01CRA nedir?
Siber Dayanıklılık Yasası (Cyber Resilience Act, CRA), AB pazarına sunulan ve yazılım ya da donanım içeren bağlantılı ürünler için ortak siber güvenlik kuralları koyan (AB) 2024/2847 sayılı Yönetmeliktir. Üreticiden ürünü güvenli tasarlamasını, destek süresi boyunca zafiyetleri gidermesini ve aktif istismar edilen zafiyetleri 24 saat içinde bildirmesini ister. Bildirim yükümlülüğü 11 Eylül 2026'dan beri uygulanıyor; tüm gereksinimler 11 Aralık 2027'de zorunlu hale geliyor.
Uygulamadaki son gelişmeler (standartlar, Komisyon tüzükleri, ENISA platformu, onaylanmış kuruluşlar) için EU CRA güncel durum sayfasına bakın.
Kısaca CRA
- Kimi kapsar: Dijital unsurlu ürünleri AB pazarına sunan üreticileri; ithalatçı ve distribütörlerin de kontrol yükümlülükleri var. Kendi alanınız için sektör sayfalarımıza bakın.
- Ne ister: Ek I'deki güvenlik gereksinimleri, SBOM dahil zafiyet yönetimi, ürün ömrü daha kısa değilse en az 5 yıllık destek süresi, teknik dokümantasyon ve CE işareti.
- Nasıl kanıtlanır: Ürün sınıfına göre üreticinin iç kontrolü ya da onaylanmış kuruluş değerlendirmesiyle. Olası sınıfınızı sınıf testiyle görün.
- Ne zaman: Madde 14 bildirimleri 11 Eylül 2026'dan beri, tüm hükümler 11 Aralık 2027'den itibaren.
- Yaptırım: 15 milyon € ya da küresel yıllık cironun %2,5'ine kadar idari para cezası.
02Takvim
- 10 Aralık 2024Yönetmelik yürürlüğe girdi20 Kasım 2024'te AB Resmî Gazetesi'nde yayımlandı, 20 gün sonra yürürlüğe girdi.
- 11 Haziran 2026Onaylanmış kuruluşlarUygunluk değerlendirme kuruluşlarının bildirimine ilişkin hükümler uygulanmaya başladı.
- 11 Eylül 2026Madde 14 bildirimleriAktif istismar edilen zafiyetleri ve ciddi olayları bildirme yükümlülüğü başladı.
- 11 Aralık 2027Tam uygulamaTemel gereksinimler ve uygunluk değerlendirmesi dahil tüm hükümler uygulanır.
03Kimler kapsamda
Doğrudan ya da dolaylı olarak bir cihaza veya ağa bağlanabilen, yazılım veya donanım içeren her ürün "dijital unsurlu ürün" sayılıyor. Akıllı ev cihazları, endüstriyel kontrolörler, ağ ekipmanları, giyilebilir cihazlar ve bunlarla birlikte satılan yazılımlar bu tanıma giriyor.
Yükümlülüklerin büyük kısmı üreticide. İthalatçılar ve distribütörler, üreticinin yükümlülüklerini yerine getirdiğini kontrol etmekle sorumlu. Ürünü kendi adıyla satan ya da ürünü önemli ölçüde değiştiren ithalatçı veya distribütör üretici sayılıyor.
Sektöre göre örnekler ve sık görülen sınıflar: ağ ve telekom cihazları, akıllı ev ve beyaz eşya, endüstriyel otomasyon ve elektronik.
Kapsam dışı olanlar
- Kendi sektör mevzuatı olan ürünler: tıbbi cihazlar, tip onaylı motorlu araçlar ((AB) 2019/2144), sivil havacılık ve denizcilik ekipmanı
- Yalnızca ulusal güvenlik veya savunma amacıyla geliştirilen ürünler
- Ticari faaliyet dışında geliştirilen açık kaynak yazılımlar
- Aynı ürünün yedek parçası olarak üretilen bileşenler
04Temel gereksinimler (Ek I)
Ek I iki bölümden oluşuyor. Birinci bölüm ürünün kendisiyle, ikinci bölüm üreticinin zafiyetleri nasıl yönettiğiyle ilgili.
