CRA'ya hazırlanan üreticilerin en sık sorduğu soru şu: ürünümüz A tipi mi, B tipi mi? Tüzük bu harfleri kullanmıyor ve iki değil dört sonuç öngörüyor. Daha önemlisi, cevap çoğu zaman ürün kategorileri listesine bakarak bulunmuyor. Listenin dayandığı tek bir test cevabı belirliyor ve en pahalı hatalar bu test atlandığında yapılıyor.
İki değil, dört sonuç
| Sınıf | Nerede tanımlı | Tipik örnekler | Uygunluğu kim değerlendirir |
|---|---|---|---|
| Varsayılan | Ek III ve Ek IV'te yer almayan tüm ürünler | Akıllı termostat, internete bağlı kahve makinesi, uygulamaların ve endüstriyel sensörlerin çoğu | Siz, öz değerlendirmeyle (Modül A) |
| Önemli, Sınıf I | Ek III, 19 kategori | İşletim sistemleri, yönlendiriciler ve anahtarlar, parola yöneticileri, VPN'ler, akıllı kilitler ve ev kameraları, güvenlik işlevli mikrodenetleyiciler | Siz; ama yalnızca uyumlaştırılmış standartlar veya eşdeğeri tam olarak uygulanırsa. Aksi hâlde onaylanmış kuruluş |
| Önemli, Sınıf II | Ek III, 4 kategori | Hipervizörler ve konteyner çalışma ortamları, güvenlik duvarları ve saldırı tespit veya önleme sistemleri, kurcalamaya dayanıklı mikrodenetleyiciler ve mikroişlemciler | Onaylanmış kuruluş ya da "önemli" (substantial) seviyede Avrupa siber güvenlik sertifikası |
| Kritik | Ek IV, 3 kategori | Güvenlik kutulu donanım cihazları (ödeme terminalleri, HSM'ler, takograflar), akıllı sayaç ağ geçitleri, akıllı kartlar ve güvenli elemanlar | Komisyonun zorunlu kıldığı yerde Avrupa sertifikası; o zamana kadar Sınıf II yolları |
Komisyon, CRA'yı önerdiği aşamada ürünlerin yaklaşık onda dokuzunun varsayılan sınıfa gireceğini tahmin etmişti. Ürününüz kalan onda birdeyse, sınıf işinizi kimin denetleyeceğini ve onlarla ne kadar erken anlaşmanız gerektiğini belirliyor.
Belirleyici test: temel işlev
Bir ürün, yalnızca temel işlevi Ek III veya Ek IV'teki bir kategoriye karşılık geliyorsa önemli ya da kritik sayılır (Madde 7(1), Madde 8(1)). Temel işlev, ürünün esasen ne için var olduğudur: onlar olmadan ürünün amaçlanan kullanımı karşılayamayacağı özellikler. Yan işlevler sınıfı değiştirmez; ürünün içine yerleştirilmiş bileşenler de değiştirmez.
Bunu CRA'nın kendisi söylüyor (Madde 7(1)); 21 Aralık 2025'ten beri yürürlükte olan Komisyon Uygulama Tüzüğü (AB) 2025/2392 ve Komisyonun Temmuz 2026'da taslak olarak onayladığı bağlayıcı olmayan rehber de aynı şeyi tekrarlıyor: önemli veya kritik bir bileşeni ürüne entegre etmek, tek başına bütün ürünü önemli veya kritik yapmaz. Bir akıllı telefon işletim sistemi çalıştırır, ama CRA anlamında bir işletim sistemi değildir.
Üç örnek bu kuralın ne kadar ileri gittiğini gösteriyor:
- Özel bir güvenlik duvarı cihazı güvenlik duvarı olmak içindir. Sınıf II.
- Güvenlik duvarı özelliği olan bir ev yönlendiricisi yönlendirme içindir. Güvenlik duvarı bir özelliktir. Yönlendirici olarak Sınıf I.
- Mikrodenetleyicisinde güvenli anahtar saklama bulunan bir çamaşır makinesi çamaşır yıkamak içindir. Varsayılan; oysa aynı çip tek başına satılsa Sınıf I olurdu.
Rehber, akla gelen kestirmeyi de kapatıyor: ürünün yeteneklerini olduğundan küçük göstererek daha sıkı bir sınıftan kaçamazsınız. Ürün sayfanızın, kullanım kılavuzunuzun ve teknik dokümantasyonunuzun ürünün ne için olduğunu nasıl anlattığı, bir otoritenin okuyacağı kanıttır.
