Cyber Resilience Act Nedir? AB Yazılım ve Donanım Güvenliği Rehberi

Cyber Resilience Act, Avrupa Birliği pazarına sunulan dijital unsurlar içeren yazılım ve donanım ürünleri için yaşam döngüsü boyunca uygulanacak siber güvenlik kurallarını belirleyen düzenlemedir.

Akıllı saatlerden mobil uygulamalara, işletim sistemlerinden yönlendiricilere, güvenlik kameralarından endüstriyel yazılım bileşenlerine kadar çok sayıda ürün bu düzenlemenin kapsamına girebilir.

Cyber Resilience Act yalnızca ürünün piyasaya çıktığı tarihte güvenli olmasını istemez. Üreticinin ürünü tasarlarken siber güvenlik risklerini değerlendirmesi, bilinen açıkları yönetmesi, güvenlik güncellemeleri sunması, teknik belgeler hazırlaması ve destek süresini kullanıcıya açıklaması gerekir.

Düzenlemenin önemli sonuçlarından biri, siber güvenliğin yalnızca yazılım geliştiricisinin teknik tercihi olmaktan çıkarak ürün uygunluğunun ve pazara erişimin bir parçası hâline gelmesidir.

Bir ürün işlevsel olarak sorunsuz çalışsa bile varsayılan parolalar, kontrolsüz ağ servisleri, güncellenemeyen bağımlılıklar veya yönetilmeyen güvenlik açıkları nedeniyle Cyber Resilience Act gereksinimlerini karşılamayabilir.

Üreticilerin yanı sıra ithalatçılar, distribütörler, yetkili temsilciler ve belirli açık kaynak yazılım yöneticileri de düzenlemede tanımlanan sorumluluklarla karşılaşabilir.

Cyber Resilience Act, 10 Aralık 2024 tarihinde yürürlüğe girmiştir. Aktif olarak istismar edilen güvenlik açıkları ve ciddi güvenlik olaylarıyla ilgili bildirim yükümlülükleri 11 Eylül 2026 tarihinde uygulanmaya başlayacaktır. Düzenlemenin temel hükümleri ise 11 Aralık 2027 tarihinde tam olarak uygulanacaktır.

Bu rehberde Cyber Resilience Act kapsamını, ürün sınıflarını, üretici sorumluluklarını, 24 ve 72 saatlik bildirim sürecini, SBOM kullanımını, açık kaynak istisnalarını, CE işaretini ve şirketlerin hazırlık için uygulayabileceği teknik yol haritasını inceleyeceğiz.

Cyber Resilience Act Nedir?

Cyber Resilience Act, resmî adıyla Avrupa Birliği 2024/2847 sayılı Tüzük, AB pazarında sunulan dijital unsurlar içeren ürünler için yatay siber güvenlik çerçevesidir.

Düzenleme, belirli tek bir sektöre değil, farklı sektörlerdeki yazılım ve donanım ürünlerine uygulanabilecek ortak güvenlik gereksinimleri oluşturur.

Cyber Resilience Act kapsamında temel amaçlar şunlardır:

• Ürünlerin güvenli şekilde tasarlanmasını sağlamak
• Varsayılan güvenlik seviyesini yükseltmek
• Ürünlerdeki bilinen güvenlik açıklarını azaltmak
• Üreticilerin açıkları düzenli olarak yönetmesini sağlamak
• Güvenlik güncellemelerini ürün yaşam döngüsüne eklemek
• Kullanıcılara destek süresi ve güvenli kullanım bilgisi sunmak
• Ürünlerin tedarik zincirini görünür hâle getirmek
• Aktif olarak istismar edilen açıkların zamanında bildirilmesini sağlamak

Cyber Resilience Act Bir Direktif mi?

Hayır. Cyber Resilience Act bir Avrupa Birliği tüzüğüdür. Tüzükler, AB hukukunda üye devletlerde doğrudan uygulanabilir niteliktedir.

