EU CRA: güncel durum ve takvim

01Bugün ne geçerli?

27 Ekim 2026 itibarıyla CRA'nın iki bölümü uygulanıyor: uygunluk değerlendirme kuruluşlarının bildirimine ilişkin hükümler (11 Haziran 2026'dan beri) ve Madde 14 bildirim yükümlülükleri (11 Eylül 2026'dan beri). Üreticiler aktif istismar edilen zafiyetleri ve ciddi olayları ENISA'nın Tek Raporlama Platformu üzerinden bildiriyor. CRA kapsamında atfı yayımlanmış bir uyumlaştırılmış standart yok ve NANDO'da CRA için bildirilmiş bir onaylanmış kuruluş görünmüyor. Temel gereksinimler, uygunluk değerlendirmesi ve CE işareti dahil diğer bütün hükümler 11 Aralık 2027'de uygulanmaya başlıyor.

02Takvim

Tarihler Yönetmeliğin Madde 71'inden alındı (EUR-Lex). Açık kaynak yazılım yöneticilerinin bildirim yükümlülüğü (Madde 24(3)) de 11 Aralık 2027'de başlıyor (ENISA).

03Uyumlaştırılmış standartlar

• Komisyon, CRA için standardizasyon talebi M/606'yı C(2025) 618 sayılı kararla kabul etti. Talep yatay ve ürüne özgü (dikey) olmak üzere 41 standart içeriyor ve önceliği Ek III ve Ek IV'teki önemli ve kritik ürün kategorilerine veriyor (Komisyon, karar).
• CEN, CENELEC ve ETSI talebi 3 Nisan 2025'te kabul etti. Yatay standartlar CEN-CLC/JTC 13 ve diğer teknik komitelerde, ETSI'ye düşen çıktılar TC CYBER altındaki EUSR grubunda hazırlanıyor (CEN-CENELEC). Çalışma programı STAN4CR sitesinde.
• Komisyon'un uygulama takviminde ilk standardizasyon çıktıları 2026'nın üçüncü çeyreği, sonraki çıktılar 30 Ekim 2027 için gösteriliyor (Komisyon).
• Son kontrolde EUR-Lex'te CRA kapsamındaki bir uyumlaştırılmış standardın atfını yayımlayan Komisyon kararı yok (EUR-Lex araması). Bir standart, atfı Resmî Gazete'de yayımlanmadan uygunluk karinesi sağlamaz (Madde 27).

Sınıf I ürünlerde uyumlaştırılmış standart uygulanmazsa üçüncü taraf değerlendirmesi gerekiyor. Ayrıntılar için ürün sınıfları rehberi.

04Komisyon tüzükleri ve rehberleri

• Uygulama Tüzüğü (AB) 2025/2392 (28 Kasım 2025, Resmî Gazete 1 Aralık 2025): önemli ve kritik ürün kategorilerinin teknik tanımları (EUR-Lex).
• Yetki Devri Tüzüğü (AB) 2026/881 (11 Aralık 2025, Resmî Gazete 20 Nisan 2026): bildirimi ilk alan CSIRT'in, siber güvenlik gerekçesiyle bildirimi diğer CSIRT'lere iletmeyi erteleyebileceği koşullar (EUR-Lex).
• Komisyon rehberi C(2026) 5252 (27 Temmuz 2026): uzaktan veri işleme ve açık kaynak yazılımın kapsamı, önemli ölçüde değişiklik, destek süresi, bildirim ve risk değerlendirmesi. Bağlayıcı değil; Komisyon ayrıca bir SSS yayımlıyor (Komisyon).
• Planlanan: EUCC sertifikasyon şemasıyla CRA arasındaki uygunluk karinesini belirleyecek yetki devri tüzüğü, Komisyon takviminde 2026'nın dördüncü çeyreği için gösteriliyor (Komisyon).
• SBOM biçimi: Madde 13(24), Komisyon'a SBOM'un biçimini ve unsurlarını uygulama tüzüğüyle belirleme yetkisi veriyor. Komisyon'un uygulama takviminde bu konuda bir tüzük yer almıyor (Komisyon).

05ENISA Tek Raporlama Platformu (SRP)

• ENISA, platformun ilk işletim kapasitesini 11 Eylül 2026'da devreye aldı. Üreticiler Madde 14 bildirimlerini bu platformdan yapıyor (ENISA).
• Bildirimi ilk alan koordinatör CSIRT, bilgiyi ürünün bulunduğu diğer üye devletlerin CSIRT'lerine dağıtıyor; bildirim aynı anda ENISA'ya da açılıyor.
• ENISA işlevleri önümüzdeki aylarda genişleteceğini belirtiyor. SSS, kullanım kılavuzları, eğitim videoları, SRP sözlüğü ve bir yardım masası mevcut.

Süreler ve rapor içerikleri için Madde 14 rehberi.

06Onaylanmış kuruluşlar

• Bölüm IV 11 Haziran 2026'dan beri uygulanıyor; üye devletler bildirim makamlarını belirliyor (Komisyon).
• Komisyon takviminde, üye devletlerde yeterli sayıda uygunluk değerlendirme kuruluşunun bildirilmesi için 11 Aralık 2026 gösteriliyor.
• 27 Ekim 2026 itibarıyla NANDO'da Yönetmelik (AB) 2024/2847 kapsamında aktif bildirim yok (NANDO).

07İlgili mevzuat

• RED: Yetki Devri Tüzüğü (AB) 2026/339, telsiz ekipmanının siber güvenlik şartlarını devreye alan 2022/30'u 11 Aralık 2027'den itibaren yürürlükten kaldırıyor; o tarihe kadar RED şartları ve EN 18031 geçerli (EUR-Lex, EN 18031 rehberi).
• NIS2: CRA, bildirimleri alan koordinatör CSIRT'i NIS2 Direktifi (AB) 2022/2555 Madde 12(1) uyarınca atanan CSIRT olarak tanımlıyor; "olay" tanımı da NIS2'ye atıf yapıyor (CRA Madde 3) (EUR-Lex).

08Değişiklik günlüğü