Bursa'da akıllı termostat üreten, Gebze'de endüstriyel kontrol cihazı tasarlayan ya da İstanbul'da AB'li müşterilere gömülü yazılım geliştiren bir şirket için Siber Dayanıklılık Yasası (CRA) uzak bir Brüksel meselesi değil. AB'deki müşterileriniz için bu bir satın alma şartına dönüşüyor ve 11 Aralık 2027'den itibaren uygunluk beyanı ve CE işareti olmayan dijital ürün AB pazarına sunulamayacak.
Bu yazı, Türkiye'den AB'ye satış yapan şirketler için CRA'nın pratikte ne anlama geldiğini anlatıyor.
Kural basit: AB pazarına kim sunuyorsa sorumluluk onda
CRA'da üretici, ürünü geliştiren ya da ürettiren ve kendi adı veya markasıyla piyasaya sunan kişidir. Nerede üretildiği önemli değildir. Üç tipik durum var:
| Durum | CRA'daki üretici | Sizin için anlamı |
|---|---|---|
| Ürünü kendi markanızla AB'ye ihraç ediyorsunuz | Siz | Ek I gereksinimleri, risk değerlendirmesi, zafiyet yönetimi, teknik dosya, uygunluk beyanı, CE işareti ve Madde 14 bildirimleri sizin sorumluluğunuzda. |
| AB'de kendi şirketiniz (iştirakiniz) var ve ürünü o satıyor | Ürün AB şirketinin adı veya markasıyla satılıyorsa AB şirketiniz; sizin markanızla satılıyorsa siz (AB şirketiniz ithalatçı olur) | Hangi markanın kutuda olduğu belirleyici. İşin büyük kısmını yine Türkiye'deki mühendislik ekibi yapacak. |
| AB'li müşteriniz ürünü kendi markasıyla satıyor (fason, OEM) | Müşteriniz (Madde 3(13)) | Yasal yükümlülük müşteride, ama müşteri bunları sözleşmeyle size yansıtacak: SBOM, zafiyet bildirimi, güncelleme taahhüdü, teknik dosyaya katkı. |
Üçüncü durumda bir ayrıntıya dikkat edin: sattığınız şey AB'de ayrıca piyasaya sunulan bir bileşense (örneğin bir modül, bir kart, bir ürün yazılımı), o bileşen kendi başına dijital unsurlu bir üründür ve onun üreticisi sizsiniz.
İthalatçınız sizi denetleyecek
Ürününüz AB'ye bir ithalatçı aracılığıyla giriyorsa, ithalatçının kendi yükümlülükleri var. Ürünü piyasaya sunmadan önce şunları kontrol etmek zorunda (Madde 19):
- uygunluk değerlendirmesinin yapıldığını,
- teknik dosyanın hazırlandığını,
- ürünün CE işaretini taşıdığını,
- AB uygunluk beyanının ve kullanıcı bilgilerinin ürünle birlikte geldiğini,
- ürün kimliğinin, üreticinin iletişim bilgilerinin ve destek süresinin bitiş tarihinin belirtildiğini.
Ürünün uygun olmadığına inanmak için sebebi varsa, ithalatçı ürünü piyasaya sunamaz. Yani belgeleriniz eksikse ürününüz rafa çıkmaz. İthalatçı ayrıca uygunluk beyanının bir kopyasını 10 yıl veya destek süresi boyunca (hangisi uzunsa) saklar ve size gelen zafiyet bildirimlerini iletmek zorundadır.
Pratik öneri: her ürün ve sürüm için ithalatçınıza tek dosyada bir bilgi paketi gönderin. İki haftalık e-posta trafiği yerine tek bir dosya.
Bir tuzak: ithalatçınız ya da distribütörünüz ürünü kendi markasıyla satarsa veya esaslı biçimde değiştirirse, üretici o olur (Madde 21 ve 22). Birçoğu bunu bilmiyor. Sözleşmenize bunun yazılı onay gerektirdiğini ekleyin.
Yetkili temsilci: zorunlu değil, ama işe yarar
AB'de bir yetkili temsilci atamak CRA'da isteğe bağlıdır (Madde 18). Yetkili temsilci, AB'de yerleşik ve sizden yazılı yetki almış bir şirket ya da kişidir. Uygunluk beyanını ve teknik dosyayı otoriteler için hazır tutar, otoritelerin taleplerine cevap verir ve onlarla işbirliği yapar.
Bazı işler temsilciye devredilemez: ürünü Ek I'e uygun tasarlamak, risk değerlendirmesi, zafiyet yönetimi ve teknik dosyayı hazırlamak üreticide kalır. Madde 14 bildirimleri ise devredilemeyenler arasında sayılmıyor; sorumluluk sizde kalmak kaydıyla, temsilciniz bildirimleri sizin adınıza yapabilir.
