AB Siber Dayanıklılık Yasası İçin Şirketlerin Bilmesi Gereken 3 Kritik Değişiklik

Avrupa Birliği’nin Siber Dayanıklılık Yasası (CRA), dijital bileşen içeren ürünlere yönelik yeni siber güvenlik yükümlülüklerini kademeli olarak yürürlüğe sokarak üreticilerin sorumluluklarını artırıyor. Yeni kurallar, aktif olarak istismar edilen güvenlik açıklarının ENISA’ya 24 saat içinde bildirilmesini, ürünlerin desteklenen yaşam döngüsü boyunca güvenlik değerlendirmelerinin sürdürülmesini ve eksikliklerde yüksek para cezalarının uygulanmasını öngörüyor. AB, donanım ve yazılım ürünlerindeki güvenlik açıklarına karşı daha hızlı müdahale edilmesini hedeflerken şirketlerin geliştirme, üretim ve bakım süreçlerini yeni düzenlemeye göre yeniden yapılandırması gerekiyor.

Siber Dayanıklılık Yasası Güvenlik Açığı Bildirimlerini Hızlandırıyor

CRA kapsamında üreticiler, aktif olarak istismar edilen güvenlik açıklarını Avrupa Birliği Siber Güvenlik Ajansı’na (ENISA) bildirmek zorunda olacak. Şirketlerin ilk bildirimi olaydan haberdar olduktan sonra 24 saat içinde yapması gerekirken bildirimde güvenlik açığının kötü niyetli bir saldırıyla ilişkili olup olmadığı gibi ilgili bilgilerin de bulunması gerekiyor.

Üreticilerin ilk bildirimin ardından 72 saat içinde daha kapsamlı bir rapor sunması gerekiyor. Bu raporun güvenlik açığının ilk önem değerlendirmesini, açığın türünü, uygulanan azaltma önlemlerini ve kullanıcıların alması önerilen aksiyonları içermesi bekleniyor.

Aktif olarak istismar edilen güvenlik açıkları için nihai ayrıntılı rapor 14 gün içinde hazırlanırken ciddi bir güvenlik olayı için son rapor süresi bir aya kadar uzanıyor. Bu takvim, şirketlerin güvenlik olayları sırasında ürünlerinin hangi bileşenlerden oluştuğunu hızlı biçimde tespit edebilmesini kritik hâle getiriyor.

Sonatype Field CTO’su Ilkka Turunen, şirketlerin yeni raporlama yükümlülüklerini yerine getirirken en büyük sorunlardan birinin gönderdikleri yazılımların gerçek bileşen yapısını bilmemek olabileceğini belirtti. Turunen’e göre ortalama bir yazılım tedarik zinciri 180’den fazla harici bileşen içeriyor.

Sonatype’ın 2025 verileri, güvenlik riski taşımasına rağmen güncellenmiş çözümü bulunan bileşenlerin yaklaşık 1,8 milyar kez indirildiğini gösteriyor. Yapay zekâ destekli yazılım geliştirme süreçlerinin yaygınlaşması, geliştiricilerin kullandığı bağımlılıkların ve bileşenlerin daha hızlı artmasına neden olurken şirketlerin görünmeyen yazılım envanterlerini yönetmesini de zorlaştırıyor.

Şirketlerin bir güvenlik açığı ortaya çıktığında hangi ürünlerin etkilenen bileşeni kullandığını, hangi sürümlerin risk altında olduğunu ve hangi müşterilerin bilgilendirilmesi gerektiğini hızlı biçimde belirlemesi gerekiyor. Bu bilgilerin olay sırasında manuel olarak yeniden oluşturulması, CRA’nın belirlediği kısa bildirim sürelerine uyulmasını ciddi biçimde zorlaştırabilir.

Siber Güvenlik Ürün Yaşam Döngüsünün Tamamına Yayılıyor

CRA, siber güvenlik sorumluluğunu ürün piyasaya çıktıktan sonraki dönemle sınırlamıyor. Şirketlerin güvenlik risklerini planlama, tasarım, geliştirme, üretim, teslimat ve bakım aşamalarının tamamında değerlendirmesi gerekiyor.

