ENISA Tek Raporlama Platformu: ilk bildirimden önce bilinmesi gerekenler

01Kısa cevap

• Bildirimler kişisel EU Login hesaplarıyla yapılır. Çok faktörlü doğrulama zorunludur, şirket hesabı yoktur.
• ENISA, SRP kaydını ve doğrulamayı bildirim gerektiğinde başlatmanızı istiyor. Doğrulama sürerken bildirim gönderilebilir.
• Koordinatör CSIRT'ü seçmek üreticinin sorumluluğudur. Yanlış seçim bildirimin geçersiz sayılmasına yol açabilir.
• Platform yalnız İngilizcedir ve ilk sürümünde API yoktur; bildirimler web arayüzünden girilir.
• Platform sayaçları bilgi amaçlıdır. Aktif istismar edilen zafiyetlerin nihai raporu için sayaç yoktur; bu süreyi üretici kendisi izler.
• Gönderilen bir bildirimi üretici geri alamaz; yalnız koordinatör CSIRT kapatabilir.

02Platform ne yapar?

SRP, CRA'nın Madde 16(1) hükmüyle ENISA'nın kurduğu ve işlettiği bildirim platformudur. Madde 14 yükümlülükleriyle aynı gün, 11 Eylül 2026'da çalışmaya başladı. Üretici aktif istismar edilen zafiyetleri ve ürünün güvenliğini etkileyen ciddi olayları burada bir kez bildirir; ulusal makamlara ayrı ayrı bildirim yapmaz.

Gönderilen bildirim aynı anda koordinatör CSIRT'e ve ENISA'ya ulaşır. Koordinatör CSIRT bildirimi ürünün piyasada bulunduğu diğer üye devletlerin CSIRT'lerine iletir ve gerektiğinde piyasa gözetim otoritelerini bilgilendirir (Madde 14(1), Madde 16). Kapsam, süreler ve rapor içerikleri için Madde 14 rehberine bakın.

Aynı zafiyet ya da olay için tek bildirim yeterlidir. Üreticinin AB'de birden fazla şubesi veya bağlı şirketi varsa ya da ana şirketi AB dışındaysa, bildirimi kimin yapacağını şirket içinde netleştirmek üreticinin işidir (ENISA SSS 8).

Platform geçici olarak erişilemezse üretici yeniden açılmasını bekler. Bu arada acil bir iletişim gerekiyorsa koordinatör CSIRT'e doğrudan ulaşılabilir; ancak bildirim, platform açıldığında SRP üzerinden yine yapılmalıdır (ENISA SSS 25).

Platform şu an yalnız zorunlu bildirimleri kabul ediyor. Madde 15 kapsamındaki gönüllü bildirimler sonraki bir aşamada eklenecek. Açık kaynak yazılım yöneticilerinin bildirim yükümlülüğü 11 Aralık 2027'de başlıyor (ENISA SSS 4 ve 27).

03Hesaplar ve temsilciler

Üretici adına bildirim yapan kişilere platformda atanmış temsilci (Assigned Representative, AR) deniyor. Her temsilci kendi EU Login hesabıyla giriş yapar. EU Login hesapları kişiseldir ve çok faktörlü doğrulama (MFA) zorunludur. SRP ayrıca bir şirket kimlik doğrulaması kullanmaz; ortak bir şirket hesabı açılamaz (ENISA SSS 9).

Bir üreticinin bir birincil ve en fazla 20 ikincil temsilcisi olabilir. Birincil temsilci kaydı başlatır, koordinatör CSIRT'ü seçer, üretici bilgilerini girer ve ikincil temsilcileri davet eder. Davet gönderebilmesi için kendi üretici ilişkisinin önce "Verified" (doğrulandı) olması gerekir. İkincil bir temsilci, CSIRT'in onayıyla birincil rolünü üstlenebilir.

Üreticiye bağlı tüm temsilciler gönderilmiş bildirimleri, kimin gönderdiğinden bağımsız olarak görür ve güncelleyebilir. Böylece 72 saat bildirimini ya da nihai raporu başka bir temsilci tamamlayabilir. Taslaklar ise yalnız oluşturan temsilcinin hesabında tutulur; diğer temsilciler göremez.

Temsilci ile üretici arasındaki ilişkiyi koordinatör CSIRT doğrular; yöntem ve süre CSIRT'e göre değişir. Doğrulama bildirimi engellemez: doğrulanmamış bir temsilci, doğrulama zorunlu hale gelmeden önce o üretici için 20 bildirime kadar gönderebilir.

ENISA, CSIRT'lerin iş yükünü sınırlamak için SRP kaydını ve doğrulamayı ancak bildirim gerektiğinde başlatmanızı istiyor. EU Login hesabı ise önceden açılabilir; hesap hazırsa SRP kaydı birkaç dakika sürüyor. Bu yüzden bildirimi yapacak kişileri belirleyip EU Login hesaplarını ve MFA'yı şimdiden hazırlamak yeterli.