CRA Kısaltması Ne Anlama Gelir?

CRA, Cyber Resilience Act ifadesinin kısaltmasıdır. Türkçede Siber Dayanıklılık Yasası, Siber Dayanıklılık Tüzüğü veya Siber Dayanıklılık Düzenlemesi gibi karşılıklar kullanılabilir.

Cyber Resilience Act Neden Gerekli?

Dijital cihazların ve yazılımların kullanım süresi boyunca güvenli tutulması her zaman üreticilerin temel önceliği olmayabilir.

Piyasadaki bazı ürünlerde şu sorunlar görülebilir:

• Kolay tahmin edilen varsayılan parolalar
• Kullanılmayan fakat açık bırakılan ağ servisleri
• Güncellenemeyen veya güncellemesi durdurulan yazılımlar
• Eski ve güvenlik açığı bulunan açık kaynak bağımlılıklar
• Şifrelenmeden aktarılan veriler
• Güvenlik olaylarını bildirecek iletişim kanalının bulunmaması
• Ürün desteğinin ne zaman biteceğinin açıklanmaması
• Güvenlik açığı bildiren araştırmacılara yönelik sürecin olmaması

Cyber Resilience Act, siber güvenlik maliyetinin yalnızca kullanıcıya bırakılmasını engellemeyi ve ürün üreticisini yaşam döngüsü boyunca sorumlu tutmayı amaçlar.

Cyber Resilience Act Uygulama Tarihleri

2027 Yılına Kadar Beklemek Doğru mu?

Hayır. Güvenli geliştirme süreci, teknik dokümantasyon, SBOM, açık yönetimi ve ürün sınıflandırması kısa sürede kurulabilecek işlemler değildir.

Ürün geliştiren şirketlerin 2027 tarihini son hazırlık tarihi olarak değil, uygunluk sisteminin çalışır durumda olması gereken tarih olarak değerlendirmesi gerekir.

Cyber Resilience Act Hangi Ürünleri Kapsar?

Cyber Resilience Act, Avrupa Birliği pazarında ticari faaliyet kapsamında sunulan ve kullanım amacı doğrudan veya dolaylı olarak bir cihaz ya da ağ bağlantısı içeren dijital unsurlu ürünlere uygulanabilir.

Muhtemel Ürün Örnekleri

• Masaüstü ve mobil yazılımlar
• İşletim sistemleri
• Web tarayıcıları
• Parola yöneticileri
• Ağ yönlendiricileri ve modemler
• Akıllı ev sistemleri
• Güvenlik kameraları
• Akıllı saatler ve giyilebilir cihazlar
• Endüstriyel kontrol bileşenleri
• Uzaktan erişim yazılımları
• Container ve sanallaştırma ürünleri
• Yazılım kütüphaneleri ve ayrı satılan bileşenler
• Bağlantılı oyuncaklar ve tüketici cihazları
• Mobil uygulamalar
• Güvenlik yazılımları

Dijital Unsurlar İçeren Ürün Nedir?

Dijital unsurlar içeren ürün; yazılım, donanım veya bunların uzaktan veri işleme çözümleriyle birlikte oluşturduğu ürün yapısını ifade eder.

Kapsam yalnızca son kullanıcıya sunulan tamamlanmış cihazla sınırlı değildir. Ayrı olarak pazara sunulan yazılım ve donanım bileşenleri de kapsamda olabilir.

Bağlantı Şartı

Ürünün amaçlanan veya makul olarak öngörülebilen kullanımı bir cihaz ya da ağ ile doğrudan veya dolaylı mantıksal ya da fiziksel veri bağlantısı içeriyorsa CRA kapsamı değerlendirilmelidir.

Uzaktan Veri İşleme Çözümleri

Bazı donanım veya yazılımlar temel işlevlerini üreticinin bulut hizmeti aracılığıyla yerine getirir.

