Siber Dayanıklılık Yasası Kapsamında 24 Saat İçinde Güvenlik Açığı Nasıl Bildirilir?

• CRA Madde 14: Aktif olarak sömürülen güvenlik açıkları/ağır olayların 24 saat içinde bildirilmesi.
• Bildirim ENISA platformu üzerinden koordinasyon CSIRT’ine yapılır.
• AB dışı üreticiler yetkili temsilci atamak zorundadır.
• REP27 — Europe Services, SE: Yıllık 490 € yetki ücreti (fiyat doğrulanmıştır).
• Gizli maliyetler: Dahili mühendislik, destek süresi, uygunluk değerlendirmesi.
• Sağlayıcılar yayımlanan fiyatlar, kapsam ve şeffaflık açısından farklılık gösterir.

Güncellendi 20 October 2026 · 12 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 20 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Siber Dayanıklılık Yasası’nın Gereklilikleri (Madde Numaralarıyla)

Siber Dayanıklılık Yasası (CRA), AB pazarına sunulan tüm dijital bileşenli ürünleri (donanım veya yazılım fark etmeksizin) kapsayan kapsamlı bir düzenlemedir (Madde 1, kaynak). Temel amacı, ürünlerin yaşam döngüsü boyunca siber güvenlik entegre edilerek tasarlanması, geliştirilmesi ve sürdürülmesidir. Yasa 10 Aralık 2024’te yürürlüğe girmiştir (Madde 71(1)), ancak çoğu yükümlülük, bildirim dahil, 11 Eylül 2026’dan itibaren Madde 14 için zorunlu hale gelir ve tam olarak 11 Aralık 2027’den itibaren geçerlidir (Madde 71(2)).

Madde 14, olay müdahalesi için merkezidir: üreticiler, ürün güvenliğini etkileyen aktif olarak sömürülen güvenlik açığını veya ağır olayı fark ettikten sonra 24 saat içinde bildirim yapmak zorundadır. Bu bildirim ENISA platformu üzerinden koordinasyon CSIRT’ine yapılmalıdır. Süre, farkındalık anından başlar; inceleme veya doğrulama sonrası değil. Tam bildirim 72 saat içinde, nihai rapor ise 14 gün içinde sunulmalıdır. Bildirim süresi hafta sonları ve tatiller dahil kesintisizdir.

Madde 18, AB dışı üreticilerin AB’de yetkili temsilci atamasını zorunlu kılar. Bu temsilci, resmi bildirim kanalı ve yetkili kurumlarla irtibat noktasıdır. Temsilci atanmaması durumunda ithalatçı veya dağıtıcı varsayılan olarak sorumlu olur ki bu ticari ve uyum riskleri doğurabilir.

11 Aralık 2027’den önce piyasaya sürülen ürünler, ancak bu tarihten sonra önemli bir değişikliğe uğrarlarsa CRA kapsamına girer (Madde 69(2)). Uyumsuzluk durumunda 15 milyon € veya yıllık küresel cironun %2,5’i kadar para cezası uygulanabilir (kaynak).

• Madde 14: Aktif sömürülen güvenlik açıkları/ağır olayların 24 saat içinde bildirilmesi
• Madde 18: AB dışı üreticiler için yetkili temsilci atanması
• Madde 69(2): Önceki ürünler için kurallar

CRA Yetkili Temsilci Seçerken Dikkat Edilmesi Gerekenler

AB dışı üreticiler için doğru CRA yetkili temsilcisinin seçilmesi kritik önemdedir. Temsilci, AB’de güvenlik açığı bildirimleriniz ve yasal temas noktasıdır. Dikkat edilmesi gereken ana faktörler:

• Fiyat şeffaflığı: Sadece birkaç sağlayıcı doğrulanmış fiyat yayımlar. REP27 — Europe Services, SE açıkça yıllık 490 € (yenileme 440 €), kadano 999 €, Euverify ise £590 fiyat listeler. Diğerleri teklif üzerine fiyat verir.
• Hizmet kapsamı: Ücrete nelerin dahil olduğunu doğrulayın. Madde 18 yetkisi minimumdur, ancak bazıları izleme, kanıt saklama veya kendi kendine değerlendirme dokümanları sunar (bkz. CRAguard, ProvenVEX, SECURiMENT).
• Dışlamalar: Hiçbir sağlayıcı uygunluk değerlendirmesi, güvenlik testi veya SBOM üretimini yetki ücretine dahil etmez. Bunlar ayrı mühendislik veya onaylanmış kuruluş maliyetleridir.
• Sertifika ve doğrulama: QR kod ve halka açık doğrulama sayfası sunan sağlayıcı tercih edin (REP27 örneği).
• Yenileme koşulları: İlk faturayı ödemeden önce yenileme fiyatının yazılı olarak belirtilmiş olmasına dikkat edin. Sessiz veya belirsiz yenilemeler yaygın sorundur.
• Yanıt süreci: Yetkili kurum taleplerinin nasıl, hangi dillerde ve hangi saatlerde karşılandığını sorun. 7/24 personelli masa, 24 saat bildirim süresini karşılamak için gereklidir.

Aşağıda, yayımlanan bilgilere göre her sağlayıcının dahil ettikleri ve dışladıkları karşılaştırılmıştır:

Her zaman tüm dahil olanlar, dışlananlar ve yenileme koşullarını yazılı sözleşmede talep edin.

Fiyatın Gerçekte Kapsadığı Hizmetler

Yayımlanan fiyatın neleri kapsadığı ve kapsamadığını anlamak, bütçe ve uyum planlaması için çok önemlidir. Madde 18 yetki ücreti genellikle sadece yasal atama ve AB’de bildirim masası işletimini içerir. Pratikte anlamı:

• Yetki ve bildirim masası: Temsilci, güvenlik açığı bildirimi için resmi temas noktasıdır. REP27, 7/24 personelli masa, CSIRT/ENISA kanal yönetimi ve QR kodlu doğrulanabilir sertifika sunar. Kadano ve Euverify benzer yetkiler sunar ancak ek özellikler belirtilmemiştir.
• Ek hizmetler: Bazı sağlayıcılar (CRAguard, ProvenVEX, SECURiMENT) bağımlılık izleme, kanıt saklama veya olay müdahale süreçleri gibi ek hizmetler sunar. Ancak fiyatları kamuya açık değildir ve ek maliyetler olabilir.
• Dahil olmayanlar: Hiçbir sağlayıcı uygunluk değerlendirmesi, güvenlik testi veya SBOM üretimini yetki ücretine dahil etmez. Bunlar genellikle onaylanmış kuruluşlar veya dahili mühendislik tarafından karşılanır.
• Yenileme fiyatı: Sadece REP27 yenileme fiyatını (yıllık 440 €) yayınlamaktadır, bu ilk yıl ücretinden düşüktür. Kadano ve Euverify yenileme koşullarını açıklamamaktadır.

Sağlayıcıları karşılaştırırken, fiyata nelerin dahil olduğunu ve hangi hizmetlerin ek ücretlendirmeye tabi olduğunu mutlaka detaylı sorun. Bazı sağlayıcılar GDPR Madde 27 veya NIS2 temsilciliğini paket halinde sunabilir (REP27: CRA+GDPR 690 €/yıl, CRA+GDPR+NIS2 990 €/yıl).

Özet tablo:

Gizli Maliyetler ve Dışlamalar

Yetkili temsilci ücreti genellikle CRA uyumundaki en küçük kalem olsa da, gizli maliyetler ve dışlamalar önemli olabilir:

• Dahili mühendislik zamanı: Kendi kendine değerlendirme, dokümantasyon ve SBOM hazırlama zorunludur ancak temsilci ücretine dahil değildir. Bu işler için teknik kaynak ayrılmalıdır.
• Destek süresi: CRA, çoğu ürün için en az 5 yıl güvenlik güncellemesi gerektirir. Bu sürekli bir ürün hattı maliyetidir, tek seferlik proje değil.
• Uygunluk değerlendirmesi: Önemli sınıf II veya kritik ürünlerde onaylanmış kuruluş değerlendirmesi gerekir. Binlerce euro ve aylar sürebilir. Temsilci bu maliyeti karşılamaz.
• Olay tespiti: Temsilci sistemlerinizi izleyip güvenlik açığı tespiti yapmaz. Güvenlik ekibiniz tespit ve ön incelemeden sorumludur.
• Olay başına veya talep başına ücretler: REP27 ek ücret olmadığını belirtse de, diğer sağlayıcılar ek hizmet veya olay yönetimi için ücret talep edebilir. Yazılı olarak netleştirin.
• Sorumluluk sınırları: Sağlayıcılar genellikle sorumluluklarını yetki kapsamıyla sınırlar. İç hatalar nedeniyle kaçırılan bildirimlerden sorumlu değildirler.
• Bildirim süreleri ve yenileme koşulları: Sessiz veya belirsiz yenilemeler beklenmedik maliyet veya kesintilere yol açabilir. REP27 yenileme fiyatlarını ve koşullarını yayımlar, diğerleri yayımlamayabilir.

