CRA projelerinin çoğu yanlış yerden başlar: bir risk değerlendirmesiyle, bir standartla ya da bir şablonla. İlk iş daha basittir ve sonrasındaki her şeyi belirler. Bu sırayla üç soru:
- Kapsam. CRA bu ürünü kapsıyor mu?
- Rol. Bu ürün için biz kimiz: üretici mi, ithalatçı mı, distribütör mü?
- Sınıf. Ürün türü ne kadar riskli, dışarıdan bir kuruluşun değerlendirmesi gerekiyor mu?
Her ürün için ayrı cevaplayın, gerekçesini yazın ve saklayın. Gerekçesiz bir cevabı sonradan savunamazsınız.
1. Kapsam: dijital unsurlu bir ürün mü?
CRA, AB pazarında bulundurulan dijital unsurlu ürünleri kapsar (Madde 2). Üç koşulun birlikte sağlanması gerekir.
Yazılım ya da donanımdır. Ayrıca piyasaya sunulan bileşenler de buna dahildir: bir ürün yazılımı (firmware) imajı, bir mikrodenetleyici, ürün olarak satılan bir yazılım kütüphanesi (Madde 3(1)).
Veri bağlantısı vardır. Doğrudan ya da dolaylı, mantıksal ya da fiziksel. Wi-Fi, Bluetooth, kablo, saha veriyolu, uygulama, bulut bağlantısı ya da bir bilgisayara takılan USB portu. Yalnızca bir ağ geçidiyle konuşan bir sensörün de veri bağlantısı vardır, çünkü ağ geçidi veriyi ileri taşır.
Ticari faaliyet kapsamında sunulur. Ücretli ya da ücretsiz. Reklamdan, veriden, abonelikten ya da ücretli destekten gelir elde eden ücretsiz bir uygulama ticaridir. Açık kaynak yazılım, ancak onu sunanlar bundan gelir elde etmiyorsa CRA'nın dışında kalır.
Arka uç da sayılır. Ürününüzün çalışması için sizin tasarladığınız ya da sizin için tasarlanmış bir bulut veya uygulama hizmetine ihtiyacı varsa, o hizmet ürünün parçasıdır (uzaktan veri işleme, Madde 3(2)). Risk değerlendirmeniz ve zafiyet yönetiminiz onu da kapsamalı. Ürünün yalnızca tanıtımını yapan bir web sitesi bu kapsama girmez. Sunduğunuz bir ürüne bağlı olmayan saf bir yazılım hizmeti (SaaS) genellikle dijital unsurlu ürün sayılmaz; bunun yerine NIS2 kapsamına girebilir.
Kapsam dışında kalanlar
Kendi sektör kuralları olan ürünler: tıbbi cihazlar, AB tip onayına tabi araçlar, sertifikalı havacılık ürünleri ve denizcilik teçhizatı. Aynı spesifikasyonla üretilmiş özdeş bileşenlerin yerine geçen yedek parçalar. Yalnızca ulusal güvenlik veya savunma amacıyla geliştirilen ürünler (Madde 2).
Araç istisnasını dikkatle okuyun. Tip onaylı araçlar ve sistemleri kapsam dışıdır. Satış sonrası aksesuarlar, teşhis cihazları (OBD dongle'lar), araç kameraları ve birçok şarj istasyonu tip onaylı değildir, bu yüzden kapsamda olabilir. Otomotiv tedarikçilerinin en sık atladığı nokta budur.
2. Rol: bu ürün için siz kimsiniz?
Rolünüz yükümlülüklerinizi belirler. Bir şirket aynı ürün için birden fazla role sahip olabilir.
| Rol | Kimdir | Örnek |
|---|---|---|
| Üretici | Ürünü geliştirir ya da ürettirir ve kendi adı veya markasıyla piyasaya sunar. | Bursa'daki bir şirket akıllı bir termostat tasarlar ve kendi markasıyla Almanya'da satar. |
| İthalatçı | AB'de yerleşiktir; AB dışındaki bir üreticinin adını taşıyan ürünü AB pazarına sunar. | Almanya'daki bir şirket bu termostatı ithal eder. |
| Distribütör | Ürünü değiştirmeden satışa sunar; üretici ya da ithalatçı değildir. | Hollanda'daki bir elektronik perakendecisi. |
| Yetkili temsilci | AB'de yerleşiktir; belirli görevler için üreticiden yazılı yetki almıştır. | Teknik dosyayı otoriteler için hazır tutan bir uyum hizmeti şirketi. |
İki kural çoğu kişiyi şaşırtır. Kendi markanız sizi üretici yapar: bir ürünü kendi adıyla satan ithalatçı veya distribütör, üreticinin bütün yükümlülüklerini taşır (Madde 21). Fason ürüne kendi etiketinizi koymak CRA'dan kurtulmanın yolu değildir. Esaslı bir değişiklik sizi üretici yapar, değiştirilen ürün için (Madde 21 ve 22).