Bu sırayla dört soru
- Ürün kapsamda mı? Tıbbi cihazlar ve in vitro tanı cihazları, tip onaylı araçlar, AB havacılık kurallarına göre sertifikalandırılan ürünler, denizcilik teçhizatı ve yalnızca ulusal güvenlik veya savunma için geliştirilen ürünler CRA'nın dışında kalanlara örnektir (Madde 2). Yalnızca kapsamdakini sınıflandırın.
- Tek cümleyle ne için? Temel işlevi, amaçlanan kullanımınızın, pazarlamanızın ve kullanıcı bilgilerinizin anlattığı şekilde yazın. Rehber, teknik dokümantasyonda belirtilen tek bir temel işlevi esas alıyor.
- Bu cümle 26 kategoriden birine uyuyor mu? Ek III ve Ek IV'ü, 2025/2392 sayılı Uygulama Tüzüğü'ndeki teknik tanımlarla birlikte okuyun. Tanımlar, kategori adlarından daha dar ve daha pratiktir. Örneğin "güvenlik işlevli akıllı ev ürünleri", evdeki insanların fiziksel güvenliğini koruyan ürünler demektir: kilitler, kameralar, bebek monitörleri, alarm sistemleri. Termostat bunlardan biri değildir.
- Ürünün bir parçasını ayrıca da satıyor musunuz? Piyasaya ayrı olarak sunulan bir bileşen, kendi temel işlevine göre sınıflandırılır. Wi-Fi modülünüzü başka üreticilere satıyorsanız, o satışta modül fiziksel ağ arayüzüdür (Sınıf I); onu kullanan nihai ürün varsayılan olsa bile.
Bilinmesi gereken sınır durumlar
| Ürün | Sınıf | Neden |
|---|---|---|
| Akıllı termostat veya ısı pompası kontrolcüsü | Varsayılan | Amacı konfor ve enerji; evin fiziksel güvenliği değil |
| Akıllı kapı kilidi, ev güvenlik kamerası, bebek monitörü | Sınıf I | Güvenlik işlevli akıllı ev ürünleri tanımında sayılıyor |
| İnternet üzerinden konuşan veya çekim yapan oyuncak | Sınıf I | Sosyal etkileşim özellikli, internete bağlı oyuncak |
| Yalnızca başka bir oyuncağın yakında olduğunu algılayan oyuncak | Varsayılan | Uygulama Tüzüğü'ne göre yakınlık algılama, konum takibi değildir |
| Nabız ölçen fitness bileklik | Sınıf I | Sağlık izleme amaçlı giyilebilir cihaz; tıbbi cihazsa CRA'nın dışında kalır |
| Başka üreticilere satılan Wi-Fi veya Bluetooth modülü | Sınıf I | Piyasaya ayrı sunulan fiziksel ağ arayüzü |
| Yönetim arayüzü olan endüstriyel Ethernet anahtarı | Sınıf I | Yönetim düzlemi olan anahtar |
| Şifreleme ve güvenli anahtar saklama özellikli mikrodenetleyici | Sınıf I | Güvenlikle ilgili işlevleri olan mikrodenetleyici |
| Kurcalamaya dayanıklı mikrodenetleyici | Sınıf II | Sınıf II'de ayrıca sayılıyor |
| Güvenli eleman veya TPM | Kritik | Ek IV; en az AVA_VAN.4 seviyesinde koruma için tasarlanmış |
| Ödeme terminali veya donanım güvenlik modülü (HSM) | Kritik | Güvenlik kutulu donanım cihazı |
Teknik tanıma rağmen bir durum hâlâ belirsizse, iki yorumu da ve neden birini seçtiğinizi yazın. Bir otorite vardığınız sonuca katılmayabilir; ama soruyu hiç sormadığınızı görmemeli.
Çoğu ekibin gözden kaçırdığı nokta: standart yoksa Sınıf I de onaylanmış kuruluş demektir
Birçok ekip Sınıf I'e düştüğünde rahatlıyor, çünkü Sınıf I'in öz değerlendirme yapabildiğini duymuş. Bu, kuralın yalnızca yarısı. Sınıf I için öz değerlendirme (Modül A), ancak AB Resmî Gazetesi'nde yayımlanmış uyumlaştırılmış standartları, ortak spesifikasyonları ya da "önemli" (substantial) seviyede bir Avrupa siber güvenlik sertifikasyon şemasını tam olarak uyguladığınızda mümkün (Madde 32(2)). Bunları kısmen uyguluyor ya da hiç uygulamıyorsanız onaylanmış kuruluş gerekir: tipe uygunlukla birlikte AB tip incelemesi (Modül B ve C) ya da tam kalite güvencesi (Modül H).
