AB’ye dijital ürün satan şirketler için siber güvenlikte yeni dönem

Avrupa Birliği’ne yazılım, bağlantılı cihaz veya dijital bileşen satan işletmeler için siber güvenlik takviminde önemli bir eşik geride kaldı. Siber Dayanıklılık Yasası’nın (Cyber Resilience Act, CRA) üreticilere yönelik bildirim yükümlülükleri 11 Eylül 2026’da uygulanmaya başladı. Bu gelişme, güvenlik olaylarını yalnızca teknik ekibin çözmesi gereken sorunlar olarak ele alan şirketlerin iş süreçlerini yeniden düşünmesini gerektiriyor.

ENISA’nın 11 Eylül tarihli duyurusuna göre üreticiler, ürünlerindeki aktif olarak istismar edilen güvenlik açıklarını ve ürün güvenliğini etkileyen ciddi olayları bildirmek zorunda. Düzenlemenin temel siber güvenlik gerekliliklerinin uygulama tarihi ise 11 Aralık 2027. Dolayısıyla bütün hazırlıkları gelecek yıla bırakmak, bugün başlayan bildirim sorumluluğunu gözden kaçırmak anlamına gelebilir.

Türkiye’deki şirketleri neden ilgilendiriyor?

CRA’nın odağında, AB pazarında sunulan dijital unsurlar içeren ürünler bulunuyor. Avrupa Komisyonunun kapsam açıklaması, donanım ve yazılımın yanı sıra ayrı olarak piyasaya sunulan bileşenleri de kapsıyor. Ürünün öngörülen kullanımının bir cihaza veya ağa doğrudan ya da dolaylı veri bağlantısı içermesi, değerlendirmedeki temel ölçütlerden biri.

Bu çerçeveden çıkan pratik sonuç şu: Türkiye’de yerleşik olmak, AB pazarına sunulan bir ürünün kapsamını değerlendirmenin yerine geçmiyor. Kendi markasıyla yazılım geliştiren, bağlantılı endüstriyel ekipman üreten veya dijital bileşen ihraç eden işletmelerin ürün bazında inceleme yapması gerekiyor. Ancak her internet sitesi, çevrim içi hizmet veya şirket otomatik olarak aynı yükümlülüklerin muhatabı kabul edilmemeli. İstisnalar, ürünün niteliği ve işletmenin tedarik zincirindeki rolü önem taşıyor.

24 ve 72 saatlik iki kritik aşama

Bildirim takviminin başlangıcı, üreticinin ilgili durumdan haberdar olduğu an. İlk aşamada 24 saat içinde erken uyarı, ardından 72 saat içinde daha kapsamlı bildirim gerekiyor. İrlanda Ulusal Siber Güvenlik Merkezinin 11 Eylül’de güncellediği rehber, ilk bildirimin derin teknik analizin tamamlanmasını beklememesi gerektiğini özellikle vurguluyor.

Nihai rapor için olay türüne göre farklı süreler bulunuyor. Aktif olarak istismar edilen açıklarda süre, düzeltici veya hafifletici önlemin kullanıma sunulmasından itibaren en geç 14 gün. Ciddi olaylarda ise 72 saatlik bildirimin ardından bir ay içinde nihai rapor gerekiyor. Bu nedenle tek bir “olay kapatma tarihi” belirlemek yerine, bildirim aşamalarını ayrı ayrı izlemek daha sağlıklı bir yaklaşım.

Burada her tarama bulgusunu aynı seviyede değerlendirmemek de önemli. Bir üründe açık tespit edilmesi ile o açığın kötü niyetli kişiler tarafından aktif olarak kullanıldığına dair güvenilir kanıt bulunması farklı durumlar. Teknik ekibin bu ayrımı yapabilmesi, hukuk ve uyum sorumlularının da kararın dayanağını görebilmesi gerekiyor.