Üretici tarafından tasarlanan veya üreticinin sorumluluğunda bulunan ve ürünün bir işlevini gerçekleştirmesi için gerekli olan uzaktan veri işleme çözümü, ürünün kapsamı içinde değerlendirilebilir.

Örnek

Akıllı güvenlik kamerası yerel olarak görüntü kaydetse bile hareket analizi ve bildirim işlevi üreticinin bulut platformu olmadan çalışmıyorsa uzaktan işleme çözümü ürün yapısının bir parçası olabilir.

Hangi Ürünler Kapsam Dışında Kalabilir?

Cyber Resilience Act kapsamında bazı ürünler, başka özel Avrupa Birliği mevzuatları tarafından düzenlendikleri için tamamen veya kısmen kapsam dışında kalabilir.

Kapsam değerlendirmesinde şu alanlar ayrıca incelenmelidir:

• Tıbbi cihazlar
• Belirli motorlu taşıt sistemleri
• Havacılık ürünleri
• Denizcilik ekipmanları
• Ulusal güvenlik ve savunmayla sınırlı belirli ürünler
• Ticari faaliyet dışında sunulan belirli özgür ve açık kaynak yazılımlar

Bir ürünün başka bir düzenlemeye tabi olması otomatik olarak bütün CRA yükümlülüklerinden muaf olduğu anlamına gelmez. Ürün ve işlev bazında hukuki değerlendirme yapılmalıdır.

Cyber Resilience Act Kapsamındaki Ekonomik Operatörler

Üreticinin Sorumlulukları

Cyber Resilience Act kapsamındaki ana yükümlülükler üreticiye yöneliktir.

Üreticinin Temel Görevleri

• Ürün için siber güvenlik risk değerlendirmesi yapmak
• Ürünü temel güvenlik gereksinimlerine göre tasarlamak
• Güvenli varsayılan yapılandırmalar kullanmak
• Üçüncü taraf bileşenleri dikkatle değerlendirmek
• Güvenlik açıklarını yaşam döngüsü boyunca yönetmek
• Teknik dokümantasyon hazırlamak
• Uygunluk değerlendirmesi gerçekleştirmek
• AB uygunluk beyanı oluşturmak
• Uygun olduğunda CE işaretini kullanmak
• Destek süresini kullanıcıya açıklamak
• Aktif istismar edilen açıkları ve ciddi olayları bildirmek

İthalatçının Sorumlulukları

AB dışında bulunan bir üreticinin ürününü AB pazarına sunan ithalatçı, üreticinin CRA yükümlülüklerini yerine getirdiğini kontrol etmelidir.

Kontrol Edilecek Noktalar

• Uygunluk değerlendirmesi tamamlanmış mı?
• Teknik dokümantasyon hazırlanmış mı?
• CE işareti doğru kullanılmış mı?
• Üretici iletişim bilgileri sunulmuş mu?
• Kullanıcı talimatları sağlanmış mı?
• Destek süresi belirtilmiş mi?
• Güvenlik açığı yönetim süreci bulunuyor mu?

İthalatçı ürünün uyumsuz olduğunu düşünüyorsa ürün uygun hâle getirilmeden pazara sunmamalıdır.

Distribütörün Sorumlulukları

Distribütörler, ürünün tedarik zincirinde CRA uyumluluğunu görünür biçimde kontrol etmekle yükümlü olabilir.

Distribütörün ürün güvenliğiyle ilgili bir açık veya uygunsuzluk fark etmesi hâlinde üreticiyi ya da ithalatçıyı bilgilendirmesi ve gerekli hâllerde ürünü sunmayı durdurması gerekebilir.

Cyber Resilience Act ve Secure by Design

Cyber Resilience Act, güvenliğin ürün tamamlandıktan sonra eklenen bir özellik olmamasını amaçlar.

