AB Dışı Üreticiler için Cyber Resilience Act Yetkili Temsilcisi: Sağlayıcılar ve Fiyatlar (2026)

• CRA Madde 18, AB dışı üreticilerin AB içinde yetkili temsilci atamasını zorunlu kılar.
• REP27 — Europe Services, SE: Yıllık €490 (yenileme €440), yayımlanmış fiyat, net kapsam.
• Kadano: Yıllık €999, fiyat doğrulandı, Avusturya merkezli.
• Euverify: Yıllık £590, fiyat doğrulandı, İrlanda merkezli.
• Hizmet uygunluk değerlendirmesi veya hukuki danışmanlık içermez.
• AB merkezli üreticiler veya kendi adlarına ürün piyasaya süren ithalatçılar için gerekmez.

Güncellendi 16 October 2026 · 7 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 16 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Yasa Ne Gerektiriyor: CRA Madde 18

Cyber Resilience Act (CRA), Yönetmelik (AB) 2024/2847, AB pazarına sürülen tüm dijital bileşenli ürünlere (donanım veya yazılım) zorunlu siber güvenlik gereksinimleri getiren önemli bir AB yasasıdır. CRA’nın Madde 18’i, AB dışı herhangi bir üreticinin AB içinde kurulmuş bir yetkili temsilci atamasını zorunlu kılar. Bu temsilci, AB pazar denetim otoriteleri için resmi irtibat noktasıdır, uygunluk beyanı ve teknik dokümantasyonu elinde tutar ve düzenleyici talepleri üreticiye iletmekle sorumludur.

Yasa, gömülü cihazlar, yazılım, SaaS, IoT ve ayrı satılan bileşenler dahil geniş bir ürün yelpazesine uygulanır. Temsilcinin rolü kesin tanımlıdır: üreticinin yasal sorumluluğunu üstlenmez ve teknik ya da hukuki danışmanlık vermez. Temel görevi, özellikle bir güvenlik açığı veya olay durumunda, yetkililerin üreticiye hızlı ve etkin şekilde ulaşmasını sağlamaktır.

• Madde 14, 11 Eylül 2026’dan itibaren aktif olarak istismar edilen güvenlik açıkları için 24 saat içinde bildirim zorunluluğu getirir. Üreticiler, ENISA’ya (AB Siber Güvenlik Ajansı) tek bir bildirim platformu üzerinden bildirimde bulunmalı, tam bildirim 72 saat içinde ve nihai rapor 14 gün içinde sunulmalıdır.
• Madde 71(2), uygulama tarihlerini belirler: 11 Eylül 2026’dan itibaren bildirim yükümlülükleri, 11 Aralık 2027’den itibaren tam yükümlülükler (ürün işaretleme ve uygunluk değerlendirmesi dahil).
• Madde 18’e uyulmaması (temsilci atamama) durumunda 10 milyon € veya küresel cirosunun %2’sine kadar para cezası uygulanabilir (Madde 69(1)), temel gereksinimlerin ihlali ise 15 milyon € veya %2,5’e kadar çıkabilir (Madde 69(2)).

Önemli olarak, AB dışı üretici temsilci atamazsa, ithalatçı veya dağıtıcı varsayılan olarak sorumlu olabilir, bu da iş kesintilerine veya tedarik gecikmelerine yol açabilir.

CRA Yetkili Temsilci Nasıl Seçilir

Doğru CRA yetkili temsilcisini seçmek kritik bir uyum kararındandır. Pazar yeni olup, sağlayıcılar şeffaflık, kapsam ve yenileme koşullarında farklılık gösterir. İşte bilinçli seçim için ipuçları:

• Hukuki Varlık: Sağlayıcının kayıtlı bir AB şirketi ve net bir hukuki kimliğe sahip olduğunu doğrulayın. Örneğin, REP27 2014’ten beri Prag’da kayıtlı Europe Services, SE’dir (IČO 03571785).
• Yayımlanmış Fiyat ve Yenileme Koşulları: İlk yıl ve yenileme fiyatlarını yayımlayan sağlayıcıyı tercih edin. REP27 yıllık €490 (yenileme €440) ve paket indirimleri sunar. Birçok sağlayıcı yenileme fiyatlarını açıklamaz, bu da beklenmedik maliyetlere yol açabilir.
• Yetki Kapsamı: Yetki sadece Madde 18(3) ile sınırlı olmalıdır. Sağlayıcıların Madde 13 gibi ek yasal yükümlülükleri üstlendiklerini iddia etmeleri CRA tarafından izin verilmez.
• Sertifika Doğrulama: QR kodu gibi kamuya açık sayfada doğrulanabilir sertifika sunan sağlayıcı tercih edin. Bu, satın alma ve denetimler için önemlidir.
• Talep Yönetimi: Sağlayıcının yetki taleplerini nasıl ilettiğini, desteklenen dilleri, yanıt sürelerini ve varsa talep başına ücretleri öğrenin.

