Ürün siber güvenliği · AB Siber Dayanıklılık Yasası (CRA)

Makinelerinizi ve cihazlarınızı CRA'ya hazırlıyoruz.

AB'ye yazılım veya firmware içeren ürün satıyorsanız, 11 Aralık 2027'den itibaren CE işareti için siber güvenlik şart. Kapsam analizinden SBOM'a, teknik dosyadan olay bildirimine kadar uyumu sizinle birlikte kuruyor ve canlı tutuyoruz.

Kapsamda mıyım? · 2 dk test Ücretsiz değerlendirme

Makine ve endüstriyel cihaz üreticilerine özel
Her bilgi CRA metnine ve Komisyon rehberine dayalı

Örnek CRA hazırlık raporu

Ambalaj makinesi · PLC + HMI + gateway

Kapsamda

Ürün sınıfıVarsayılan · Modül A

SBOM bileşeni142

Bilinen açık (CVE)7 · 2'si aktif istismar

Desteği bitmiş bileşen3

24/72 saat bildirim süreciEksik

Genel hazırlık%38

Temsili örnektir; gerçek bir firmaya ait değildir.

Hizmetler

CRA uyumunun dört parçası, tek elden

CRA tek seferlik bir evrak işi değil; ürün sahada olduğu sürece canlı tutulması gereken bir süreç. İlk kurulumu birlikte yapıyor, sonrasını sürekli yönetiyoruz.

Kapsam ve boşluk analizi

Hangi ürününüz kapsamda, hangi sınıfta, rolünüz ne (üretici, ithalatçı, distribütör) ve neler eksik.

Ürün portföyü sınıflandırması
Annex I boşluk raporu
Önceliklendirilmiş yol haritası

SBOM ve açık takibi

Yazılım bileşen listenizi build'den çıkarıyor, her bileşeni bilinen açıklara ve destek bitiş tarihlerine karşı sürekli izliyoruz.

CycloneDX / SPDX SBOM
CVE, aktif istismar (KEV), destek bitişi (EOL)
Yeni açıkta uyarı

Teknik dosya ve beyan

CE işareti öncesi istenen dokümantasyonu hazırlıyoruz.

Risk değerlendirmesi
Annex VII teknik dosya
AB uygunluk beyanı, kullanıcı bilgileri

Açık ve olay bildirimi

Aktif istismar edilen bir açık veya ciddi bir olay olduğunda bildirimi sizinle birlikte hazırlayıp yapıyoruz. Bu yükümlülük 11 Eylül 2026'dan beri geçerli.

24 saat erken uyarı, 72 saat bildirim, nihai rapor
ENISA tek raporlama platformu üzerinden gönderim
Açık bildirme politikası (CVD) ve iletişim noktası
Kullanıcılara güvenlik bildirimi

Nasıl çalışıyoruz

İlk görüşmeden sürekli uyuma

Ücretsiz ön görüşme

Ürünlerinizi ve AB'ye satış şeklinizi dinliyor, kapsamda olup olmadığınızı netleştiriyoruz.

Analiz ve SBOM

Ürün sınıfını belirliyor, SBOM'u çıkarıyor, eksikleri raporluyoruz.

Uyum paketi

Teknik dosya, uygunluk beyanı, bildirim ve güncelleme süreçlerini kuruyoruz.

Sürekli izleme

Destek süresi boyunca yeni açıkları takip ediyor, bildirim gerektiğinde raporu sizinle birlikte hazırlıyoruz.

Size uygulanıyor mu?

Üç koşul birlikte sağlanıyorsa, büyük ihtimalle evet

✓ Ürününüzde yazılım veya firmware var (PLC, HMI, sürücü, sensör, gateway, kontrol yazılımı)
✓ Ürün başka bir cihaza veya ağa veri gönderip alıyor (Ethernet, Modbus, CAN, RS-485, USB, Wi-Fi, bulut…). İnternet şart değil.
✓ Ürünü AB pazarına ticari olarak sunuyorsunuz (doğrudan ya da bir ithalatçı/distribütör üzerinden)

Detaylı kapsam testini yap

Hazır olmamanın bedeli

15 M€

veya yıllık küresel cironuzun %2,5'i, hangisi yüksekse.

Ceza sadece başlangıç: CRA kapsamındaki ürün, uygunluk değerlendirmesi, AB uygunluk beyanı ve CE işareti olmadan AB pazarına sürülemez; piyasa gözetim otoriteleri uygun olmayan ürünü piyasadan çektirebilir.

Kapsam testi

CRA kapsamında mıyım?

7 kısa soru. Ürününüzün CRA'ya girip girmediğini, hangi sınıfta olduğunu ve rolünüze göre ne yapmanız gerektiğini görün.

Bu test bilgilendirme amaçlıdır, hukuki görüş değildir. Dayanak: Regulation (EU) 2024/2847 (CRA) ve Komisyon uygulama rehberi C(2026) 5252.

CRA rehberi

Üreticinin bilmesi gerekenler

CRA, siber güvenliği CE işaretinin parçası yapıyor: AB'ye dijital bileşenli ürün koyan her üretici, ürünün yaşam döngüsü boyunca güvenli olduğunu kanıtlamak zorunda. Takvim ve cezalar; resmi metne dayanıyor.

Takvim

10 Aralık 2024
CRA yürürlüğe girdi.
11 Haziran 2026
Uygunluk değerlendirme kuruluşlarına (onaylanmış kuruluş) ilişkin hükümler uygulanmaya başladı.
11 Eylül 2026 · şu an yürürlükte
Aktif istismar edilen açıkları ve ciddi olayları bildirme yükümlülüğü (Madde 14). Daha önce piyasaya sürülmüş ürünler dahil.
11 Aralık 2027
Tam uygulama: bu tarihten sonra piyasaya sürülen her ürün için temel gereksinimler, SBOM, teknik dosya, uygunluk beyanı ve CE işareti.

Azami cezalar

15 M€ / %2,5	Temel siber güvenlik gereksinimleri (Annex I), üretici yükümlülükleri ve bildirim (Madde 13–14)
10 M€ / %2	İthalatçı/distribütör yükümlülükleri, uygunluk beyanı, CE işareti, teknik dosya, uygunluk değerlendirmesi vb.
5 M€ / %1	Onaylanmış kuruluşlara veya otoritelere yanlış, eksik ya da yanıltıcı bilgi vermek

Yüzdeler bir önceki yılın küresel cirosu üzerinden; hangisi yüksekse. Mikro ve küçük işletmelere 24 saatlik erken uyarı süresini kaçırdıkları için idari para cezası verilemez. Kaynak: Madde 64.

Ücretsiz ön değerlendirme

Nerede olduğunuzu birlikte görelim

Formu doldurun; firmanızın CRA kapsamını ve hazırlık durumunu değerlendirip size dönüş yapalım. Taahhüt yok.