Bildirim için ortak platform devrede

ENISA, Tek Bildirim Platformu’nun ilk işletim kapasitesini 11 Eylül’de devreye aldı. Platform, bildirimin bir kez yapılmasını ve ilgili ulusal bilgisayar güvenliği olaylarına müdahale ekipleriyle ENISA’ya ulaştırılmasını sağlıyor. Kurum, işlevlerin operasyonel deneyim ve kullanıcı ihtiyaçları doğrultusunda geliştirileceğini de belirtiyor.

İşletmeler açısından platformun açılması, hazırlığın tamamlandığı anlamına gelmiyor. Asıl soru, bir olay çıktığında kimin bildirim yapacağı ve gerekli bilgileri nereden toplayacağı. Teknik sorumluya ulaşılamaması, ürün sürümlerinin belirsiz olması veya onayın yalnızca tek bir yöneticide toplanması, kısa süreli bildirim takviminde darboğaza dönüşebilir.

Şirket içinde bugün hazırlanabilecek beş adım

Aşağıdaki adımlar, resmi yükümlülüklerin ötesinde, işletmelerin kendi hazırlığını değerlendirmesi için önerilen bir çalışma planı:

1. Ürün envanterini çıkarın. AB’de hangi ürünlerin, hangi sürümlerin ve hangi marka altında sunulduğunu listeleyin. Kullanılan üçüncü taraf bileşenlerini bu envanterle ilişkilendirin. Böylece bir güvenlik duyurusu geldiğinde etkilenen ürünleri bulmak kolaylaşır.
2. Karar verecek kişileri belirleyin. Güvenlik, ürün geliştirme, hukuk ve yönetim ekiplerinin rollerini yazılı hale getirin. Mesai dışı ulaşılabilecek kişileri ve yedeklerini belirlemek, kararın tek bir kişiye bağlı kalmasını önler.
3. İlk bildirim şablonunu hazırlayın. Olayın öğrenilme zamanı, etkilenen sürümler, bilinen riskler ve geçici önlemler için ortak bir kayıt düzeni oluşturun. Henüz doğrulanmamış bilgileri kesinleşmiş bulgulardan ayırın.
4. Tedarikçi iletişimini netleştirin. Dışarıdan alınan bileşenlerdeki güvenlik sorunlarının size hangi kanaldan ulaşacağını belirleyin. Kritik bir sağlayıcıdan bildirim almak ile bu bilginin doğru ürün ekibine ulaşması arasındaki süreci ayrıca kontrol edin.
5. Masa başı tatbikat yapın. Örnek bir olay üzerinden ilk 24 saatte hangi bilgilerin toplanabildiğini deneyin. Amaç kusursuz bir sunum hazırlamak değil, eksik iletişim bilgilerini ve yavaş onay adımlarını olay yaşanmadan görmek olmalı.

2027 hazırlığını bugünkü süreçle birleştirmek

Komisyonun 27 Temmuz 2026’da yayımladığı uygulama rehberi; kapsam, önemli değişiklik, destek süreleri, risk değerlendirmesi ve bildirim gibi konuları açıklıyor. Küçük işletmelere yönelik örnekler de içeren bu rehber, ürün ekipleriyle uyum sorumlularının ortak değerlendirmesi için başlangıç noktası olabilir.

Bir başka kritik ayrıntı da eski ürünler. Komisyonun açıklamasına göre bildirim yükümlülükleri, 11 Aralık 2027’den önce AB pazarına sunulmuş kapsamdaki ürünlere de uzanıyor. Bu nedenle hazırlık yalnızca yeni ürün yol haritasıyla sınırlı tutulmamalı; kullanımda olan sürümler ve geçmiş satışlar da envantere dahil edilmeli.

İş dünyası açısından asıl kazanım, siber güvenliği satış sonrasında hatırlanan bir görev olmaktan çıkarıp ürün yönetiminin düzenli parçası haline getirmek. Şimdi kurulacak açık sorumluluklar, güncel envanter ve denenmiş iletişim akışı, hem bugünkü bildirim sürecini hem de 2027 hazırlığını destekleyebilir. Bu yazı genel bilgilendirme niteliğindedir; belirli bir ürünün kapsamı ve yükümlülükleri için teknik ve hukuki değerlendirme yapılmalıdır.