Secure by design, güvenlik gereksinimlerinin planlama, mimari, geliştirme, test, dağıtım ve bakım aşamalarına baştan eklenmesidir.

Secure by Design Uygulamaları

• Tehdit modelleme
• Güvenli kodlama standartları
• Kod incelemesi
• Bağımlılık ve zafiyet taraması
• Yetki sınırlarının tasarlanması
• Güvenli güncelleme mekanizması
• Kriptografik anahtar yönetimi
• Sızma ve kötüye kullanım testleri
• Güvenlik olaylarının izlenmesi

Secure by Default Nedir?

Secure by default, ürünün ilk kurulumda en güvenli ve makul yapılandırmayla çalışmasıdır.

Güvenli Varsayılan Örnekleri

• Her cihaz için benzersiz parola oluşturulması
• Gereksiz ağ servislerinin kapalı olması
• Yönetici arayüzünün internete açık olmaması
• Güvenlik güncellemelerinin varsayılan olarak etkin olması
• En düşük kullanıcı yetkilerinin verilmesi
• Şifreli iletişimin varsayılan olması
• Gizlilik açısından gereksiz verilerin toplanmaması

Siber Güvenlik Risk Değerlendirmesi

Üreticinin ürün için siber güvenlik risk değerlendirmesi hazırlaması ve bu değerlendirmeyi ürünün bütün yaşam döngüsünde kullanması gerekir.

Değerlendirilecek Başlıklar

• Ürünün işlevleri
• Kullanıcı türleri
• Ağ ve cihaz bağlantıları
• İşlenen veri türleri
• Kullanılan üçüncü taraf bileşenler
• Olası saldırgan profilleri
• Yetkisiz erişim senaryoları
• Güncelleme ve kurtarma yöntemleri
• Ürünün beklenen kullanım süresi

Risk Değerlendirmesi Ne Zaman Güncellenir?

Yeni güvenlik açığı, tehdit yöntemi, ürün özelliği, bağımlılık veya önemli yazılım sürümü ortaya çıktığında değerlendirme gözden geçirilmelidir.

Güvenlik Açığı Yönetimi

Cyber Resilience Act, üreticilerin ürünlerindeki ve ürüne entegre edilen bileşenlerdeki güvenlik açıklarını sistematik şekilde yönetmesini ister.

Açık Yönetimi Süreci

1. Ürün ve bileşen envanteri oluşturulur.
2. Yeni zafiyet kaynakları izlenir.
3. Ürünün etkilenip etkilenmediği analiz edilir.
4. Risk ve istismar durumu değerlendirilir.
5. Düzeltme veya azaltıcı önlem hazırlanır.
6. Güncelleme güvenli kanalla dağıtılır.
7. Kullanıcılara gerekli bilgi sunulur.
8. Düzeltme sonrası doğrulama yapılır.

Coordinated Vulnerability Disclosure

Üreticinin güvenlik araştırmacılarının açık bildirebileceği bir iletişim noktası ve koordineli güvenlik açığı açıklama politikası hazırlaması önemlidir.

Cyber Resilience Act Ürün Destek Süresi

Üretici, ürünün beklenen kullanım süresine göre bir destek dönemi belirlemeli ve bu dönem boyunca güvenlik açıklarını etkili şekilde yönetmelidir.

Destek süresinin bitiş tarihi kullanıcıya açık, anlaşılır ve satın alma sırasında görülebilir biçimde sunulmalıdır.

Destek Süresi Belirlenirken

• Ürünün beklenen kullanım ömrü
• Kullanıcının makul beklentisi
• Benzer ürünlerin destek süresi
• Donanım ve yazılım bileşenlerinin ömrü
• Ürünün kritikliği
• Güncelleme altyapısının sürdürülebilirliği

dikkate alınmalıdır.

Güvenlik Güncellemeleri

Güvenlik güncellemesi yalnızca hazırlanmakla kalmamalı, güvenilir ve kullanıcı tarafından uygulanabilir şekilde dağıtılmalıdır.