AB dışındaki üreticiler, AB'deki üreticilerle aynı yükümlülükleri tam olarak taşır. Ürünleri AB'ye bir ithalatçı aracılığıyla giriyorsa, ithalatçı satıştan önce üreticinin işini kontrol etmek zorundadır (Madde 19).
3. Sınıf: ürün türü ne kadar riskli?
| Sınıf | Nedir | Örnekler | Uygunluk değerlendirme yolu |
|---|---|---|---|
| Varsayılan | Ürünlerin çoğu | Akıllı priz, yazıcı, bağlantılı kahve makinesi, endüstriyel sensör, uygulamaların çoğu | Öz değerlendirme (Modül A) |
| Önemli, Sınıf I | Ek III'te Sınıf I olarak listelenen | Router, işletim sistemi, VPN, parola yöneticisi, akıllı kapı kilidi, güvenlik kamerası, bebek telsizi | Öz değerlendirme ancak uyumlaştırılmış standartlar, ortak spesifikasyonlar veya sertifikasyon eksiksiz uygulanırsa; aksi halde onaylanmış kuruluş |
| Önemli, Sınıf II | Ek III'te Sınıf II olarak listelenen | Güvenlik duvarı cihazı, saldırı tespit sistemi, hipervizör, kurcalamaya dayanıklı mikrodenetleyici | Onaylanmış kuruluş ya da "substantial" güvence düzeyinde sertifikasyon |
| Kritik | Ek IV'te listelenen | Akıllı kart, güvenli eleman (secure element), akıllı sayaç ağ geçidi | Gerekli olduğu yerde Avrupa sertifikasyonu; aksi halde Sınıf II gibi |
Sınıfı temel işlev belirler (Madde 7(1)). Bir ürün, ancak o kategori ürünün esas olarak ne için var olduğunu tarif ediyorsa o kategoriye girer. Güvenlik duvarı özelliği olan bir ev router'ı bir router'dır, güvenlik duvarı cihazı değildir. İçinde güvenli eleman bulunan bir termostat varsayılan sınıfta kalır. Güvenli elemanın sınıfıyla onun kendi üreticisi ilgilenir. Önemli bir bileşeni ürününüze yerleştirmeniz, ürününüzü önemli yapmaz. Komisyonun (AB) 2025/2392 sayılı Uygulama Tüzüğü her kategoriyi teknik terimlerle tarif ediyor; sınırda kalan durumlarda ona bakın.
Sınıf I neden şu anda bu kadar önemli? Sınıf I'de öz değerlendirme, bir uyumlaştırılmış standardın, ortak spesifikasyonun ya da sertifikasyon şemasının eksiksiz uygulanmasına bağlıdır (Madde 32(2)). 2026 sonbaharı itibarıyla CRA için AB Resmî Gazetesi'nde yayımlanmış bir uyumlaştırılmış standart yok. Bu, ürünü piyasaya sunmadan önce değişmezse, Sınıf I bir ürün onaylanmış kuruluşa ihtiyaç duyar ve bu kuruluşların kapasitesi sınırlı. Erkenden temas kurun.
En sık yapılan hatalar
- "Bu sadece bir bileşen." Ayrıca piyasaya sunulan bileşenler de dijital unsurlu üründür.
- "Sadece USB ile bağlanıyor." Fiziksel bir veri bağlantısı da veri bağlantısıdır.
- "Uygulamamız ücretsiz." Gelir getiren ücretsizlik ticaridir.
- "Biz sadece distribütörüz", ama ürün sizin markanızla satılıyor. O zaman üretici sizsiniz.
- Sınıfı bir özelliğe göre seçmek, temel işleve göre değil.
- Cihazın çalışmak için ihtiyaç duyduğu arka ucu unutmak.
- Gerekçeyi yazmamak.
Cevap evetse
İki tarih geçerli. Madde 14 kapsamındaki bildirim yükümlülüğü 11 Eylül 2026'dan beri uygulanıyor. Kapsamdaki ve piyasadaki her ürün için geçerli; sınıfı ve ne zaman satıldığı fark etmez. Geri kalan her şey 11 Aralık 2027'den itibaren uygulanır: Ek I'deki temel gereksinimler, zafiyet yönetimi, teknik dosya, AB uygunluk beyanı ve CE işareti. Bu tarihten önce piyasaya sunulan cihazlar, sonradan esaslı biçimde değiştirilmedikçe ürün gereksinimlerinin dışında kalır (Madde 69(2)); bildirim yükümlülüğü ise onları da kapsar.
Cevap hayırsa da kaydı saklayın. Ürünler değişir. Gelecek yılın modeline Bluetooth eklemek onu kapsama sokabilir.
Bu yazı (AB) 2024/2847 sayılı Tüzüğü sade bir dille açıklar. Hukuki danışmanlık değildir.