04Doğru CSIRT'ü seçmek

Bildirimin hangi koordinatör CSIRT'e gideceğini üretici belirler ve gönderirken seçer. Yanlış CSIRT seçilirse bildirim geçersiz sayılabilir ve doğru CSIRT'e yeniden gönderilmesi gerekir (ENISA SSS 18). Yasal süreler farkına varma anından itibaren işlediği için bu seçimi ilk bildirimden önce yapmak gerekir.

Genel kural, üreticinin AB'deki ana iş yerinin bulunduğu üye devlettir. Ana iş yeri, ürünlerin siber güvenliğine ilişkin kararların ağırlıklı olarak alındığı yerdir. Bu belirlenemiyorsa AB'de en çok çalışanı olan iş yerinin bulunduğu üye devlet esas alınır (Madde 14(7)).

AB'de ana iş yeri olmayan üreticiler şu sırayla ilerler:

1. Yetkili temsilcinin üretici adına en çok ürün için hareket ettiği üye devlet.
2. Bu yoksa, ithalatçının üreticinin ürünlerini en çok piyasaya arz ettiği üye devlet.
3. Bu da yoksa, dağıtıcının üreticinin ürünlerini en çok piyasada bulundurduğu üye devlet.
4. Hiçbiri yoksa, üreticinin ürünlerinin en çok kullanıcısının bulunduğu üye devlet.

Formda koordinatör CSIRT'ün üye devleti otomatik gösterilir; ürünün piyasada bulunduğu diğer üye devletleri siz eklersiniz. ENISA koordinatör CSIRT'lerin listesini iletişim bilgileriyle yayımlıyor. AB dışından ihracat yapan bir üretici için bu sıralama, yetkili temsilci, ithalatçı ve dağıtıcı ilişkilerinden hangi üye devletin çıktığını önceden belgelemeyi gerektirir. AB dışı üreticilere özel diğer noktalar CRA hazırlık rehberinde.

05Sayaçlar ve yasal süreler

SRP, hatırlatma e-postaları göndermek ve bir raporun gecikmiş olabileceğini göstermek için sayaçlar kullanır. ENISA'ya göre bu sayaçlar yalnız görünürlük sağlar; farkına vardıktan sonra gecikmeksizin ve Madde 14'teki süreler içinde bildirim yapma sorumluluğu üreticidedir (ENISA SSS 26).

72 saat sayacı farkına varma anına değil, erken uyarının gönderildiği ana göre çalışıyor. Erken uyarı 24 saat içinde gönderildiyse sayacın gösterdiği an yasal sınırdan sonra olmaz; erken gönderilmiş bir uyarıda daha önce olur. Bu yüzden bir bildirim bazen 72 saat dolmadan "gecikmiş" görünebilir. ENISA bu hesabı ileride formdaki farkına varma tarih ve saatine göre yapacağını belirtiyor.

Asıl dikkat edilmesi gereken nokta nihai rapor. Aktif istismar edilen zafiyetlerde nihai rapor süresi düzeltici önlemin kullanıma sunulduğu tarihe bağlı olduğu için platformda sayaç yok, dolayısıyla hatırlatma da gelmez. Güncelleme yayımlandığı gün 14 günlük süreyi kendi takviminize işleyin. Ciddi olaylarda süre 72 saat bildiriminden sonra bir aydır.

Formdaki farkına varma tarih ve saati UTC olarak giriliyor ve erken uyarıda zorunlu. Kesin saat bilinmiyorsa en iyi desteklenen tahmin girilir ve açıklamada tahmin olduğu belirtilir (SRP Glossary v1.6). İç kayıtları da UTC olarak tutmak, sonradan yapılacak karşılaştırmaları kolaylaştırır.

06Formda neler isteniyor?

ENISA'nın SRP Glossary belgesi formu alan alan açıklıyor: alanın anlamı, nasıl doldurulacağı, beklenen biçim ve hangi aşamada zorunlu olduğu. Bildirimi gönderen kişi ile içeriği hazırlayan ekip farklıysa ortak referans olarak bu belge kullanılabilir. Başlıca zorunlu alanlar:

• Erken uyarı (24 saat): bildirim türü (aktif istismar edilen zafiyet ya da ciddi olay), başlık (en fazla 255 karakter), özet (en fazla 4000 karakter), ürünün piyasada bulunduğu üye devletler, ürün adı, etkilenen sürümler ve farkına varma tarih ve saati. Ciddi olaylarda, olayın hukuka aykırı ya da kötü niyetli bir eylemden kaynaklandığından şüphelenilip şüphelenilmediği de zorunludur.
• 72 saat bildirimi: zafiyette istismara ve zafiyete dair genel bilgi; olayda olayın niteliği ve ilk değerlendirme. Zafiyet bildiriminde, Madde 16(2)'deki koşullardan biri varsa bilginin diğer üye devletlere iletilmesinin ertelenmesi (particularly exceptional circumstances, PEC) istenebilir.
• Nihai rapor: alınan ve kullanıcıların alabileceği düzeltici ya da azaltıcı önlemler. Zafiyette ayrıca ciddiyet ve etki açıklaması, düzeltici önlemin kullanıma sunulduğu tarih, güncellemenin ayrıntısı ve bilgi varsa kötü niyetli aktör; olayda ciddiyet ve etki açıklaması ile tehdit türü ya da kök neden.

CVE ve EUVD numarası, ürünün CRA sınıfı, bileşen adı ve destek süresinin bitip bitmediği gibi alanlar isteğe bağlıdır. ENISA, bilgi mevcut ve ilgiliyse bu alanların da doldurulmasını bekliyor (ENISA SSS 16).

07Gönderdikten sonra

Gönderilmiş bir bildirimi üretici geri çekemez. Bir bildirimi yalnız koordinatör CSIRT kapatabilir. Yanlışlıkla gönderilen bir bildirimin kapatılmasını istemek için CSIRT'in iletişim adresine yazmak ya da bildirimin ek not alanına talebi eklemek gerekir (ENISA SSS 34). ENISA bu nedenle bildirimden önce kullanıcı kılavuzunun dikkatle okunmasını istiyor.

Bildirilen zafiyet kamuya açık hale geldiğinde ENISA, Avrupa Zafiyet Veritabanı'na (EUVD) eklenip eklenemeyeceğini ve ne zaman eklenebileceğini sormak için üreticiyle iletişime geçebilir. ENISA bir CVE numaralandırma kuruluşu olduğu için CVE numarası alınmasına da yardımcı olabiliyor (ENISA SSS 35, Madde 17(5)).

0811 Eylül 2026'dan önceki istismarlar

Bildirim yükümlülüğü üreticinin farkına vardığı anda doğar. Üretici bir istismarın farkına 11 Eylül 2026'dan önce varmışsa bunu geriye dönük olarak bildirmesi gerekmez. Farkına bu tarihten sonra varırsa, zafiyet daha önce var olsa ya da biliniyor olsa bile bildirim yükümlülüğü vardır (ENISA SSS 13, Komisyon SSS 5.3).

Yükümlülük, 11 Aralık 2027'den önce piyasaya arz edilmiş ürünler dahil CRA kapsamındaki tüm ürünler için geçerlidir (Madde 69(3)). Entegre bir bileşendeki zafiyet ürününüzde aktif olarak istismar ediliyorsa ürünün üreticisi olarak siz bildirirsiniz; bileşen ayrıca piyasaya arz edilmişse bileşenin üreticisi de bildirir. Zafiyet sizin ürününüzde istismar edilemiyorsa zorunlu bildirim gerekmez (Komisyon SSS 5.4).

09Kontrol listesi

1. Bildirimi yapacak birincil ve ikincil temsilcileri adlarıyla belirleyin; hafta sonu ve tatil vardiyalarını da hesaba katın.
2. Bu kişilerin kişisel EU Login hesaplarını ve MFA'yı şimdiden açın. SRP kaydını bildirim gerektiğinde yapın.
3. Koordinatör CSIRT'ünüzü Madde 14(7)'ye göre belirleyin, gerekçesini yazın ve ENISA listesindeki iletişim bilgisini kaydedin.
4. Ürün adlarını, etkilenen sürüm aralıklarını ve ürünün piyasada bulunduğu üye devletleri hazır tutun; erken uyarıda zorunlular.
5. Farkına varma anını kimin belirlediğini ve nasıl kayda geçtiğini yazılı hale getirin; saati UTC olarak tutun.
6. İçeriği İngilizce hazırlayın ve taslağı ekibin ortak erişebildiği bir yerde tutun; SRP taslakları yalnız oluşturanın hesabında görünür.
7. Zafiyetlerde nihai raporun 14 günlük süresini, güncelleme yayımlandığı gün kendi takviminize işleyin; platform bunun için sayaç tutmuyor.
8. Göndermeden önce koordinatör CSIRT'ü ve bildirim türünü kontrol edin; gönderilen bildirim geri alınamaz.

Süreleri kendi tarihlerinizle hesaplamak için Madde 14 rehberindeki hesaplayıcıyı, yükümlülüklerin genel çerçevesi için CRA rehberini kullanabilirsiniz.

TegmenSoft platformu Madde 14 taslaklarını SRP formunun alan sırasıyla hazırlar; bildirimi üretici gönderir.

10Sık sorulan sorular