Güvenli Güncelleme Gereksinimleri

• Güncelleme paketinin dijital olarak imzalanması
• İmzanın cihaz veya uygulama tarafından doğrulanması
• Şifreli aktarım kullanılması
• Başarısız güncellemede geri dönüş yapılabilmesi
• Güncellemenin hangi açığı düzelttiğinin açıklanması
• Eski ve savunmasız sürümlerin izlenmesi

Cyber Resilience Act ve SBOM

Cyber Resilience Act kapsamında üreticilerin ürün bileşenlerini yönetebilmesi için yazılım malzeme listesi veya SBOM önemli bir araçtır.

SBOM, üründe kullanılan yazılım bileşenlerini, paketleri, sürümleri ve ilişkileri görünür hâle getirir.

SBOM Ne Sağlar?

• Yeni güvenlik açığından etkilenen bileşeni hızlı bulma
• Üçüncü taraf bağımlılıkları izleme
• Eski paketleri belirleme
• Lisans ve kaynak takibi
• Olay müdahalesini hızlandırma
• Tedarik zinciri görünürlüğü

SBOM yapısını ayrıntılı öğrenmek için SBOM Nedir? rehberini inceleyebilirsiniz.

SBOM Ürünün Güvenli Olduğunu Kanıtlar mı?

Hayır. SBOM bir bileşen envanteridir. Bileşenlerin güvenli kullanımı, yapılandırması, yamalanması ve ürün içindeki etkisi ayrıca değerlendirilmelidir.

Üçüncü Taraf Bileşenler ve Tedarik Zinciri

Üretici, ürüne eklediği üçüncü taraf bileşenlerin ürünün güvenliğini tehlikeye atmaması için gerekli özeni göstermelidir.

Kontrol Edilecek Alanlar

• Bileşenin kaynağı
• Sürümü ve güncelliği
• Bilinen güvenlik açıkları
• Lisansı
• Bakım ve destek durumu
• Build kaynağı ve bütünlüğü
• Transitive bağımlılıklar
• Güncelleme yöntemi

Yazılımın gerçekten güvenilir kaynaktan üretildiğini doğrulamak için SLSA Nedir? içeriğinden yararlanabilirsiniz.

Cyber Resilience Act Bildirim Yükümlülükleri

11 Eylül 2026’dan itibaren üreticilerin farkına vardıkları aktif olarak istismar edilen güvenlik açıklarını ve ürün güvenliğini etkileyen ciddi olayları bildirmesi gerekecektir.

Bildirim süreleri kısa olduğu için olay müdahale, hukuk, ürün ve yönetim ekiplerinin önceden tanımlanmış iş akışıyla çalışması gerekir.

24 Saatlik Erken Uyarı

Üretici, bildirim kapsamındaki bir açık veya olaydan haberdar olduktan sonra 24 saat içinde erken uyarı sunmalıdır.

Bu aşamada bütün teknik ayrıntıların tamamlanmış olması beklenmeyebilir. Amaç, yetkili kurumları zamanında haberdar etmektir.

Erken Uyarıda Bulunabilecek Bilgiler

• Etkilenen ürün veya ürün ailesi
• Olay ya da açığın genel niteliği
• İstismarın bilinen durumu
• Muhtemel etkilenen ülkeler
• İlk azaltıcı önlemler
• Üreticinin iletişim bilgileri

72 Saatlik Ana Bildirim

Üreticinin farkındalık anından itibaren 72 saat içinde daha ayrıntılı ana bildirim sunması gerekir.

Ana Bildirimde

• Teknik bulgular
• Ürün ve sürüm bilgileri
• İstismar göstergeleri
• Güvenlik etkisi
• Uygulanan azaltıcı önlemler
• Planlanan düzeltme
• Kullanıcı iletişimi

yer alabilir.