Aşağıda her sağlayıcının neleri dahil ettiği, neleri hariç tuttuğu veya ek ücretlendirme olasılığı gösterilmiştir:

Karar vermeden önce mutlaka örnek sözleşme isteyin ve tüm hariç tutulanlar ile yenileme koşullarını yazılı olarak teyit edin.

Fiyat Gerçekten Neleri Kapsar

Çoğu yayımlanmış CRA yetkili temsilci fiyatı sadece temel Madde 18 yetkisini kapsar. Bu genellikle şunları içerir:

• AB temsilcisi ile imzalanmış atama mektubu (yetki)
• Doğrulanabilir sertifika (bazen QR kod veya kamuya açık kayıt)
• AB otoritelerinden gelen taleplerin üreticiye iletilmesi
• İsteğe bağlı: düzenleyici sorular için talep masası veya destek kanalı, bazen çok dilli

Dahil olmayanlar:

• Hukuki danışmanlık veya mahkeme temsilciliği
• Uygunluk değerlendirmesi, güvenlik testi veya SBOM oluşturma
• Olay müdahalesi veya teknik iyileştirme
• Teknik dokümantasyonun hazırlanması veya incelenmesi

REP27’nin yayımlanmış ücreti CRA yetkisi için yıllık €490, yenileme €440’dır. Paket seçenekleri mevcuttur: CRA ve GDPR Madde 27 için €690/yıl, CRA, GDPR ve NIS2 için €990/yıl, GPSR Madde 16 sorumlu kişi için +€200. Tüm fiyatlar KDV hariçtir ve yıllık peşin faturalandırılır. AB dışı müşteriler için Çek KDV’si uygulanmaz; AB müşterileri geçerli KDV numarası ile ters yükümlülük uygulanır.

Kadano varsayılan veya Önemli Sınıf I yetkisi için €999/yıl talep eder (dahil olanlar talep üzerine). Euverify sadece CRA temsilciliği için £590/yıl alır (dahil olanlar talep üzerine). Ekim 2026 itibarıyla Kadano ve Euverify web sitelerinde detaylı dahil olanlar veya yenileme koşulları yayımlanmamıştır.

Özet: Temsilci ücreti genellikle CRA uyum maliyetlerinin en küçük kalemidir. Asıl giderler iç mühendislik, dokümantasyon ve yüksek riskli ürünlerde bildirilen kuruluş değerlendirmelerinden kaynaklanır.

Gizli Maliyetler ve Hariç Tutulanlar

CRA yetkili temsilci için yayımlanmış fiyat basit görünse de, alıcıların toplam uyum harcamalarını önemli ölçüde etkileyebilecek gizli veya hariç tutulan maliyetlere dikkat etmesi gerekir:

• Uygunluk Değerlendirmesi: Önemli Sınıf II ve Kritik ürünlerde bildirilen kuruluş değerlendirmesi zorunludur ve binlerce euro tutabilir, süreç aylar sürebilir. Bu temsilci ücretine dahil değildir.
• İç Mühendislik: Teknik dokümantasyon, SBOM ve destek taahhütlerinin hazırlanma maliyeti üreticiye aittir. Varsayılan sınıf ürünlerde bu maliyetler çoğunlukla dahili kaynaklardır.
• Hukuki Danışmanlık ve DPO Hizmetleri: Bu rehberdeki hiçbir sağlayıcı hukuki danışmanlık, DPO hizmeti veya uyum değerlendirmesi sunmaz. REP27 bu hizmetleri açıkça hariç tutar.
• Talep Başına Ücretler: Bazı sağlayıcılar yetki taleplerinin iletimi veya yönetimi için ek ücret talep edebilir, ancak REP27 böyle bir ücret yayımlamamıştır. Yazılı teyit alın.
• Yenileme Fiyat Artışları: Birçok sağlayıcı yenileme fiyatlarını yayımlamaz, bu da beklenmedik artışlara neden olabilir. REP27 yenileme fiyatlarını şeffaf şekilde açıklar.
• İhbar Süreleri ve İptal: Sözleşmedeki ihbar süreleri ve iptal koşullarını kontrol edin. Piyasada sessiz yenilemeler ve düşük ilk yıl fiyatları yaygındır.

