Avrupa Birliği, dijital dünyanın uzun süredir görmezden gelinen bir açığını kapatıyor. Akıllı saatlerden bebek telsizlerine, mobil uygulamalardan endüstriyel yazılımlara kadar internete bağlanan hemen her ürün bir güvenlik riski taşıyor; ancak bugüne dek hangi ürünün güvenli olduğunu anlamak tüketici için neredeyse imkânsızdı. Regülasyon (AB) 2024/2847 — kısaca Siber Dayanıklılık Yasası (CRA) tam da bu boşluğu doldurmak için geliyor ve dijital ürünlerin güvenliğini artık üreticinin tercihine değil, yasal bir zorunluluğa bağlıyor.
Düzenlemenin temelinde yatan ilke, dijital unsur içeren ve bir cihaza veya ağa bağlanan bir ürünün güvenliğinin daha tasarım aşamasında sağlanması ve ürünün öngörülen kullanım ömrü boyunca sürdürülmesi gerektiğidir. Bu yaklaşım, üreticinin sorumluluğunu ürünün piyasaya arzıyla sona eren bir yükümlülük olmaktan çıkarmakta; güvenlik açıklarının giderilmesini ürün yaşam döngüsünün tamamına yayan sürekli bir yükümlülük hâline getirmektedir.
Yükümlülüklerin Muhatabı
Düzenlemenin temel yükümlülükleri üreticilere yöneliktir. Üretici, ürünü piyasaya arz etmeden önce bir siber güvenlik risk değerlendirmesi yürütmek, teknik dokümantasyonu hazırlamak, öngörülen uygunluk değerlendirme prosedürünü tamamlamak, AB uygunluk beyanını düzenlemek ve ürüne CE işaretini iliştirmekle yükümlüdür. Üretici ayrıca her ürün için bir destek süresi (support period) belirlemek ve bu süre boyunca güvenlik açıklarını etkili biçimde gidermek zorunda olup, söz konusu sürenin bitiş tarihi satın alma anında alıcıya açık ve anlaşılır biçimde bildirilmelidir.
Yükümlülükler, değer zincirinin diğer aktörlerini de kapsamaktadır. Birlik dışında üretilen bir ürünü piyasaya arz eden ithalatçı ile ürünü piyasada bulunduran dağıtıcı, ürünün gerekliliklere uygunluğunu ve CE işareti taşıdığını doğrulamak; uygunsuzluk veya zafiyet hâlinde gerekli tedbirleri almakla yükümlüdür. Özgür ve açık kaynak kodlu yazılım bakımından ise daha esnek bir rejim öngörülmüş olup, açık kaynak yazılım yöneticileri (stewards) belirli yükümlülüklere tabi tutulmakla birlikte, CRA ihlalleri nedeniyle idari para cezasına tabi tutulamamaktadır.
Raporlama yükümlülüğü
Düzenlemenin öne çıkan yeniliklerinden biri, üreticilere getirilen bildirim yükümlülüğüdür. Aktif olarak istismar edilen bir güvenlik açığının veya ürünün güvenliğini etkileyen ciddi bir olayın ortaya çıkması hâlinde üretici, 24 saat içinde erken uyarı bildirimini, 72 saat içinde ise asıl bildirimini yapmakla yükümlüdür. Bildirimler, ilgili Üye Devletin CSIRT’ine ve ENISA’ya, ENISA tarafından işletilen merkezî raporlama platformu üzerinden iletilmektedir.
Uygulama takvimi
CRA 10 Aralık 2024 tarihinde yürürlüğe girmiş olup, yükümlülükler kademeli bir takvim çerçevesinde uygulanacaktır. Uygunluk değerlendirme kuruluşlarının bildirimine ilişkin hükümler 11 Haziran 2026, raporlama yükümlülükleri 11 Eylül 2026 tarihinden itibaren uygulanacak; düzenleme esas itibarıyla 11 Aralık 2027 tarihinde tam olarak uygulanır hâle gelecektir. Bu takvim, kapsamdaki teşebbüslere uyum için belirli ancak sınırlı bir hazırlık süresi tanımaktadır.
Türk teşebbüsleri bakımından önemi
CRA bir Birlik düzenlemesi olmakla birlikte etkisi Birlik sınırlarıyla sınırlı değildir. AB pazarına dijital unsur içeren ürün arz eden Türkiye merkezli üretici ve ihracatçılar fiilen düzenlemenin kapsamındadır. Bu teşebbüslerin; ürünlerinin “önemli” veya “kritik” ürün kategorisine girip girmediğini değerlendirmeleri, buna uygun uygunluk değerlendirme yolunu seçmeleri, destek süresini belirleyip alıcılara bildirmeleri ve 2026 itibarıyla başlayan raporlama yükümlülüklerine ilişkin iç süreçlerini önceden yapılandırmaları gerekmektedir. Birlik içinde yerleşik olmayan üreticiler bakımından, ürünü piyasaya arz edecek bir ithalatçının yükümlülükleri ile gerektiğinde bir yetkili temsilci atanması hususları da ayrıca planlanmalıdır.
Sonuç olarak CRA, dijital ürün güvenliğini bir uyum tercihi olmaktan çıkararak Birlik pazarına erişimin zorunlu koşulu hâline getirmektedir. AB pazarına dijital unsur içeren ürünle erişen teşebbüsler bakımından mesele, uyumun sağlanıp sağlanmayacağı değil, uyum sürecine ne kadar erken başlanacağıdır.
İşbu bülten genel bilgilendirme amacı taşımakta olup hukuki görüş niteliğinde değildir. Düzenlemenin asıl metni, Avrupa Birliği Resmî Gazetesi’nde yayımlanan Regülasyon (AB) 2024/2847’dir.