Sağlayıcıların genellikle söylemediği şeyler:

• Yetki, güvenlik açığı tespiti, yamalama veya kullanıcı bilgilendirmeyi kapsamaz — bunlar sizin sorumluluğunuzdadır.
• Yetkili kurumların dokümantasyon talepleri, eksik veya hazırlıksız ekibiniz nedeniyle gecikebilir.
• Yetki kapsamı Madde 18(3) ile açıkça sınırlı değilse, temsilci değiştirmek karmaşık olabilir.

Her zaman dışlamalar listesini talep edin ve tüm koşulları yazılı olarak onaylayın.

Atama Süreci: Adım Adım

CRA yetkili temsilci atama süreci yapılandırılmıştır. İşleyişi ve önerilen adımlar:

1. Durumunuzu belirleyin: AB pazarına dijital bileşenli ürün sunan üretici misiniz? Evetse devam edin. Sadece ithalatçı veya dağıtıcıysanız, ürün kendi adınıza mı piyasaya sürülüyor kontrol edin.
2. Kuruluşunuzu kontrol edin: AB’de yasal varlığınız yoksa yetkili temsilci atamalısınız. AB’de yan kuruluşunuz üretici olarak hareket ediyorsa doğrudan bildirim yaparsınız.
3. Sağlayıcı seçin: Yayımlanan fiyatlar, kapsam ve şeffaflığa göre karşılaştırma yapın. REP27, kadano ve Euverify fiyat yayınlar; diğerleri teklif verir.
4. Yazılı yetki sözleşmesi imzalayın: Sağlayıcı (örneğin REP27) imzalı atama mektubu verir, genellikle eIDAS elektronik imza ve doğrulanabilir sertifika ile. Yetkinin Madde 18(3) ile sınırlı olduğundan emin olun.
5. Uyum dokümanlarınızı güncelleyin: Temsilci bilgilerini teknik dosyalarınıza, çalışma kitabınıza ve CRA gerektirdiği ürün dokümantasyonuna ekleyin.
6. Bildirim sürecini kurun: ENISA platformuna erişimi olan en az iki bildirimci belirleyin. Erken uyarı ve bildirim şablonlarını önceden hazırlayın.
7. Tetikleyicileri ve iç süreci tanımlayın: Aktif sömürülen güvenlik açığı veya ağır olay farkındalığının ne zaman başladığını belgeleyin. Kim bildirim yapabilir, hangi kanıtlar gereklidir (örn. sömürü gözlemi, güvenilir müşteri raporu) karar verin.
8. Kayıt tutma: Farkındalık, bildirim ve güncellemelerin zaman damgalarını saklayın. Bu, sürenin doğru tutulduğunu kanıtlar.
9. Sürekli hazırlık: Ekibinizi eğitin, bildirim sürecinizi test edin ve çalışma kitabınızı düzenli gözden geçirin.

Bu süreç, 24 saatlik bildirim süresine uyumu ve uyum boşluklarını önlemeyi sağlar.

Riskler ve Para Cezaları

CRA’ya uyumsuzluk finansal ve operasyonel olarak ciddi riskler taşır:

• Para cezaları: Uyumsuzluk, 15 milyon € veya yıllık küresel cironun %2,5’i kadar idari para cezasına yol açabilir. Bu, bildirim süresi kaçırma, temsilci atamama veya yetersiz olay müdahalesi için geçerlidir (kaynak).
• Operasyonel riskler: Bildirim gecikmeleri yasal soruşturma, ürün geri çağırma veya pazara erişim yasağına neden olabilir. Geçerli AB temsilcisi gösteremeyen firmaların tedarik ve dağıtımı engellenebilir.
• İtibar kaybı: Kullanıcıları veya yetkilileri zamanında bilgilendirmemek olumsuz haber ve müşteri güveni kaybına yol açar.
• İçsel aksama: Bildirim süreci net değilse, olay sırasında değerli zaman kaybı yaşanır, risk ve maliyet artar.