Hariç Tutulanlar Tablosu:

Özetle, nelerin dahil olup olmadığını netleştirin ve mühendislik, dokümantasyon ile gerekiyorsa bildirilen kuruluş değerlendirmesi için bütçe ayırın.

Atama Süreci: Adım Adım

CRA yetkili temsilci atama süreci yapılandırılmıştır. İşte tipik adımlar ve pratik öneriler:

1. Uygunluğu Belirleyin: Ürününüzün kapsamda olup olmadığını doğrulayın (dijital bileşenli donanım/yazılım, AB’de satılan).
2. Kuruluş Durumu: Şirketiniz AB’de kurulmamışsa temsilci atamanız gerekir.
3. Sağlayıcıları Araştırın: Sağlayıcıların hukuki varlıkları, yayımlanmış fiyatları, yenileme koşulları ve hizmet kapsamını karşılaştırın. Örnek sözleşme isteyin ve hariç tutulanları netleştirin.
4. Yetkiyi İmzala: Seçilen sağlayıcı ile yazılı yetki sözleşmesi yapın. Yetkinin sadece Madde 18 görevleriyle sınırlı olduğundan emin olun.
5. Dokümanları Alın: İmzalı atama mektubu ve doğrulanabilir sertifikayı edinin. REP27 eIDAS elektronik imzası ve QR kod ile kamu doğrulaması sağlar.
6. Teknik Dosyaları Güncelleyin: Temsilci bilgilerini teknik dokümantasyon, uygunluk beyanları ve gerekiyorsa ürün etiketlerine ekleyin.
7. Bildirim Hazırlığı: Madde 14 kapsamındaki zafiyet bildirimleri için kimlerin bildirim yapacağı, platform erişimi ve şablonlar dahil bir prosedür hazırlayın.
8. Gerekirse Paket Seçin: GDPR Madde 27, NIS2 veya GPSR temsilciliği gerekiyorsa, maliyet ve idari kolaylık için paketleri değerlendirin.

Karar Matrisi:

Riskler ve Cezalar

CRA’ya uyulmaması finansal ve operasyonel olarak ciddi riskler taşır. Yasa önemli para cezaları ve diğer sonuçlar öngörür:

• Temsilci Atamama: Gerektiğinde temsilci atanmaması halinde 10 milyon € veya küresel cironun %2’sine kadar ceza uygulanabilir (Madde 69(1)).
• Temel Gereksinim İhlali: Üretici yükümlülüklerinin ihlali halinde 15 milyon € veya %2,5’e kadar ceza verilebilir (Madde 69(2)).
• Bildirim Gecikmesi: Aktif istismar edilen zafiyetlerin 24 saat içinde bildirilmemesi (Madde 14) yaptırımlara, ürün piyasadan çekilmesine ve itibar kaybına yol açabilir.
• Tedarik Gecikmeleri: Temsilci olmaması satış süreçlerini yavaşlatabilir, zira satın alma ekipleri AB temsilcisi kanıtı ister.
• Kontrol Kaybı: Temsilci atanmaması durumunda ithalatçı veya dağıtıcı varsayılan irtibat olur, olay bildirim ve düzenleyici iletişimlerde kontrol kaybı yaşanabilir.
• Gizli Kesintiler: Farklı yenileme tarihlerine sahip birden fazla yetki yönetimi, kazara uyumsuzluk riskini artırır.

REP27, yetkinin esas değerinin önlediği sorunlar olduğunu vurgular: olaylarda zaman kaybı, geciken doküman talepleri, tedarik duraklamaları ve kazara kesintiler. Bu operasyonel riskler finansal cezalar kadar önemlidir.

Sağlayıcıların Genellikle Söylemediği Şeyler

CRA temsilcilik pazarındaki birçok sağlayıcı önemli sözleşme ve operasyonel detayları açıkça paylaşmaz. Alıcıların dikkat etmesi gerekenler:

• Yenileme Fiyatları: Bazı sağlayıcılar düşük ilk yıl fiyatı sunar ancak yenileme fiyatlarını açıklamaz, beklenmedik artışlar olabilir. REP27 yenileme fiyatlarını önceden belirtir.
• İhbar Süreleri: Sessiz yenilemeler ve uzun iptal ihbar süreleri yaygındır. Yazılı teyit isteyin.
• Kapsam Genişlemesi: Bazı sağlayıcılar Madde 18 dışı görevleri (örneğin Madde 13) üstlendiklerini iddia edebilir, bu CRA tarafından izin verilmez. Yetkinin yasal sınırda kalmasına dikkat edin.
• Talep Başına Ücretler: Yetki taleplerinin iletimi için ek ücret talep edilebilir, REP27 böyle bir ücret açıklamaz. Önceden netleştirin.
• Sorumluluk Sınırları: Sağlayıcıların sorumluluk limitleri veya zarar muafiyetleri nadiren açıklanır. Anlaşmazlık durumunda kritik olabilir.
• Hariç Tutulanlar: Uygunluk değerlendirmesi, güvenlik testi, SBOM oluşturma ve hukuki danışmanlık her zaman üreticinin sorumluluğundadır.

