunması ve tüm koşulların yazılı talep edilmesi şarttır.

Pratik Senaryolar: Üç Gerçek Durum ve En Kolay Çözüm

Yükümlülüklerin nasıl uygulandığını ve en basit çözümü göstermek için üç örnek:

• ABD SaaS şirketi: ABD'li bir şirket doğrudan AB müşterilerine yazılım satıyor. CRA Madde 18 temsilci atamalı. REP27 (€490/yıl) veya başka sağlayıcı seçebilir. Bulut hizmeti varsa NIS2 uyumluluğu da gerekebilir.
• Amazon'da Çinli satıcı: Ürün satıcının adıyla ise üretici temsilci atamalı. Amazon kayıtlı ithalatçıysa sorumluluk Amazon'a geçer. Satış belgelerinde üretici/ithalatçı kontrolü çok önemlidir.
• İngiltere online mağaza: AB müşterilerine doğrudan satış yapıyorsa temsilci atamalı. Sadece AB distribütörleri aracılığıyla ve onların adına satış yapıyorsa zorunluluk yoktur.

Bu analiz yaygın hataları önler ve durumunuza en uygun çözümü seçmenize yardımcı olur.