01Dört kategori
Dijital unsurlu ürünlerin büyük çoğunluğu varsayılan kategoridedir. Ek III'teki ürünler önemli (Sınıf I ya da Sınıf II), Ek IV'teki ürünler kritik sayılır. Sınıf, ürünün temel işlevine göre belirlenir: önemli sınıftaki bir bileşeni (ör. güvenlik işlevli bir mikrodenetleyici) içermek, tek başına ürünü o sınıfa sokmaz (Madde 7).
| Kategori | Örnekler | Dayanak |
|---|---|---|
| Varsayılan | Ek III ve IV'te sayılmayan ürünler; ör. birçok sensör, ev aleti, endüstriyel cihaz yazılımı | Madde 32 |
| Önemli, Sınıf I | Kimlik ve erişim yönetimi, tarayıcılar, parola yöneticileri, VPN, işletim sistemleri, router, modem ve switch, güvenlik işlevli mikroişlemci ve mikrodenetleyiciler, güvenlik işlevli akıllı ev ürünleri (akıllı kilit, güvenlik kamerası, bebek monitörü, alarm), internete bağlı oyuncaklar, sağlık izleyen giyilebilirler | Madde 7, Ek III Sınıf I |
| Önemli, Sınıf II | Hipervizörler ve konteyner çalışma ortamları, güvenlik duvarları, saldırı tespit ve önleme sistemleri, kurcalamaya dayanıklı mikroişlemci ve mikrodenetleyiciler | Madde 7, Ek III Sınıf II |
| Kritik | Güvenlik kutulu donanım cihazları (HSM gibi), akıllı sayaç ağ geçitleri, akıllı kartlar ve secure element'ler | Madde 8, Ek IV |
Ek III'teki kategorilerin teknik tanımları Komisyonun uygulama tüzüğüyle ayrıntılandırılır (Madde 7). Sınıflandırma yaparken bu tanımları ve ürününüzün temel işlevini birlikte değerlendirin.
02Hangi uygunluk değerlendirmesi yolu?
Madde 32, her kategori için izin verilen yolları belirler. Modüller Ek VIII'de tanımlıdır:
- Modül A (iç üretim kontrolü): Üretici uygunluğu kendisi değerlendirir ve beyan eder.
- Modül B + C (AB tip incelemesi ve tipe uygunluk): Onaylanmış kuruluş ürün tipini inceler; üretici üretimin bu tipe uygunluğunu sağlar.
- Modül H (tam kalite güvencesi): Onaylanmış kuruluş, üreticinin kalite sistemini onaylar ve denetler.
| Kategori | İzin verilen yollar |
|---|---|
| Varsayılan | Modül A (ya da isteğe bağlı B + C veya H) |
| Sınıf I | Uyumlaştırılmış standartlar, ortak spesifikasyonlar ya da en az "önemli" (substantial) güvence düzeyinde Avrupa siber güvenlik sertifikası tam olarak uygulandıysa Modül A; aksi halde B + C ya da H |
| Sınıf II | Modül B + C, Modül H ya da varsa en az "önemli" düzeyde Avrupa siber güvenlik sertifikası |
| Kritik | Bir yetki devri tüzüğüyle zorunlu tutulmuşsa Avrupa siber güvenlik sertifikası; tutulmamışsa Sınıf II'deki yollar |
Teknik dokümantasyonunu kamuya açık hale getiren ücretsiz ve açık kaynak yazılımlar, Sınıf I ve II'de de Modül A'yı kullanabilir (Madde 32).
Onaylanmış kuruluşlara ilişkin hükümler 11 Haziran 2026'dan beri uygulanıyor. Sınıf I ürünlerde uyumlaştırılmış CRA standartları yayımlanana kadar onaylanmış kuruluş gerekebileceğini planlamanıza dahil edin.
03CE işaretine giden adımlar
- Kapsam ve sınıf: Ürünün dijital unsurlu ürün olup olmadığını, sektörel bir istisnaya girip girmediğini ve kategorisini belirleyin (kapsam).
- Siber güvenlik risk değerlendirmesi: Ek I'deki gereksinimlerin ürününüze nasıl uygulandığını gösteren belgelenmiş değerlendirme (Madde 13).
- Ek I gereksinimlerini karşılayın: Ürün özellikleri (Bölüm I) ve zafiyet yönetimi süreçleri (Bölüm II); SBOM dahil.
- Destek süresini belirleyin: Beklenen kullanım süresini yansıtan, genellikle en az beş yıllık süre; satın alma anında açıkça belirtilir (Madde 13).
- Uygunluk değerlendirmesi: Kategorinize göre Modül A, B + C ya da H.
- Teknik dokümantasyon (Ek VII) ve AB uygunluk beyanı (Madde 28, Ek V): 10 yıl ya da destek süresi boyunca, hangisi uzunsa, saklanır (Madde 13).
- CE işaretini iliştirin (Madde 30) ve Ek II'deki kullanıcı bilgilerini ürünle birlikte verin.
04Sık sorulanlar
Ürünüm güvenlik işlevli bir mikrodenetleyici içeriyor, Sınıf I mi oldum?
Tek başına hayır. Sınıf, ürünün temel işlevine göre belirlenir. Önemli sınıftaki bir bileşeni içermek ürünü o sınıfa sokmaz (Madde 7).
Varsayılan kategorideki bir ürün için onaylanmış kuruluş gerekir mi?
Hayır. Modül A ile iç üretim kontrolü yeterlidir. Temel gereksinimlerin tamamını karşılamak ve teknik dosyayı hazırlamak yine üreticinin sorumluluğundadır.
Sınıf I ürünüm için uyumlaştırılmış standart henüz yoksa ne olur?
Modül A kullanılamaz; Modül B + C ya da H ile onaylanmış kuruluş sürece dahil olur.
Teknik dokümantasyonu ne kadar saklamalıyım?
Ürün piyasaya arz edildikten sonra 10 yıl ya da destek süresi boyunca; hangisi daha uzunsa.
Kaynaklar
İlgili rehberler
- CRA Madde 14: zafiyet ve olay bildirimiNe zaman, kime, hangi sürede bildirim yapılır? 24 saat, 72 saat ve nihai rapor; ücretsiz süre hesaplayıcı.
- EN 18031 ve RED: CRA ile ilişkisiTelsiz ekipmanında 1 Ağustos 2025'ten beri geçerli siber güvenlik şartları ve CRA'ya geçiş.
- CRA hazırlık rehberiAB pazarına ürün satan her üretici için roller, takvim, AB dışı üreticilere özel noktalar ve adım adım kontrol listesi.
- CRA rehberi: genel bakışKapsam, takvim, Ek I temel gereksinimleri, ürün sınıfları, bildirimler ve cezalar tek sayfada.
Bu süreci ürününüz üzerinde konuşalım
Firmware'inizin SBOM'unu çıkarmak, zafiyetleri önceliklendirmek ve Madde 14 sürelerini takip etmek için kurumsal pilot programımızı inceleyin.