Bildiriminiz hangi ülkeye gider?
Madde 14 kapsamındaki bildirimler ENISA'nın Tek Bildirim Platformu üzerinden yapılır ve bir "koordinatör CSIRT"e ulaşır. AB'de yerleşik değilseniz, koordinatör CSIRT şu sırayla belirlenir (Madde 14(7)):
- En çok ürününüz için sizin adınıza hareket eden yetkili temsilcinin bulunduğu üye devlet,
- yoksa, en çok ürününüzü piyasaya sunan ithalatçının bulunduğu üye devlet,
- yoksa, en çok ürününüzü satışa sunan distribütörün bulunduğu üye devlet,
- hiçbiri yoksa, kullanıcılarınızın en çok bulunduğu üye devlet.
Bu seçimi bir olay yaşanmadan önce yapın ve gerekçesiyle kaydedin. ENISA, yanlış CSIRT'e yapılan bildirimin geçersiz sayılabileceği konusunda uyarıyor. Ayrıca platform yalnızca İngilizce çalışıyor ve kişisel EU Login hesabıyla giriliyor; hesapları şimdiden açın.
Unutmayın: bildirim yükümlülüğü 11 Eylül 2026'dan beri uygulanıyor ve AB pazarına daha önce sattığınız ürünleri de kapsıyor.
Belgelerin dili
Kullanıcı bilgileri ve talimatlar, ürünün sunulduğu üye devletteki kullanıcıların kolayca anlayabileceği bir dilde olmalı. AB uygunluk beyanı da ürünün satıldığı üye devletin istediği dile çevrilir. Almanya'ya satıyorsanız Almanca, İsveç'e satıyorsanız İsveççe düşünün.
Bileşen tedarikçisiyseniz
Ürününe bileşen katan her üretici, o bileşenler için özen yükümlülüğü taşır (Madde 13(5)). AB'li müşterilerinizin size soracağı sorular buradan gelir:
- Her teslim edilen sürüm için SBOM (SPDX veya CycloneDX),
- bilinen zafiyetler ve değerlendirmeniz,
- bir zafiyet bildirim politikası ve iletişim adresi,
- aktif istismar edilen bir zafiyeti ne kadar sürede haber vereceğiniz,
- güvenlik güncellemelerini hangi tarihe kadar sağlayacağınız,
- bileşen kendi başına bir ürünse, CE işareti ve uygunluk beyanı planınız.
Bu soruların cevaplarını bugünden tek bir belgede toplayın. AB'li bir müşteriden gelecek her tedarikçi anketinde aynı cevapları baştan yazmak zorunda kalmazsınız.
Türkiye'deki durum
CRA'nın Gümrük Birliği çerçevesinde Türk mevzuatına aktarılması için Ticaret Bakanlığı ile Sanayi ve Teknoloji Bakanlığı'nın çalışma yürüttüğü bildiriliyor; yeni kurulan Siber Güvenlik Başkanlığı'nın test ve sertifikasyon süreçlerinde rol alması bekleniyor. Ekim 2026 itibarıyla yayımlanmış bir uyum düzenlemesi ve yürürlük tarihi yok.
İki noktayı karıştırmayın. 7545 sayılı Siber Güvenlik Kanunu ve KVKK, Türkiye'deki ayrı yükümlülüklerdir; AB pazarında CRA uyumunun yerini tutmaz. AB'ye sattığınız ürünler için tarih, Türkiye'deki düzenlemeyi beklemez: bildirim bugün, geri kalanı 11 Aralık 2027.
30 günlük başlangıç planı
- Ürün listenizi çıkarın ve her ürün için kapsam, rol ve sınıf kararını gerekçesiyle yazın.
- Madde 14 hazırlığını tamamlayın: karar sahibi, iki EU Login hesabı, koordinatör CSIRT seçimi, İngilizce bildirim şablonları.
- İthalatçılarınızla konuşun: hangi belgeleri, hangi dilde, ne zaman bekliyorlar?
- Yetkili temsilci kararını verin: atayacak mısınız, hangi görevlerle?
- Tedarikçilerinize soru listesini gönderin: SBOM, zafiyet bildirimi, destek süresi.
- 2027 planını yapın: risk değerlendirmesi, Ek I kanıtları, teknik dosya, uygunluk beyanı ve CE.
Bu yazı (AB) 2024/2847 sayılı Tüzüğü sade bir dille açıklar. Hukuki danışmanlık değildir.