AB 2024/2847 (CRA) · Madde 14 bildirim yükümlülüğü 11 Eylül 2026'dan beri yürürlükte
Bağlantılı ürünler için siber dayanıklılık
Gömülü cihazlarınızın yazılım envanterini, zafiyetlerini ve güncellemelerini tek yerden yönetin. CRA'nın sizden istediği kayıtlar bu iş akışının içinde oluşur.
Plakaların üzerine gelin ya da dokunun.
Ürün güvenliğini dört modülde ele alıyoruz
Modüller tek başına da kullanılabiliyor. Birlikte çalıştıklarında birinin çıktısı diğerinin girdisi oluyor: SBOM'daki bir bileşen, sahadaki bir olay ve gönderilen yama aynı kayıtta birleşiyor.
01 · Keşif
Dinamik SBOM Motoru
Firmware imajlarını (SquashFS, uImage/sysupgrade, disk imajları, ESP32 (ESP-IDF) uygulama imajları ve tam flash dökümleri, arşivler) açar ve içindeki bileşenleri tanır. Açılamayan bir katman ya da tanınamayan bir bileşen olursa SBOM "eksik" olarak işaretlenir ve nedeni yazılır.
- Firmware imajı ve paket manifesti analizi
- CycloneDX 1.6 ve SPDX 2.3 çıktısı
- OSV ve NVD ile eşleştirme, CISA KEV ve EPSS ile önceliklendirme
- CSAF 2.0 ve OpenVEX formatında VEX; son kararı analistiniz verir
02 · Önceliklendirme
Saha Telemetrisi ve Erken Uyarı
Cihazlar imzalı telemetri gönderir ve kendi güvenlik olaylarını bildirir. Zafiyetler, bilinen istismar listesinde olup olmadıklarına (CISA KEV) ve istismar olasılığına (EPSS) göre sıralanır; acil olanlar öne çıkar.
- Her cihazın kendi anahtarıyla imzalanan telemetri
- Cihazın bildirdiği güvenlik olayları: kurcalama ve bellek bozulması
- Kritik cihaz olayları otomatik olarak bir değerlendirme kaydı açar; bildirime tabi olup olmadığına ekibiniz karar verir
- CISA KEV ve EPSS ile zafiyet sıralaması
03 · Raporlama
CRA Raporlama Asistanı
Yasal süreler, üreticinin aktif istismar edilen bir zafiyetin ya da ciddi bir olayın farkına vardığı andan başlar. Platform bu anı kaydeder; 24 saat, 72 saat ve nihai rapor sürelerini buna göre hesaplar, süre dolmadan uyarır ve her raporun içeriğini taslak olarak hazırlar. Gönderimi ENISA Tek Raporlama Platformu'nda siz yaparsınız, gönderim kayda geçer.
- 24 saat, 72 saat ve nihai rapor için süre takibi ve uyarılar
- Erken uyarı, bildirim, nihai rapor ve kullanıcı bilgilendirmesi (Madde 14(8)) taslakları
- Etkilenen ürünler ve firmware sürümleri kayıtlardan gelir
- Yalnızca ekleme yapılabilen denetim izi
04 · İyileştirme
Güvenli OTA Yöneticisi
Güncellemeyi yalnızca şirketinize ait bir anahtarla imzalar. Cihaz kurmadan önce imzayı, imaj hash'ini ve sürüm düşürme korumasını (anti-rollback) kontrol eder; güncelleme boştaki A/B bölümüne yazılır.
- Cihazda ECDSA P-256 imza ve hash kontrolü
- A/B bölüm yapısı ve sürüm düşürme koruması
- Yalnızca CRA analizinden geçmiş firmware yayınlanabilir
- Her yayın ve cihaz sonucu denetim izinde
Odaklandığımız sektörler
Ağ cihazlarından beyaz eşyaya, endüstriyel otomasyondan sayaçlara: AB'ye bağlantılı ürün satan üreticiler için CRA'nın ne anlama geldiğini sektör sektör anlatıyoruz.
Bir zafiyetin sistemdeki yolu
Yeni bir CVE yayımlandığında sırasıyla şunlar olur.
Eşleşme
CVE, SBOM'daki bileşenle eşleşir. Hangi ürünlerde ve firmware sürümlerinde bulunduğu ortaya çıkar. Yeni zafiyet verisi geldikçe eski SBOM'lar yeniden kontrol edilir.
Önceliklendirme
CVE, CISA'nın bilinen istismar edilen zafiyetler kataloğu (KEV) ve EPSS ile kontrol edilir. İstismar edildiği bilinenler listenin en üstüne çıkar.
Bildirim
Yasal süre, aktif istismarın farkına vardığınız anda başlar. Platform bu anı kaydeder, süreleri buna göre hesaplar ve rapor taslaklarını hazırlar. Ekibiniz kontrol eder ve ENISA portalından gönderir.