Yanlış gidebilecek örnekler:

• Olayın ilk saatlerini doğru CSIRT veya bildirim yolunu bulmaya harcayarak zaman kaybetmek.
• Dokümantasyon taleplerinin farklı zaman dilimindeki ofise ulaşması nedeniyle gecikmeler.
• Varsayılan olarak dağıtıcının bildirim kanalı sayılması ve olay yönetiminde kontrol kaybı yaşanması.
• Belirsiz yenileme koşulları nedeniyle yetki kapsamının sessizce sona ermesi.

Bu riskleri şeffaf, hızlı yanıt veren temsilci atayarak ve sağlam iç süreçler kurarak azaltabilirsiniz.

Karar Matrisi: CRA Temsilcisine İhtiyacınız Var mı?

Aşağıdaki matris, iş modeliniz ve konumunuza göre CRA yetkili temsilcisine ihtiyacınız olup olmadığını belirlemenize yardımcı olur:

Durumunuzu ve yükümlülüklerinizi temsilci atamadan önce mutlaka doğrulayın.

Kontrol Listesi: CRA 24 Saat Bildirim Uyum Adımları

1. Ürününüzün CRA kapsamına girip girmediğini belirleyin (dijital bileşen, AB pazarı).
2. Üretici olup olmadığınızı doğrulayın (sadece ithalatçı/dağıtıcı değilseniz).
3. AB dışındaysanız, CRA yetkili temsilcisi atayın ve yazılı yetki alın.
4. Temsilci bilgilerini teknik dosya ve uyum kayıtlarınıza ekleyin.
5. Güvenlik açığı bildirimleri için 7/24 alım kanalı kurun (dahili veya temsilci aracılığıyla).
6. ENISA platformuna erişimi olan en az iki bildirimci belirleyin.
7. Hızlı bildirim için erken uyarı ve bildirim şablonlarını önceden hazırlayın.
8. Hangi durumların bildirim tetiklediğini ve 24 saat içinde nasıl yanıt verileceğini personelinize öğretin.
9. "Farkına varma" için gereken kanıtları tanımlayın ve belgeleyin.
10. Uyum kanıtı için tüm ilgili zaman damgalarını kaydedin.
11. Çalışma kitabınızı ve bildirim sürecinizi düzenli olarak gözden geçirin ve güncelleyin.

Bu kontrol listesi, en yaygın uyum hatalarını önlemenize yardımcı olur.

Gerçekçi Senaryolar: Hangi Yükümlülük Geçerli?

• ABD merkezli SaaS şirketi AB’ye satış yapıyor: AB dışı üretici olarak CRA yetkili temsilcisi (örneğin REP27) atamalısınız. 7/24 alım kanalı kurun, en az iki personel ENISA platformundan bildirim yapabilmeli. Erken uyarı şablonları hazırlayın ve aktif sömürü tespiti sürecinizi belgeleyin.
• Çinli Amazon satıcısı (kendi markası): Kendi markalı dijital ürün üretiyor ve AB’ye satıyorsanız CRA temsilcisi gerekir. Sadece üçüncü taraf markaları satıyorsanız gerekmez. Temsilci atayın, uyum dosyalarınızı güncelleyin ve 24 saat bildirim için hazırlanın.
• İngiltere online mağazası, kendi IoT cihazı: AB tüketicisine doğrudan satış yapıyorsanız üreticisiniz ve CRA temsilcisi atamalısınız. Sadece İngiltere içi satış yapıyorsanız CRA uygulanmaz. AB’de kendi adına ürünü piyasaya süren distribütör varsa sorumluluk onlara geçer.

Her durumda, en basit uyum yolu şeffaf, sabit fiyatlı temsilci atamak, bildirim sürecini belgelemek ve ekibi kanun yürürlüğe girmeden önce eğitmektir.