Nihai Rapor Süreleri

Aktif olarak istismar edilen güvenlik açıklarında nihai rapor, düzeltici veya azaltıcı önlem kullanıma sunulduktan sonra en geç 14 gün içinde hazırlanmalıdır.

Ciddi güvenlik olaylarında ise nihai raporun 72 saatlik ana bildirimden itibaren bir ay içinde sunulması gerekir.

CRA Single Reporting Platform

Bildirimler, ENISA tarafından kurulacak CRA Single Reporting Platform üzerinden yapılacaktır.

Üreticinin ana kuruluşunun bulunduğu üye devletteki CSIRT bildirimi alacak ve gerekli koşullarda diğer ilgili CSIRT’lerle paylaşacaktır.

Şirketler Şimdiden Ne Yapmalı?

• Bildirim sorumlusunu belirlemeli
• 24 ve 72 saatlik iç zaman çizelgesi hazırlamalı
• Ürün ve sürüm envanterini güncel tutmalı
• Olay önem derecelerini tanımlamalı
• Hukuk ve güvenlik ekipleri arasında iletişim kanalı kurmalı
• Bildirim tatbikatları yapmalı

Cyber Resilience Act Uygunluk Değerlendirmesi

Üretici ürünü AB pazarına sunmadan önce temel siber güvenlik gereksinimlerinin karşılandığını doğrulamak için uygunluk değerlendirmesi gerçekleştirmelidir.

Ürünün risk sınıfına göre şu yöntemlerden biri kullanılabilir:

• İç üretim kontrolü ve öz değerlendirme
• Onaylanmış kuruluş tarafından üçüncü taraf değerlendirme
• AB tip incelemesi ve üretim kontrolü
• Tam kalite güvence sistemi
• Uygun olduğunda Avrupa siber güvenlik sertifikasyon şeması

Standart, Önemli ve Kritik Ürünler

Cyber Resilience Act, dijital unsurlar içeren ürünleri güvenlik önemine ve potansiyel etkisine göre farklı uygunluk değerlendirme yollarına ayırır.

Önemli Ürün Sınıfı I

Sınıf I ürünlerde üretici, uygun harmonize standartları veya kabul edilen sertifikasyon mekanizmalarını tam olarak uygularsa belirli koşullarda öz değerlendirme kullanabilir.

Bu şartlar karşılanmıyorsa üçüncü taraf uygunluk değerlendirmesi gerekebilir.

Önemli Ürün Sınıfı II

Sınıf II ürünler daha yüksek güvenlik etkisine sahip kabul edilir ve genel olarak onaylanmış kuruluş tarafından değerlendirme gerektirir.

Kritik Ürünler

Kritik ürünler, güvenlik fonksiyonları ve potansiyel etkileri nedeniyle daha yüksek uygunluk güvencesi gerektiren ürün kategorileridir.

Ürünün hangi sınıfta bulunduğu yalnızca marka veya pazarlama adına göre değil, temel işlevine ve resmî kategori tanımlarına göre belirlenmelidir.

Cyber Resilience Act ve CE İşareti

Uygunluk değerlendirmesi başarıyla tamamlandığında üretici AB uygunluk beyanını düzenler ve gerekli koşullarda ürüne CE işareti ekler.

CE işareti, ürünün Cyber Resilience Act dâhil uygulanabilir Avrupa Birliği uyum mevzuatındaki gereksinimleri karşıladığına ilişkin üretici beyanını gösterir.

CE İşareti Güvenlik Garantisi midir?

CE işareti ürünün hiçbir zaman güvenlik açığı yaşamayacağı anlamına gelmez. Üretici, ürün piyasaya çıktıktan sonra da destek süresince açıkları yönetmeye devam etmelidir.

Cyber Resilience Act Teknik Dokümantasyonu

Üreticinin ürün piyasaya sunulmadan önce teknik dokümantasyon hazırlaması ve yetkili piyasa gözetim makamlarının erişimine hazır tutması gerekir.