Yama
Düzeltilmiş sürüm imzalanır ve cihazlara sunulur. Her cihaz imzayı ve sürümü doğrular, sonucu bildirir. Her adım denetim izine yazılır.
Güvenlik üç katmanda
Kaplumbağa kabuğunun altında kemik, üstünde keratin plakalar vardır. Mimarimizi de donanımdan buluta aynı şekilde katman katman kurduk.
Takvim ilerliyor
Yönetmelik, AB pazarına dijital unsurlu ürün sunan üreticilerin büyük çoğunluğunu kapsıyor. Bildirim yükümlülüğü başladı. Temel gereksinimlerin tamamı 11 Aralık 2027'de zorunlu hale geliyor.
24 saat
Aktif istismar edilen bir zafiyette erken uyarı süresi
10 yıl
Teknik dokümantasyonun saklanması gereken asgari süre
15 milyon €
ya da küresel cironun %2,5'i. Temel gereksinimlere uymamanın ceza üst sınırı
SBOM tarayıcı
Lock dosyanızı ya da Yocto manifestinizi bırakın, bileşen listesini ve bilinen zafiyetleri görün. Dosya tarayıcınızın içinde okunur. Dışarıya yalnızca paket adı ve sürüm gider.
Desteklenen dosyalar
- Gömülü
- Yocto *.manifest, Yocto license.manifest, Buildroot manifest.csv
- JavaScript
- package-lock.json, package.json, yarn.lock, pnpm-lock.yaml
- Python
- requirements.txt, Pipfile.lock, poetry.lock
- Java, Rust, Go, PHP
- pom.xml, Cargo.lock, go.mod, composer.lock
- Mevcut SBOM
- CycloneDX JSON (bom.json, *.cdx.json), SPDX 2.x JSON (manifest.spdx.json, *.spdx.json)
Sık sorulanlar
Hayır. Dosyalar tarayıcınızda bir Web Worker içinde ayrıştırılır. Zafiyet kontrolünü açık bırakırsanız yalnızca paket adı, sürüm ve ekosistem bilgisi OSV.dev'e sorulur. Dosyanın kendisi bilgisayarınızdan çıkmaz.
Yeterli değil. SBOM, Ek I'deki zafiyet işleme gereksinimlerinin bir parçası. CRA ayrıca zafiyetlerin giderilmesini, aktif istismarların bildirilmesini, güvenli güncelleme dağıtımını ve teknik dokümantasyonun saklanmasını istiyor.
11 Eylül 2026'da. Aktif olarak istismar edilen bir zafiyeti fark ettiğinizde 24 saat içinde erken uyarı, 72 saat içinde bildirim yapmanız gerekiyor. Nihai rapor, düzeltme yayımlandıktan sonra en geç 14 gün içinde gönderilir.
Hayır. EN 18031 serisi, Telsiz Ekipmanları Direktifi (RED) kapsamındaki siber güvenlik gereksinimleri için hazırlandı. CRA için ayrı uyumlaştırılmış standartlar üzerinde çalışılıyor. Ayrıntılar: EN 18031 rehberi.
Gömülü donanım için tasarlandık. Yalnızca kaynak manifestlerini değil firmware imajının kendisini analiz ediyoruz. C SDK'mız mikrodenetleyicilerde çalışıyor. SBOM, Madde 14 bildirimi ve imzalı OTA güncellemeleri aynı kayıtta birleşiyor.
Dijital unsurlu ürünlerin çoğu varsayılan kategoride. Router, modem, akıllı kilit ve güvenlik kamerası gibi ürünler Sınıf I'de. Birkaç soruluk sınıf testimiz olası sınıfı gösterir; sektöre göre örnekler için sektör sayfalarımıza bakın.
Teknik bir görüşmeyle başlıyoruz, ardından seçtiğiniz bir firmware için ücretsiz CRA ön taraması yapıyoruz. Sonra kapsamı ve başarı ölçütleri baştan yazılı bir pilot planlıyoruz. Ayrıntılar için pilot programı.
Ürününüzü konuşalım
Ürününüzü ve cihazlarınızın nasıl bağlandığını kısaca anlatın. Mesajınızı ekibimizden bir mühendis okuyup size döner.
- E-posta
- info@tegmensoft.com.tr
- Adres
- Teknopol İstanbul
- linkedin.com/company/tegmensoft
Üyesi olduğumuz programlar
Altyapı
© 2026 NVIDIA, the NVIDIA logo, and NVIDIA Inception are trademarks and/or registered trademarks of NVIDIA Corporation in the U.S. and other countries.
Amazon Web Services, AWS ve Powered by AWS logosu Amazon.com, Inc. veya bağlı kuruluşlarının ticari markalarıdır. Claude ve Anthropic, Anthropic PBC'nin ticari markalarıdır. Program üyelikleri, ilgili şirketlerin TegmenSoft'u veya ürünlerini onayladığı anlamına gelmez.