Bölüm I: Ürün özellikleri
- Bilinen istismar edilebilir zafiyet olmadan piyasaya sunulmak
- Varsayılan olarak güvenli yapılandırma ve fabrika ayarlarına dönme imkânı
- Güvenlik güncellemelerinin, mümkünse otomatik olarak uygulanabilmesi
- Yetkisiz erişime karşı kimlik doğrulama ve erişim kontrolü
- Saklanan ve iletilen verilerin gizliliği ve bütünlüğü
- Saldırı yüzeyinin ve gereksiz verinin en aza indirilmesi
- Güvenlikle ilgili olayların kaydedilmesi ve izlenebilmesi
- Temel işlevlerin erişilebilirliği ve hizmet engelleme (DoS) saldırılarına dayanıklılık
- Diğer cihaz ve ağların sunduğu hizmetlere olumsuz etkinin en aza indirilmesi
- Bir olayın etkisini azaltan istismar azaltma mekanizmaları
- Verilerin ve ayarların güvenli şekilde silinmesi ve başka bir ürüne güvenli aktarımı
Bölüm II: Zafiyet işleme
- Üründeki bileşenlerin, en azından üst seviye bağımlılıkların, makinece okunabilir bir SBOM ile belgelenmesi
- Zafiyetlerin gecikmeden, güvenlik güncellemeleriyle giderilmesi
- Ürünün düzenli olarak test edilmesi
- Giderilen zafiyetlerin kamuya duyurulması
- Koordineli zafiyet ifşa politikası ve bir iletişim adresi
- Güncellemelerin güvenli şekilde dağıtılması ve güvenlik yamalarının ücretsiz sunulması
05Ürün sınıfları ve uygunluk değerlendirmesi
Ürünün hangi sınıfta olduğu, uygunluğu kendiniz mi beyan edeceğinizi yoksa bağımsız bir kuruluşa mı değerlendirteceğinizi belirliyor.
Ürününüzün olası sınıfını birkaç soruluk sınıf testiyle görebilir, ayrıntılar için ürün sınıfları rehberini okuyabilirsiniz.
| Sınıf | Örnekler | Uygunluk değerlendirmesi |
|---|---|---|
| Varsayılan | Ek III ve IV'te sayılmayan ürünler, dijital unsurlu ürünlerin büyük çoğunluğu | Üreticinin iç kontrolü (Modül A) |
| Önemli, Sınıf I (Ek III) | Güvenlik fonksiyonlu mikrodenetleyici ve mikroişlemciler, router ve modemler, akıllı kilit, güvenlik kamerası, alarm sistemleri, VPN, parola yöneticileri | Uyumlaştırılmış standart uygulanırsa iç kontrol, uygulanmazsa üçüncü taraf değerlendirmesi |
| Önemli, Sınıf II (Ek III) | Hipervizörler, güvenlik duvarları, saldırı tespit sistemleri, kurcalamaya dayanıklı mikroişlemci ve mikrodenetleyiciler | Onaylanmış kuruluş tarafından üçüncü taraf değerlendirmesi |
| Kritik (Ek IV) | Güvenlik kutulu donanım cihazları, akıllı sayaç ağ geçitleri, akıllı kartlar ve güvenli elemanlar | Avrupa siber güvenlik sertifikası (gerekli görüldüğünde) ya da Sınıf II ile aynı yol |
06Madde 14: Bildirim süreleri
Üretici, ürünündeki aktif olarak istismar edilen bir zafiyeti ya da ürünün güvenliğini etkileyen ciddi bir olayı fark ettiğinde ENISA'nın tek raporlama platformu üzerinden yetkili CSIRT'e bildirim yapmak zorunda. Bu yükümlülük 11 Eylül 2026'dan beri uygulanıyor ve o tarihten önce piyasaya sunulmuş ürünleri de kapsıyor.
| Aşama | Aktif istismar edilen zafiyet | Ciddi olay |
|---|---|---|
| Erken uyarı | Fark edildikten sonra 24 saat içinde | Fark edildikten sonra 24 saat içinde |
| Bildirim | 72 saat içinde | 72 saat içinde |
| Nihai rapor | Düzeltici önlem yayımlandıktan sonra en geç 14 gün içinde | Bildirimden sonra 1 ay içinde |
Üreticinin ayrıca etkilenen kullanıcıları bilgilendirmesi ve gerekiyorsa alınabilecek önlemleri paylaşması gerekiyor.
