Ağ ve telekom cihazları için CRA

01Tipik ürünler

• Ev ve ofis router'ları, internet bağlantısı için modemler
• Yönetilebilir ve yönetilemez switch'ler
• Fiber ağ terminalleri (ONT) ve müşteri tesis ekipmanı (CPE)
• Endüstriyel ve IoT ağ geçitleri
• Kablosuz erişim noktaları ve ağ arayüz kartları

02Olası CRA sınıfı

Ek III Sınıf I'de "router'lar, internete bağlantı için modemler ve switch'ler" ile "fiziksel ve sanal ağ arayüzleri" sayılıyor. Bu yüzden bu sektördeki ürünlerin çoğu Sınıf I. Güvenlik duvarı ya da saldırı tespit ve önleme ürünün temel işleviyse Sınıf II söz konusu olabilir.

Sınıf I bir üründe iç kontrol (Modül A), ancak uyumlaştırılmış standartlar, ortak spesifikasyonlar ya da uygun bir Avrupa siber güvenlik sertifikası tam uygulandığında mümkün. CRA için uyumlaştırılmış standartlar yayımlanana kadar iç kontrol yolu fiilen kapalı; Modül B + C ya da H ile üçüncü taraf değerlendirmesi gerekir. Ayrıntılar: ürün sınıfları rehberi.

Sınıfı ürünün temel işlevi belirler. Bir ağ geçidi router işlevi görüyorsa Sınıf I olabilir; yalnızca sensör verisi toplayan bir cihaz varsayılan sınıfta kalabilir. Kesin değerlendirme için sınıf testimizi kullanabilir ya da bizimle görüşebilirsiniz.

03İlgili diğer mevzuat

• RED ve EN 18031: Kablosuz arayüzü olan ağ cihazları için siber güvenlik şartları 1 Ağustos 2025'ten beri zorunlu. Bkz. EN 18031 ve RED rehberi.
• NIS2 (AB) 2022/2555: Telekom operatörleri ve internet servis sağlayıcıları NIS2 kapsamında; tedarik zinciri güvenliği gereği cihaz üreticilerinden güvenlik kanıtı ister.
• CRA Madde 14: Aktif istismar edilen zafiyetler için bildirim yükümlülüğü 11 Eylül 2026'dan beri geçerli. Ağ cihazları istismar listelerinde (CISA KEV) sık yer alıyor. Bkz. Madde 14 rehberi.

04Bu sektöre özgü zorluklar

• Gömülü Linux tabanlı firmware: Yüzlerce açık kaynak bileşen ve eski çekirdek sürümleri, uzun zafiyet listeleri demek.
• Uzun ürün ömrü: Sahada yıllarca kalan cihazlar için destek süresi boyunca güvenlik güncellemesi gerekir.
• Operatör ve ODM zinciri: Ürün çoğu zaman bir ODM'de tasarlanır, bir operatör markasıyla satılır; kimin üretici olduğu ve kanıtı kimin tuttuğu netleştirilmeli.
• Üçüncü taraf değerlendirmesi: Onaylanmış kuruluş kapasitesi sınırlı; teknik dosyanın erken hazırlanması gerekir.

05Platform bu sektörde ne yapıyor?

• Firmware imajını açar ve SBOM çıkarır; zafiyetleri CISA KEV ve EPSS ile önceliklendirir.
• ODM'den gelen SBOM'u içe aktarır ve yeni zafiyetlere karşı sürekli tarar.
• Madde 14 sürelerini farkına varma anından itibaren takip eder ve rapor taslaklarını hazırlar.
• İmzalı OTA güncellemeleri: A/B bölüm ve sürüm düşürme koruması.
• Teknik dosya ve AB uygunluk beyanı taslakları; CSAF 2.0 ve OpenVEX çıktısı.
• İmzalı, RFC 3161 zaman damgalı ve 10 yıl değiştirilemez kanıt arşivi; onaylanmış kuruluşa sunulacak kanıtlar tek yerde.

06Sık sorulanlar