Avrupa Birliği, Aktif Olarak İstismar Edilen Açıklıkların Bildirimini Zorunlu Hale Getirdi
Avrupa Birliği, dijital ürünlerde aktif olarak istismar edilen güvenlik açıklarının hızlı biçimde bildirilmesini zorunlu tutan yeni kuralları 11 Eylül 2026 itibarıyla uygulamaya aldı. Siber Dayanıklılık Yasası kapsamında üreticiler, ürünlerini etkileyen aktif saldırılar ile ciddi güvenlik olaylarını belirlenen süreler içinde bildirmek zorunda olacak. Yeni sistem, Avrupa pazarına ürün sunan AB dışındaki şirketleri de kapsarken düzenlemenin diğer ana yükümlülükleri 11 Aralık 2027’de devreye girecek.
Güvenlik Açıkları İçin 24 Saatlik Bildirim Süresi Başladı
Bir üretici, ürünündeki bir güvenlik açığının aktif biçimde istismar edildiğini öğrendiğinde ilk bildirimi 24 saat içinde yapmak zorunda olacak. Üreticinin 72 saat içinde daha kapsamlı bir bildirim göndermesi gerekecek. Düzeltici önlemin hazır hale gelmesinden sonra ise aktif olarak kullanılan açıklıklar için nihai rapor en geç 14 gün içinde sunulacak.
Avrupa Komisyonu, bildirimlerin CRA Tek Bildirim Platformu üzerinden yapılacağını açıkladı. ENISA tarafından işletilecek platform, bildirimi üreticinin ana kuruluşunun bulunduğu ülkedeki Bilgisayar Güvenliği Olaylarına Müdahale Ekibine (CSIRT) ulaştırırken ilgili bilgilerin diğer yetkili ekiplerle paylaşılmasını da sağlayacak.
Ciddi güvenlik olaylarında üreticilerin uygulayacağı takvim büyük ölçüde aynı kalacak ancak son aşamanın süresi değişecek. Böyle bir olay için nihai raporun 72 saatlik bildirimin ardından bir ay içinde hazırlanması gerekecek.
Düzenlemenin önemli taraflarından biri, raporlama yükümlülüğünün yalnızca yeni piyasaya sürülecek ürünlerle sınırlı olmaması olacak. Avrupa Komisyonu, 11 Eylül 2026’dan itibaren raporlama kurallarının Birlik pazarında satışa sunulmuş dijital unsurlara sahip ürünler için de geçerli olduğunu belirtiyor.
Bir akıllı ev cihazı, yazılım ürünü veya internete bağlı başka bir teknoloji daha önce satışa çıkmış olsa bile üreticisinin güvenlik açıklarını takip etmesi gerekecek. Böylece üreticilerin ürün yaşam döngüsü boyunca güvenlik açıklarını ele alması, destek süresi boyunca güncelleme süreçlerini işletmesi bekleniyor.
Kuralların kapsamı yalnızca donanım üreticileriyle sınırlı değil. Avrupa pazarına dijital unsurlara sahip ürün sunan AB dışındaki şirketler de CRA kapsamındaki yükümlülüklerle karşılaşacak. Bu nedenle Avrupa’ya ürün ihraç eden teknoloji şirketleri için siber güvenlik süreçleri doğrudan pazar erişimiyle bağlantılı hale geliyor.
Siber Dayanıklılık Yasası 10 Aralık 2024’te yürürlüğe girdi ancak düzenlemenin bütün hükümleri aynı anda uygulanmıyor. Avrupa Komisyonu, uygunluk değerlendirme kuruluşlarına ilişkin bazı hükümlerin 11 Haziran 2026’da başladığını, aktif güvenlik açıkları ile ciddi olayların bildirilmesine ilişkin kuralların ise 11 Eylül 2026’da yürürlüğe girdiğini belirtiyor.
Ürünlerin CRA kapsamındaki temel yükümlülüklere tam olarak uyum sağlaması için son tarih 11 Aralık 2027 olacak. Şirketler bu aşamada ürünlerinin teknik gerekliliklere uygunluğunu göstermek, gerekli teknik belgeleri hazırlamak ve ilgili ürünlerde CE işaretleme süreçlerini tamamlamak zorunda kalacak.
Yeni takvim, şirketlere iki yıllık bir hazırlık dönemi bırakırken güvenlik açığı bildirimi konusunda daha erken bir sorumluluk getiriyor. Böylece Avrupa Birliği, ürünlerin mevzuata tam uyum tarihini beklemeden aktif saldırılara ilişkin bilgi akışını hızlandırmayı amaçlıyor.
ENISA, CRA kapsamında oluşturulan Tek Bildirim Platformunun kurulmasından sorumlu olacak. Üreticiler aynı bildirimi farklı ülkelerdeki kurumlara ayrı ayrı göndermek yerine merkezi platform üzerinden iletecek. İlk bildirimi alan ulusal CSIRT ise ürünün sunulduğu diğer üye ülkelerdeki ilgili CSIRT’lere gerekli bilgileri aktaracak.
Avrupa Komisyonu, 27 Temmuz 2026’da şirketlerin yeni kurallara hazırlanmasına yardımcı olmak amacıyla uygulama rehberini yayımladı. Rehber, ürünlerin kapsamı, destek süreleri, önemli değişiklikler, risk değerlendirmesi ile raporlama yükümlülükleri konusunda şirketlere pratik açıklamalar sunuyor.
Mikro işletmeler ile KOBİ’ler için de rehberde özel açıklamalar bulunuyor. Avrupa Komisyonu, özellikle daha küçük şirketlerin uyum sürecindeki idari yükünü azaltmak amacıyla pratik örnekler ve kullanım senaryoları hazırladı.
Avrupa Birliği’nin yeni yaklaşımı, güvenlik açığının keşfedilmesi ile üreticinin harekete geçmesi arasındaki süreyi doğrudan düzenliyor. 24 saatlik erken uyarı şartı, şirketlerin olay müdahale ekiplerini yalnızca teknik sorunlara çözüm üretmek için değil düzenleyici bildirimleri zamanında hazırlamak için de konumlandırmasını gerektirecek.
Türkiye’deki teknoloji şirketleri açısından düzenleme özellikle Avrupa Birliği pazarına donanım, yazılım veya bağlantılı ürün sunan işletmeleri ilgilendiriyor. Üreticiler, güvenlik açığı yönetimi, olay müdahalesi, yazılım güncellemeleri, teknik dokümantasyon ile ürün destek sürelerini Avrupa’daki yeni yükümlülüklerle uyumlu hale getirmek zorunda kalacak.
CRA’nın tam olarak uygulanacağı Aralık 2027 yaklaşırken şirketlerin yalnızca ürün geliştirme aşamasına değil satış sonrası döneme de güvenlik süreçleri eklemesi gerekecek. Avrupa Komisyonu’nun yayımladığı rehber ile ENISA’nın bildirim altyapısı, firmaların yeni sisteme hazırlanması için temel araçları oluştururken önümüzdeki dönemde uyum maliyetleri ile ürünlerin Avrupa pazarına çıkış süreçleri üzerindeki etkiler daha görünür hale gelecek.
