CRA Madde 14: zafiyet ve olay bildirimi nasıl yapılır?

01Yükümlülük kimi, ne zamandan beri kapsıyor?

Madde 14, Yönetmeliğin diğer hükümlerinden önce, 11 Eylül 2026'da uygulanmaya başladı. Bildirim yükümlülüğü, bu tarihten önce piyasaya arz edilmiş ürünler dahil AB pazarındaki tüm dijital unsurlu ürünler için geçerli (Madde 69(3)).

Yükümlülük üreticiye aittir. Üretici AB dışında olsa bile ürün AB pazarına arz ediliyorsa bildirim yapması gerekir. AB dışı üreticilere özel noktalar için bkz. CRA hazırlık rehberi.

Bildirim iki durumda doğar:

• Aktif istismar edilen zafiyet: Üründe bulunan ve kötü niyetli bir aktörün izin almadan bir sistemde istismar ettiğine dair güvenilir kanıt bulunan zafiyet (Madde 3(42), Madde 14(1)).
• Ciddi olay: Ürünün güvenliğini etkileyen ve hassas ya da önemli verilerin veya işlevlerin kullanılabilirliğini, özgünlüğünü, bütünlüğünü ya da gizliliğini koruma yeteneğini olumsuz etkileyen veya etkileyebilecek olay; ya da ürüne veya kullanıcının sistemlerine kötü amaçlı kod yüklenmesine veya çalıştırılmasına yol açan olay (Madde 14(3) ve 14(5)).

Henüz istismar edilmemiş bir zafiyet Madde 14 kapsamında zorunlu bildirim gerektirmez; Madde 15'e göre gönüllü olarak bildirilebilir. Zafiyetin giderilmesi ise Ek I Bölüm II kapsamında her durumda zorunludur.

02Bildirim kime ve nasıl yapılır?

Bildirimler ENISA'nın Tek Raporlama Platformu (Single Reporting Platform, SRP) üzerinden yapılır. Platform, bildirimi aynı anda koordinatör olarak atanmış CSIRT'e ve ENISA'ya iletir (Madde 14(1), Madde 16).

Hangi ülkenin CSIRT'inin koordinatör olacağı üreticinin ana iş yerine göre belirlenir. AB'de ana iş yeri olmayan üreticiler için sırasıyla yetkili temsilcinin, ithalatçının, dağıtıcının bulunduğu üye devlet; bunlar da yoksa ürünün en çok kullanıcısının bulunduğu üye devlet esas alınır (Madde 14(7)).

ENISA, SRP'nin ilk sürümünde otomatik gönderim için API sunulmadığını belirtiyor. Raporlar portal üzerinden gönderiliyor; bu yüzden içeriği önceden hazır tutmak süreleri kaçırmamak için önemli.

03Süreler ve rapor içerikleri

Süreler, üreticinin zafiyetin aktif istismar edildiğinin ya da olayın farkına vardığı andan itibaren işler. Yönetmelik her adımın gecikmeksizin yapılmasını ister; aşağıdaki süreler üst sınırdır.

Aktif istismar edilen zafiyet (Madde 14(2))

Ciddi olay (Madde 14(4))

04Kullanıcıları bilgilendirme

Üretici, farkına vardıktan sonra etkilenen kullanıcıları ve gerektiğinde tüm kullanıcıları zafiyet ya da olay ve alabilecekleri önlemler hakkında bilgilendirir. Bu bilgi uygun olduğunda yapılandırılmış ve makinece okunabilir bir biçimde verilir (Madde 14(8)).

Kullanıcılar zamanında bilgilendirilmezse, bildirimin yapıldığı CSIRT bu bilgiyi kendisi paylaşabilir.

05Süreleri kaçırmamak için hazırlık listesi

1. Hangi ürünlerin hangi bileşenleri içerdiğini bilin. Güncel bir SBOM, bir CVE yayımlandığında hangi ürün ve firmware sürümlerinin etkilendiğini dakikalar içinde görmenizi sağlar.
2. İstismar sinyallerini izleyin. CISA'nın bilinen istismar edilen zafiyetler kataloğu (KEV) ve EPSS gibi kaynaklar, hangi zafiyetin aktif istismar edildiğini erken gösterir. Karar her durumda sizin ekibinizindir.
3. "Farkına varma" anını tanımlayın. Kimin karar verdiğini, bu anın nasıl kayda geçtiğini ve 24 saatlik sürenin ne zaman başladığını yazılı hale getirin.
4. Bildirim içeriklerini önceden şablonlayın. Ürün bilgileri, piyasada bulunduğu üye devletler ve iletişim bilgileri her bildirimde tekrar eder.
5. ENISA SRP hesabınızı ve sorumlularınızı belirleyin. Hafta sonu ve tatil vardiyalarını unutmayın.
6. Kullanıcı bilgilendirme kanalını hazırlayın. Güvenlik bülteni sayfası, e-posta listesi ya da CSAF formatında yayın.
7. Kayıt tutun. Hangi bilginin ne zaman öğrenildiğini ve gönderildiğini değiştirilemez biçimde saklayın; piyasa gözetim otoriteleri sorabilir.

Madde 14 yükümlülüklerine aykırılık için idari para cezası 15 milyon €'ya ya da dünya çapındaki yıllık cironun %2,5'ine kadar çıkabilir; hangisi yüksekse (Madde 64(2)). Ayrıntılar için CRA rehberi.

06Sık sorulanlar