CRA hazırlık rehberi: AB pazarına ürün satan üreticiler için

01Kim kapsamda?

Ürününüz doğrudan ya da dolaylı olarak bir cihaza veya ağa bağlanabiliyorsa ve AB pazarında satılıyorsa CRA'nın kapsamındasınız: akıllı ev ürünleri, endüstriyel kontrol cihazları, ağ ekipmanları, sensörler, giyilebilirler ve bunlarla satılan yazılımlar. Tıbbi cihazlar, motorlu araçlar, sivil havacılık ve denizcilik ekipmanı gibi kendi mevzuatı olan ürünler kapsam dışıdır (kapsam).

Belirleyici olan üreticinin yeri değil, ürünün AB pazarına arz edilmesidir. Almanya'daki, Türkiye'deki, Birleşik Krallık'taki, ABD'deki ya da Asya'daki bir üreticinin yükümlülükleri aynıdır.

Ürünü kendi adınızla ya da markanızla piyasaya sunuyorsanız üretici sizsiniz. Başka bir marka için fason (OEM/ODM) üretim yapıyorsanız ve ürün o markanın adıyla satılıyorsa, CRA'daki üretici çoğunlukla o markadır; ancak marka sizden SBOM, zafiyet düzeltmeleri ve güvenlik güncellemeleri isteyecektir.

02Üretici, ithalatçı ve dağıtıcının rolü

03AB dışındaki üreticiler için ek noktalar

• İthalatçınız sizi kontrol etmek zorunda. AB'deki ithalatçı CRA'ya uymayan ürünü piyasaya arz edemez; bu yüzden teknik dosya, uygunluk beyanı ve güvenlik güncellemesi taahhüdü istemeye başladı.
• Yetkili temsilci isteğe bağlı. CRA'da atanması zorunlu değildir (Madde 18), ancak işleri kolaylaştırabilir.
• Madde 14 bildirimleri sizin sorumluluğunuzda. AB'de ana iş yeriniz yoksa koordinatör CSIRT; yetkili temsilcinizin, ithalatçınızın ya da dağıtıcınızın bulunduğu üye devlete göre belirlenir (Madde 14). Bkz. Madde 14 rehberi.
• Kendi ülkenizdeki mevzuatı ayrıca izleyin. Örneğin Türkiye'nin CRA'yı kendi mevzuatına aktarıp aktarmayacağı bu rehberin yazıldığı tarihte netleşmiş değil. AB'ye satış için belirleyici olan AB kuralıdır.

04Takvim: ne zaten başladı, ne geliyor?

• 11 Eylül 2026'dan beri: Aktif istismar edilen zafiyetler ve ciddi olaylar için Madde 14 bildirimleri. AB'de satılan ürünleriniz için bugün geçerli.
• 11 Haziran 2026'dan beri: Onaylanmış kuruluşlara ilişkin hükümler.
• 11 Aralık 2027'den itibaren: Ek I temel gereksinimleri, uygunluk değerlendirmesi ve CE işareti dahil tüm yükümlülükler. Bu tarihten sonra arz edilen ürünler tamamen uyumlu olmalı.

05Adım adım hazırlık listesi

1. Ürün envanteri: AB'de satılan bağlantılı ürünlerinizi ve firmware sürümlerini listeleyin.
2. Kapsam ve sınıf: Her ürünün kategorisini belirleyin (ürün sınıfları).
3. SBOM: Her firmware sürümü için makinece okunabilir bir SBOM çıkarın (ücretsiz SBOM tarayıcı).
4. Zafiyet yönetimi: Bileşenleri yeni zafiyetlere karşı sürekli kontrol edin, istismar edilenleri önceliklendirin, düzeltmeleri ücretsiz dağıtın.
5. Koordineli açıklama politikası ve iletişim noktası: Zafiyet bildirimleri için tek bir iletişim adresi yayımlayın (Madde 13); security.txt bunun için iyi bir başlangıç.
6. Madde 14 süreci: Farkına varma anı, sorumlular, ENISA SRP erişimi ve rapor şablonları.
7. Güvenli güncelleme: İmzalı güncellemeler, geri alma (rollback) koruması, başarısız güncellemede güvenli dönüş.
8. Destek süresi: Ürün başına destek süresini belirleyin ve satış noktasında belirtin.
9. Teknik dosya ve uygunluk beyanı: Ek VII'deki içerik, risk değerlendirmesi dahil; 10 yıl ya da destek süresi boyunca saklayın.
10. Tedarik zinciri sözleşmeleri: Tedarikçileriniz, ithalatçılarınız ve dağıtıcılarınızla zafiyet bilgisinin nasıl akacağını ve kimin neyi saklayacağını yazılı hale getirin.

06Sık sorulanlar