Özetle, sözleşme imzalamadan önce yenileme fiyatları, ihbar süreleri, talep ücretleri ve sorumluluk koşullarının tam yazılı açıklamasını talep edin.

Karar Matrisi: CRA Yetkili Temsilciye İhtiyacınız Var mı?

İş modeliniz ve pazar durumunuza göre CRA yetkili temsilci gerekip gerekmediğini belirlemek için bu matrisi kullanın:

Bu matris çoğu üretici ve satıcı için pratik senaryoları kapsar. Şüphe durumunda yasanın kendisine veya uzman danışmana başvurun.

Kontrol Listesi: CRA Uyum Adımları

CRA yükümlülüklerinizi etkin şekilde yerine getirmek için aşağıdaki kontrol listesini izleyin:

1. Ürününüzün CRA kapsamına girip girmediğini belirleyin (dijital bileşenli donanım/yazılım).
2. AB dışında kurulmuş olup olmadığınızı kontrol edin.
3. Ürünü doğrudan AB müşterilerine veya pazar yerleri (Amazon, Etsy, eBay) aracılığıyla satıp satmadığınızı belirleyin.
4. CRA temsilci sağlayıcılarını hukuki varlık, fiyat ve kapsam açısından araştırın ve karşılaştırın.
5. Örnek sözleşme isteyin, tüm hariç tutulanlar ve yenileme koşullarını yazılı teyit edin.
6. Seçilen sağlayıcı ile Madde 18 yetki sözleşmesini imzalayın.
7. Atama mektubu ve doğrulanabilir sertifikayı alın ve doğrulayın.
8. Teknik dokümantasyon ve ürün beyanlarını temsilci bilgileriyle güncelleyin.
9. Madde 14 kapsamındaki zafiyet bildirim prosedürünü hazırlayın (11 Eylül 2026’dan itibaren).
10. İç mühendislik, dokümantasyon ve gerekiyorsa bildirilen kuruluş değerlendirmesi için bütçe ayırın.
11. Destek süresi taahhütlerini gözden geçirin (en az 5 yıl güvenlik güncellemeleri).
12. Yenileme tarihleri ve iptal ihbar sürelerini takip ederek sessiz yenilemelerden kaçının.

Gerçekçi Senaryolar

• ABD SaaS sağlayıcısı: AB müşterilerine bulut tabanlı ürün satıyor. CRA temsilcisi atamalı ve 24 saat içinde zafiyet bildirim kanalı kurmalıdır. REP27 yayımlanmış fiyat, hızlı atama ve doğrulanabilir sertifika sunar. SaaS sağlayıcı teknik dokümantasyon ve bildirim prosedürü hazırlamalıdır; uygunluk değerlendirmesi genellikle kendi beyanıdır, Önemli Sınıf II veya Kritik ürün değilse.
• Çinli Amazon satıcısı: AB’ye markalı IoT cihazları gönderiyor. Pazar erişimi için CRA temsilcisi gerekir, çünkü Amazon ve AB gümrüğü temsilci kanıtı isteyebilir. Satıcı ürünün CRA gereksinimlerini sağlamalı, temsilci atamalı (ör. REP27, Kadano veya Euverify) ve dokümantasyonu güncellemelidir. Kendi adıyla satıyorsa yükümlülük satıcıdadır; ithalatçı markayı değiştirirse sorumluluk ithalatçıya geçer.
• İngiltere online satıcı: AB şirketlerine bağlı cihazlar B2B satıyor. AB merkezli ithalatçı yükümlülükleri üstlenmezse CRA temsilcisi gerekir. Satıcı sorumluluğu netleştirip gerekirse temsilci atamalı ve Eylül 2026’dan itibaren zafiyet bildirimine hazırlanmalıdır.

Bu senaryolar yasanın pratik uygulamasını ve uyum için gereken adımları, şirket büyüklüğü veya sektöre bakılmaksızın gösterir.