Ekim 2026 itibarıyla CRA için hiçbir uyumlaştırılmış standart Resmî Gazete'de yayımlanmış değil. Önemli ve kritik ürünlere yönelik ürüne özgü standartlar, Komisyonun Temmuz 2026'da süreyi uzatmayı önermesinin ardından artık 31 Aralık 2026'ya kadar bekleniyor; Resmî Gazete'de yayımlanmaları ancak bundan sonra gelecek. Ana yükümlülükler 11 Aralık 2027'den itibaren uygulanıyor. Onaylanmış kuruluşlar 11 Haziran 2026'dan beri atanabiliyor ve başlangıçta sayıları az olacak.
Bu yüzden Sınıf I'deki bir üretici iki yolu aynı anda planlamalı: standartlar zamanında gelir ve tam olarak uygulanabilirse Modül A, gelmezse onaylanmış kuruluş. Onaylanmış kuruluşla anlaşmak, 2027'ye bırakılamayacak adımdır.
Diğer sınıflarda kural daha basit. Sınıf II her zaman onaylanmış kuruluş ya da "önemli" seviyede sertifika gerektirir (Madde 32(3)). Kritik ürünler, bir yetki devrine dayalı tüzük bunu zorunlu kıldığında Avrupa sertifikasına ihtiyaç duyar; o zamana kadar Sınıf II yollarını izler (Madde 8(1), Madde 32(4)). Tüm önemli ürünler için bir istisna var: teknik dokümantasyonu kamuya açık olan özgür ve açık kaynak yazılım Modül A'yı kullanabilir (Madde 32(5)).
Sınıfın değiştirmediği şeyler
Sınıf, ürününüzü kimin denetleyeceğini değiştirir; ne yapmanız gerektiğini değiştirmez. Ek I'deki temel gereklilikler, risk değerlendirmesi, destek süresi boyunca zafiyet yönetimi, SBOM ve 11 Eylül 2026'dan beri uygulanan Madde 14 bildirim yükümlülükleri, varsayılan sınıftaki bir akıllı priz için de Sınıf II'deki bir güvenlik duvarı için de aynıdır. Varsayılan sınıf daha hafif bir iş yükü demek değildir; aynı iş yükünü kendi imzanızla onaylıyorsunuz demektir.
Kararı yazılı hâle getirin
Sınıflandırmanız teknik dokümantasyonun bir parçasıdır ve çoğu zaman bir otoritenin ya da onaylanmış kuruluşun okuduğu ilk sayfadır. Şunları kaydedin:
- tek cümleyle temel işlev;
- karşılaştırdığınız Ek III veya Ek IV kategorisi ve 2025/2392 sayılı Uygulama Tüzüğü'nde kontrol ettiğiniz tanım;
- sonuç ve bundan çıkan uygunluk değerlendirme yolu;
- kararı kimin, ne zaman verdiği;
- kararı yeniden gözden geçirmenizi gerektirecek durumlar: yeni bir ana özellik, ayrıca satmaya başladığınız bir bileşen, Resmî Gazete'de yayımlanan bir uyumlaştırılmış standart ya da Ek III'ü değiştiren bir yetki devrine dayalı tüzük. Komisyon kategori ekleyebilir veya sınıf değiştirebilir; bunu genellikle en az 12 aylık bir geçiş süresiyle yapar (Madde 7(3)).
Kısa kontrol listesi
- Ürünün kapsamda olduğunu doğrulayın.
- Temel işlevi, pazarlamanız ve kullanım kılavuzunuzla örtüşen tek bir cümleyle yazın.
- 2025/2392 sayılı Uygulama Tüzüğü'ndeki teknik tanımları kullanarak 26 kategoriyle karşılaştırın.
- Ayrıca sattığınız her bileşeni ayrı olarak sınıflandırın.
- Sonuç Sınıf I ise hem Modül A'yı hem onaylanmış kuruluş yolunu planlayın ve onaylanmış kuruluşlarla şimdiden görüşün.
- Kararı ve gerekçelerini teknik dokümantasyona kaydedin; hangi durumların gözden geçirmeyi tetikleyeceğini belirleyin.
Bu makale (AB) 2024/2847 sayılı Tüzüğü sade bir dille açıklar. Hukuki danışmanlık değildir.