2031'de bir piyasa gözetim otoritesinden gelen bir talep düşünün. Ürünlerinizden birindeki bir zafiyet haber olmuş; otorite risk değerlendirmesini, destek süresi kararını ve bildirimi nasıl yönettiğinizin kaydını görmek istiyor. Bu soruları 2026'da size yardım eden kişi değil, sizin mühendisleriniz cevaplayacak.
CRA bu senaryoyu sıradan hale getiriyor. Madde 13'teki yükümlülükler ve Madde 14'teki bildirim yükümlülüğü üreticinindir. Teknik dokümantasyonu üretici hazırlar (Madde 31), AB uygunluk beyanını üretici imzalar (Madde 28). Zafiyet yönetimi destek süresi boyunca sürer ve bu süre çoğu ürün için en az beş yıldır (Madde 13(8)). Teknik dosya da en az on yıl, destek süresi daha uzunsa o süre boyunca saklanmalıdır (Madde 13(13)).
Bu zaman çizelgesine göre bakınca, işi örgütlemenin üç yaygın yolu birbirinden epey farklı görünür.
Seçenek 1: danışman
İyi bir danışman durumunuzu hızla kavrar, denetçilerin nereye baktığını bilir ve ikna edici bir belge yazabilir. Sıra dışı bir ürün için ikinci bir görüş ya da denetim öncesi bir gözden geçirme için bu, iyi harcanmış paradır.
Ana araç olarak kullanıldığında ise iki sorunu var. Ücret gün bazında işler ve her yeni üründe, her güncelleme döngüsünde yeniden başlar. Proje bittiğinde de belgelerin arkasındaki gerekçe çoğu zaman danışmanla birlikte gider. Ekibiniz kendisinin yazmadığı bir dosyayı devralır ve kendisinin vermediği kararları savunmak zorunda kalır.
Seçenek 2: uyum platformu
Uyum platformları otomasyon satar: SBOM üretimi, zafiyet taraması, süre takibi ve belge deposu, abonelikle. Her hafta sürüm çıkaran bir yazılım ekibi için bu otomasyon gerçek bir kazançtır.
Karşılığında verdiğiniz şey en hassas bilgilerinizdir. Kaynak kod ya da derleme çıktıları, SBOM'lar, henüz kapatılmamış zafiyetler ve olay ayrıntıları, güvenlik ekibinizin ve satın alma biriminizin önce incelemek isteyeceği bir sağlayıcıya gider. Ücret, ürün sattığınız sürece tekrar eder: ayda 300 avro, beş yıllık bir destek süresinde 18.000 avro eder; fiyat ürün başınaysa daha fazla. Kayıtlarınız sağlayıcının formatında durur ve on yıllık saklama süresi çoğu sözleşmeden uzundur. Tarama kısmı da platformlara özgü değil. Ücretsiz açık kaynak araçlar, zaten kullandığınız derleme hattında SBOM üretir ve bunları zafiyet veritabanlarıyla eşleştirir.
Seçenek 3: şablon kiti
Şablon kiti, tüzüğün gerektirdiği belge ve çalışma kitaplarını madde madde, rehberler ve doldurulmuş örneklerle birlikte verir. Ekibiniz bunları kendi sistemlerinizde tamamlar.
Bu kulağa daha fazla iş gibi geliyor ve ilk haftalarda öyle. Ama bilginin doğru yerde kaldığı tek seçenek de bu. Risk değerlendirmesini ve destek süresi kaydını kendisi hazırlayan bir mühendis, ürünün neden o şekilde değerlendirildiğini bilir ve beş yıl sonra bunu bir otoriteye açıklayabilir.
Gerisi, dosyaların size ait olmasından kendiliğinden gelir:
- Word, Excel ve PDF lisans gerektirmez, 2036'da da açılır.
- Ağınızdan hiçbir şey çıkmaz, sağlayıcı incelemesine gerek kalmaz.
- Tek ödeme, sonradan eklediğiniz her ürünü de kapsar.
- Hangi tarayıcıyı kullanıyorsanız, açık kaynak ya da ticari, çıktısı kitteki SBOM ve zafiyet prosedürlerine doğrudan girer.
Kit her ürün sınıfına da uyar. Her uygunluk değerlendirme yolu teknik dosyanın üzerine kurulur. Onaylanmış kuruluşun devreye girdiği durumlarda (Sınıf II ve kritik ürünlerde; Sınıf I'de ise uyumlaştırılmış standartlar, ortak spesifikasyonlar ya da bir sertifikasyon şeması eksiksiz uygulanmadığında, Madde 32(2)) kuruluş aynı dosyayı değerlendirir. O dosyayı kurmanın yolu kittir.
Kitin yapmayacağı tek şey sizin yerinize karar vermektir. Neye karar verilmesi gerektiğini ve bunun nasıl kayda geçirileceğini gösterir. Otoritelerin görmek istediği de budur: kendi ürününün risklerini anlayan bir üretici.
Yan yana
| Danışman | Platform | Şablon kiti | |
|---|---|---|---|
| Proje bitince bilgi kimde | Büyük ölçüde danışmanda | Sağlayıcının sisteminde | Ekibinizde |
| Maliyet modeli | Günlük ücret, her ürün ve güncellemede tekrar | Yıllık abonelik, çoğu zaman ürün ya da kullanıcı başına | Tek ödeme |
| Beş yıllık destek süresince maliyet | Her projede artar | Beş yıl ve üzeri abonelik | Bir kez ödenir |
| Ürün verileriniz nerede | Dış bir tarafla paylaşılır | Sağlayıcının bulutunda | Kendi sistemlerinizde |
| Teknik dosyanın formatı | Teslim edilen neyse | Sağlayıcının formatı; dışa aktarma koşulları değişir | Kontrolü sizde olan Word, Excel ve PDF |
| Sözleşme bitince | Bilgi gider | Neyin kalacağını dışa aktarma koşulları belirler | Hiçbir şey değişmez |
| Onaylanmış kuruluş süreçleri | Desteklenir | Desteklenir | Desteklenir: kit, kuruluşun değerlendirdiği dosyayı yapılandırır |
| Başlama zamanı | Sözleşme ve tanışma sürecinden sonra | Sağlayıcı incelemesi ve kurulumdan sonra | Bugün |
| Kod tarama ve SBOM üretimi | Araç tavsiyesi | Dahil | Mevcut araçlarınız ya da ücretsiz açık kaynak araçlar |
Çoğu üreticinin vardığı düzen
Pratikte en güçlü düzen, üç yaklaşımın iyi yanlarını, üçüne birden para ödemeden birleştirir. Kit yapıyı, kararları ve teknik dosyayı taşır. Mevcut ya da açık kaynak tarayıcılarınız otomasyonu yapar ve çıktısını kite besler. Dışarıdan bir göz isterseniz, denetimden önce bitmiş dosyayı bir iki gün inceleyecek bir uzman tutarsınız. Bu, bir danışmanlık projesinin küçük bir kısmına mal olur ve bağımlı olduğunuz hiçbir şey şirketinizin dışında kalmaz.
Her seçenek için sorulacak dört soru
- Beş yıl sonra şirketimizde bu dosyayı kim anlayacak?
- İlk yıl değil, destek süresinin tamamı boyunca maliyeti ne?
- Ürün verilerimiz nereye gidiyor ve sözleşme biterse elimizde ne kalıyor?
- Sonucu bir otoriteye ya da onaylanmış kuruluşa olduğu gibi verebilir miyiz?
Bu yazı (AB) 2024/2847 sayılı Tüzüğü sade bir dille açıklar. Hukuki danışmanlık değildir.