07Destek süresi ve dokümantasyon
- Destek süresi: Ürünün beklenen kullanım ömrünü yansıtmalı ve ömür daha kısa değilse en az 5 yıl olmalı. Bu süre boyunca güvenlik güncellemeleri sağlanmalı.
- Teknik dokümantasyon: Risk değerlendirmesi, SBOM ve test sonuçları dahil. Piyasaya sunulduktan sonra 10 yıl ya da destek süresi boyunca, hangisi daha uzunsa saklanmalı.
- AB uygunluk beyanı ve CE işareti: Uygunluk değerlendirmesinden sonra hazırlanır, ürün CE işaretiyle piyasaya sunulur.
08Yaptırımlar (Madde 64)
| İhlal | Üst sınır |
|---|---|
| Ek I temel gereksinimleri, Madde 13 ve 14 yükümlülükleri | 15 milyon € ya da küresel yıllık cironun %2,5'i |
| Diğer yükümlülükler | 10 milyon € ya da %2 |
| Yetkililere yanlış, eksik veya yanıltıcı bilgi verilmesi | 5 milyon € ya da %1 |
Her durumda iki tutardan yüksek olanı uygulanıyor. Piyasa gözetim otoriteleri uygun olmayan ürünün piyasadan çekilmesini de isteyebiliyor.
09TegmenSoft'ta karşılıkları
Platformumuzun hangi modülünün hangi yükümlülüğe hizmet ettiğini aşağıda eşleştirdik.
Bu modülleri kendi firmware'inizle denemek için pilot programımıza bakın.
| Yükümlülük | Modül |
|---|---|
| Ek I Bölüm II(1): SBOM | Dinamik SBOM Motoru (CycloneDX 1.6, SPDX 2.3) |
| Ek I Bölüm II(2-3): giderme ve test | OSV ve NVD ile eşleştirme, CISA KEV ve EPSS ile önceliklendirme, VEX (CSAF 2.0, OpenVEX) |
| Madde 13(8): destek süresi boyunca izleme | Yeni zafiyet verisi geldikçe eski SBOM'ların yeniden kontrolü |
| Madde 14: 24/72 saat ve nihai rapor | CRA Raporlama Asistanı: süre takibi ve rapor taslakları |
| Ek I Bölüm I ve II(7-8): güvenli güncelleme dağıtımı | Güvenli OTA Yöneticisi: imzalı yayın, A/B bölüm, sürüm düşürme koruması |
| Madde 31 ve Ek VII: teknik dokümantasyon | Ek VII taslağı, AB uygunluk beyanı taslağı, 10 yıl ya da destek süresi (hangisi uzunsa) saklanan imzalı kanıt paketleri |
10Sık sorulan sorular
CRA nedir?
CRA (Siber Dayanıklılık Yasası), AB pazarına sunulan ve yazılım ya da donanım içeren bağlantılı ürünler için ortak siber güvenlik kuralları koyan (AB) 2024/2847 sayılı Yönetmeliktir. Üreticiden güvenli tasarım, destek süresi boyunca zafiyetlerin giderilmesi ve aktif istismar edilen zafiyetlerin 24 saat içinde bildirilmesini ister. Bildirimler 11 Eylül 2026'dan beri zorunlu; tüm gereksinimler 11 Aralık 2027'de uygulanmaya başlıyor.
CRA ne zaman yürürlüğe girdi, ne zaman uygulanıyor?
Yönetmelik 10 Aralık 2024'te yürürlüğe girdi. Madde 14 bildirim yükümlülüğü 11 Eylül 2026'dan beri uygulanıyor. Temel gereksinimler ve uygunluk değerlendirmesi dahil tüm hükümler 11 Aralık 2027'de uygulanmaya başlıyor.