Üreticilerin gerçekleştirdiği güvenlik değerlendirmelerini belgelemesi ve ürünün desteklenen yaşam süresi boyunca güncel tutması gerekiyor. Bu yaklaşım, güvenliği yalnızca son test aşamasında kontrol edilen bir özellik olmaktan çıkararak ürün geliştirme sürecinin temel unsurlarından biri hâline getiriyor.

Yeni yükümlülükler Avrupa Birliği’nde sunulan dijital bileşen içeren ürünlerin tamamını kapsıyor. Düzenlemenin kapsamına hâlihazırda piyasada bulunan ürünlerin de girmesi, üreticilerin yalnızca yeni geliştirdikleri ürünleri değil mevcut ürün portföylerini de incelemesini gerektiriyor.

Wittenstein High Integrity Systems Genel Müdürü Andrew Longhurst, özellikle düzenlemeye tabi sektörlerde daha önce çalışmamış geliştiricilerin yeni kurallarla birlikte farklı bir çalışma modeline geçmek zorunda kalacağını belirtti. Sorunun önemli bir bölümü, daha büyük ürünlere entegre edilen donanım veya yazılım bileşenlerinin nihai kullanım alanı henüz bilinmeden tasarlanmasından kaynaklanıyor.

Geliştiricilerin bir bileşeni “bağlamdan bağımsız” biçimde tasarlarken güvenlik gereksinimlerini de bu belirsizlik içinde karşılaması gerekiyor. Üst tedarik zincirindeki bileşen üreticilerinden son ürünü geliştiren şirketlere kadar farklı aktörlerin güvenlik sorumluluklarını koordine etmesi, Avrupa pazarında faaliyet gösteren teknoloji üreticileri için yeni bir operasyonel gereklilik oluşturuyor.

Bu yaklaşım özellikle daha büyük sistemlere entegre edilen tekil bileşenlerin üreticilerini doğrudan etkileyebilir. Bir bileşenin son kullanıcı ortamı veya kullanım senaryosu baştan bilinmediğinde üreticilerin güvenlik risklerini daha geniş bir kullanım çerçevesi üzerinden değerlendirmesi gerekiyor.

CRA İhlallerinde Milyonlarca Euroluk Cezalar Uygulanıyor

Siber Dayanıklılık Yasası’na uyulmaması şirketler açısından ciddi finansal sonuçlar doğurabiliyor. Düzenleme kapsamında ihlaller için 15 milyon euroya kadar veya şirketin bir önceki mali yıldaki dünya genelindeki yıllık cirosunun yüzde 2,5’ine kadar para cezası uygulanabiliyor; iki tutardan yüksek olan esas alınıyor.

Ceza yapısı, büyük teknoloji şirketlerinin CRA kapsamındaki güvenlik yükümlülüklerini yalnızca teknik bir uyumluluk konusu olarak değerlendirmesini zorunlu kılıyor. Ürün güvenliğinin geliştirme süreçlerine erken aşamada dahil edilmemesi, güvenlik açığının yanında önemli bir finansal risk de oluşturabiliyor.

Alcatel-Lucent Enterprise Ürün Güvenliği Başkanı Vincent Lomba, yeni düzenlemelerin Avrupalı şirketleri güvenliği ürün tasarımının ilk aşamasından itibaren ele almaya yönelteceğini belirtti. Lomba, Avrupa’daki güvenlik uygulamalarının güçlenmesinin zaman içinde küresel teknoloji tedarikçileri üzerinde de baskı oluşturabileceğini ifade etti.

CRA’nın etkisi yalnızca AB sınırları içinde faaliyet gösteren üreticilerle sınırlı kalmayabilir. Avrupa pazarına ürün sunmak isteyen küresel teknoloji şirketleri, ürünlerini bölgedeki güvenlik ve raporlama şartlarına uyarlamak zorunda kaldıkça yeni gereklilikler uluslararası yazılım ve donanım tedarik zincirlerine de yayılabilir.

Türkiye’de Avrupa Birliği pazarına dijital bileşen içeren ürün sunan üreticiler ve yazılım tedarikçileri açısından da bu değişiklikler önem taşıyor. Özellikle üçüncü taraf bileşenlerin takibi, güvenlik açığı bildirim süreçleri ve ürün yaşam döngüsü boyunca tutulan güvenlik kayıtları, AB pazarına yönelik ürünlerin uyumluluk çalışmalarında daha fazla önem kazanacak.