Dokümantasyonda Bulunabilecek Bilgiler

• Ürünün genel açıklaması
• Donanım ve yazılım mimarisi
• Ürün sürümleri
• Siber güvenlik risk değerlendirmesi
• Uygulanan güvenlik kontrolleri
• Kullanılan standartlar
• Test ve doğrulama sonuçları
• Üçüncü taraf bileşen bilgileri
• Güncelleme mekanizması
• Açık yönetimi süreci
• Uygunluk değerlendirme kayıtları

Kullanıcıya Sunulacak Bilgiler

Ürünle birlikte kullanıcıların ürünü güvenli şekilde kurmasına, çalıştırmasına ve kullanmasına yardımcı olacak açık talimatlar sunulmalıdır.

Kullanıcı Bilgileri

• Üreticinin adı ve iletişim bilgileri
• Ürünü tanımlayan model veya sürüm bilgisi
• Amaçlanan kullanım
• Güvenli kurulum adımları
• Güvenlik yapılandırmaları
• Güncelleme yöntemi
• Güvenlik açığı bildirim kanalı
• Destek döneminin bitiş tarihi
• Gerekli bakım ve güvenlik önerileri

Açık Kaynak Yazılım ve Cyber Resilience Act

Cyber Resilience Act, ücretsiz ve açık kaynak yazılımlar için ticari faaliyet koşullarını dikkate alan özel bir yaklaşım uygular.

Ticari faaliyet kapsamında pazara sunulmayan açık kaynak yazılımlar genel ürün yükümlülüklerinin dışında kalabilir.

Ancak yalnızca kaynak kodun açık olması ürünün otomatik olarak kapsam dışında olduğu anlamına gelmez.

Ticari Faaliyet Göstergeleri

• Yazılımın ücret karşılığı sunulması
• Ürün veya hizmet paketinin parçası olması
• Ticari destek sözleşmesiyle sunulması
• Şirketin markası altında pazarlanması
• Ticari ürünün temel bileşeni hâline getirilmesi

Open Source Software Steward Nedir?

Open source software steward, belirli ticari amaçlı açık kaynak ürünlerin geliştirilmesini sürdürülebilir biçimde destekleyen fakat üretici olarak pazara sunmayan tüzel kişidir.

Bu kuruluşların güvenli geliştirmeyi destekleyen bir siber güvenlik politikası oluşturması, güvenlik açıklarını etkili şekilde yönetmesi ve yetkili makamlarla iş birliği yapması gerekebilir.

SaaS Ürünleri Cyber Resilience Act Kapsamında mı?

Yalnızca uzaktan sunulan bağımsız hizmetler her durumda doğrudan dijital unsurlu ürün olarak değerlendirilmeyebilir.

Ancak SaaS hizmeti, pazara sunulan yazılım veya donanım ürününün bir işlevini yerine getirmesi için gerekli uzaktan veri işleme çözümüyse ürün kapsamının parçası olabilir.

SaaS şirketleri şu soruları değerlendirmelidir:

• Müşteriye indirilebilir yazılım veya ajan sunuluyor mu?
• Hizmet bağlı cihazın temel işlevi için gerekli mi?
• Ürün şirketin adı veya markasıyla mı pazarlanıyor?
• Yazılım AB pazarında ticari faaliyet kapsamında mı sunuluyor?
• Hizmet olmadan ürün işlevlerinden biri çalışmıyor mu?

Mobil Uygulamalar ve Cyber Resilience Act

AB pazarında ticari faaliyet kapsamında sunulan mobil uygulamalar, kullanım biçimine bağlı olarak CRA kapsamına girebilir.

Uygulama mağazasının güvenlik taramasından geçmek CRA uyumluluğunun yerine geçmez.

