AB Siber Dayanıklılık Yasası (CRA): raporlama yükümlülüğü 11 Eylül'de başlıyor

Siber Dayanıklılık Yasası, (AB) 2024/2847 sayılı tüzük olarak 10 Aralık 2024'te yürürlüğe girdi. Ancak yürürlüğe girmek ile yükümlülüklerin uygulanmaya başlaması aynı şey değil: tüzük kademeli bir takvim kuruyor ve üreticinin karşısına önce raporlama, sonra ürün gereklilikleri çıkıyor.

İlk uygulanan parça 11 Eylül 2026'da başlayan raporlama yükümlülüğüdür. Tüzüğün geri kalanı — temel siber güvenlik gereklilikleri, uygunluk değerlendirmesi, teknik dosya ve CE işaretlemesi — 11 Aralık 2027'de tam olarak uygulanır.

Bu iki tarih arasındaki on beş ay bir bekleme süresi değil, hazırlık süresidir. Raporlama yükümlülüğü zaten işleyen bir zafiyet yönetimi süreci varsaydığı için, pratikte 2026'da kurulması gereken altyapı 2027'de istenecek dokümantasyonun da temelini oluşturur.

Kapsam ürün kategorisiyle değil ürünün niteliğiyle tanımlanıyor: "dijital unsur taşıyan ürün" ifadesi, doğrudan veya dolaylı olarak bir cihaza ya da ağa veri bağlantısı kurabilen donanım ve yazılım ürünlerini kapsıyor. Tüketici ürünü olması gerekmiyor; endüstriyel ekipman, bileşen ve tek başına satılan yazılım da girebiliyor.

Tüzük ürünleri risk düzeyine göre sınıflandırıyor ve sınıf yükseldikçe uygunluk değerlendirmesinde üçüncü tarafın rolü artıyor. Bu yüzden ilk yapılacak iş, ürünün hangi sınıfa düştüğünü belirlemektir — sınıf, sonraki bütün kararları (öz beyan mı, onaylanmış kuruluş mu) belirliyor.

Kapsam dışı kaldığını varsaymak riskli: bulut bağlantısı olmayan ama bir mobil uygulamayla eşleşen bir cihaz da dijital unsur taşır. Sınır durumlarda kararın gerekçesiyle birlikte yazılı olarak kayda geçirilmesi, sonraki denetimde en çok işe yarayan belge oluyor.

11 Eylül 2026'dan itibaren üreticiler, aktif olarak sömürülen zafiyetleri ve ürünün güvenliğini etkileyen ciddi olayları bildirmekle yükümlü. Bildirim ENISA'nın tek raporlama platformu üzerinden, ilgili ulusal CSIRT'e ve ENISA'ya birlikte yapılıyor.

Bildirim tek bir form doldurmakla bitmiyor: erken uyarı, ardından daha ayrıntılı bildirim ve süreç kapandığında nihai rapor şeklinde aşamalı işliyor. Bu, olayın ilk saatlerinde kimin hangi bilgiyi toplayacağının önceden belirlenmiş olmasını gerektiriyor.

Pratik sonuç şu: raporlama bir uyum maddesi değil, bir operasyon. Nöbet düzeni, iletişim kanalı, karar verici ve kayıt şablonu hazır değilse süre içinde bildirim yapılamıyor.

Tüzük, temel siber güvenlik gerekliliklerine ve raporlama maddelerine aykırılık için idari para cezaları öngörüyor; üst sınır 15 milyon avro ya da dünya genelindeki yıllık cirosunun yüzde 2,5'i olarak tanımlanmış — hangisi yüksekse o uygulanıyor.

Ceza riski kadar önemli olan bir başka sonuç piyasa erişimi: uygunluk gösterilemeyen ürün AB pazarına arz edilemiyor ve piyasa gözetim otoritesi geri çağırma dahil önlem alabiliyor.

Ürün envanterini çıkarıp hangi ürünün dijital unsur taşıdığını ve hangi sınıfa düştüğünü belirlemek, takvimin tamamını planlanabilir hâle getiren tek adımdır. Envanter yoksa geri kalan her iş tahmine dayanıyor.

İkinci adım destek süresinin ilan edilmesi ve güncelleme politikasının yazılı hâle getirilmesidir. Bunlar 2027 gerekliliklerinin parçası ama ticari kararlar içerdiği için en uzun süren işler.

Üçüncüsü zafiyet bildirim kanalının kurulması: hem dışarıdan gelen bildirimi alacak bir adres, hem içeride o bildirimi değerlendirecek bir akış. 2026 raporlaması bu akış olmadan yürümüyor.