CRA cezaları ne kadar?
Ek I temel gereksinimlerine ve Madde 13 ile 14'e uymamak için 15 milyon € ya da küresel yıllık cironun %2,5'i; diğer yükümlülükler için 10 milyon € ya da %2; yetkililere yanlış bilgi vermek için 5 milyon € ya da %1. Her durumda yüksek olan tutar uygulanır. Bu hükümler Madde 64'te yer alıyor.
Bazı kaynaklarda geçen "CRA Madde 35" cezalar mı?
Hayır. Yürürlükteki metinde, (AB) 2024/2847'de Madde 35 uygunluk değerlendirme kuruluşlarının bildirimiyle ilgili. Cezalar Madde 64'te düzenleniyor; tutarlar yukarıdaki gibi.
CRA konusunda çalışan şirketler hangileri?
Uyum çalışması genellikle hukuk danışmanları, test ve sertifikasyon kuruluşları ve teknik araç sağlayıcılarıyla birlikte yürütülür. TegmenSoft teknik tarafta, gömülü ve IoT cihaz üreticileri için SBOM, zafiyet eşleştirme, Madde 14 bildirim taslakları ve imzalı OTA güncellemeleri sağlar.
EN 18031 ile CRA arasındaki fark nedir?
EN 18031 serisi, Telsiz Ekipmanları Direktifi'nin (RED) siber güvenlik gereksinimleri için hazırlanmış standartlardır ve kablosuz ürünlerde 1 Ağustos 2025'ten beri uygulanıyor. CRA ayrı bir yönetmeliktir; onun için uyumlaştırılmış standartlar CEN, CENELEC ve ETSI tarafından hazırlanıyor.
Ürünüm AB'de satılmıyorsa CRA beni ilgilendirir mi?
CRA, AB pazarına sunulan ürünlere uygulanır. Ürününüz AB'de bir distribütör ya da ithalatçı üzerinden satılıyorsa üretici olarak yükümlülükler size düşer.
Rehberler
- CRA Madde 14: zafiyet ve olay bildirimiNe zaman, kime, hangi sürede bildirim yapılır? 24 saat, 72 saat ve nihai rapor; ücretsiz süre hesaplayıcı.
- CRA ürün sınıfları, uygunluk değerlendirmesi ve CE işaretiVarsayılan, önemli (Sınıf I ve II) ve kritik ürünler; hangi modül, ne zaman onaylanmış kuruluş gerekir.
- EN 18031 ve RED: CRA ile ilişkisiTelsiz ekipmanında 1 Ağustos 2025'ten beri geçerli siber güvenlik şartları ve CRA'ya geçiş.
- CRA hazırlık rehberiAB pazarına ürün satan her üretici için roller, takvim, AB dışı üreticilere özel noktalar ve adım adım kontrol listesi.
- SBOM nedir? Firmware ekipleri için rehberSBOM'da ne olur, SPDX ve CycloneDX, firmware'de SBOM neden zor, CRA ve BSI TR-03183-2 ne ister, VEX ile ilişkisi.
- IEC 62443 ve CRA: eşleme ve boşluklarIEC 62443-4-1 ve 4-2'nin CRA Ek I'deki karşılıkları, eksik kalan yükümlülükler, CENELEC'teki değişiklikler ve sertifikanın yeri.
- ENISA SRP: ilk bildirimden önceEU Login ve temsilciler, koordinatör CSIRT seçimi, platform sayaçları, gönderilen bildirimin kapatılması ve kısa bir kontrol listesi.
- EU CRA: güncel durum ve takvimTakvim, uyumlaştırılmış standartlar, Komisyon tüzükleri, ENISA SRP ve onaylanmış kuruluşlar; her ay resmî kaynaklardan kontrol edilir.
Ürününüz hangi sınıfta?
Birkaç soruyla ürününüzün olası sınıfını ve uygunluk değerlendirme yolunu görün; kesin değerlendirme için ürününüz üzerinden birlikte bakabiliriz.