Mobil Uygulama Kontrolleri

• Güvenli oturum yönetimi
• Sertifika ve TLS doğrulaması
• Güvenli veri saklama
• Bağımlılık taraması
• Root veya jailbreak risklerinin değerlendirilmesi
• Güvenli güncelleme ve sürüm desteği
• API yetkilendirmesi

IoT Cihazları ve Cyber Resilience Act

Akıllı cihazlar, internet bağlantıları ve uzun kullanım süreleri nedeniyle Cyber Resilience Act açısından önemli ürün gruplarındandır.

IoT Üreticilerinin Dikkat Etmesi Gerekenler

• Benzersiz cihaz kimliği
• Varsayılan parola kullanılmaması
• İmzalı firmware güncellemeleri
• Güvenli boot süreci
• Gereksiz portların kapatılması
• Bulut API’lerinde güçlü yetkilendirme
• Cihaz desteğinin bitiş tarihinin açıklanması
• Fiziksel müdahale risklerinin değerlendirilmesi

Yapay Zekâ Ürünleri ve Cyber Resilience Act

Bir yapay zekâ modeli veya yapay zekâ destekli uygulama, yazılım ürünü olarak AB pazarına sunuluyorsa CRA kapsam değerlendirmesine ihtiyaç duyabilir.

Yapay Zekâ Ürünlerindeki Güvenlik Alanları

• Model ve veri dosyalarının bütünlüğü
• API ve kullanıcı yetkilendirmesi
• Prompt injection ve araç kötüye kullanımı
• Üçüncü taraf model tedarik zinciri
• Model güncelleme süreci
• Hassas veri sızıntısı
• Log ve gözlemlenebilirlik
• Ajanların işlem yetkileri

Saldırgan bakış açısıyla test süreci için AI Red Teaming rehberini inceleyebilirsiniz.

Cyber Resilience Act ile NIS2 Arasındaki Fark

Aynı şirket hem ürün üreticisi olarak CRA’ya hem de hizmet sağlayıcısı veya kritik kuruluş olarak NIS2’ye tabi olabilir.

Cyber Resilience Act ile GDPR Arasındaki Fark

GDPR kişisel verilerin hukuka uygun ve güvenli işlenmesine odaklanır. Cyber Resilience Act ise dijital ürünün genel siber güvenlik özelliklerini ve açık yönetimini düzenler.

Bir güvenlik açığı hem ürün güvenliğini hem kişisel verileri etkiliyorsa CRA ve GDPR kapsamındaki süreçler aynı anda devreye girebilir.

Cyber Resilience Act DevSecOps Sürecini Nasıl Etkiler?

Cyber Resilience Act gereksinimlerini yalnızca yayın öncesindeki son güvenlik testine bırakmak sürdürülebilir değildir.

CI/CD Sürecine Eklenebilecek Kontroller

• Static Application Security Testing
• Dynamic Application Security Testing
• Software Composition Analysis
• Secret scanning
• Container image taraması
• IaC güvenlik analizi
• SBOM oluşturma
• Artifact imzalama
• Build provenance üretme
• Güvenlik regresyon testleri

Yayın Kapısı

Kritik güvenlik açığı, eksik SBOM veya doğrulanmamış artifact bulunan sürümün otomatik olarak üretime çıkması engellenebilir.

Şirketler Cyber Resilience Act İçin Nasıl Hazırlanmalı?

Ürün Envanteri

AB pazarında sunulan bütün yazılım, donanım, mobil uygulama, bileşen ve bulut bağlantılı ürünler listelenmelidir.

Rol Analizi

Şirketin üretici, ithalatçı, distribütör, yetkili temsilci veya açık kaynak yöneticisi rollerinden hangilerine sahip olduğu belirlenmelidir.

Kapsam ve Sınıflandırma

Her ürünün kapsamda olup olmadığı ve standart, önemli ya da kritik kategorilerden hangisine girdiği değerlendirilmelidir.

Mevcut Kontrollerin Analizi

Mevcut güvenlik geliştirme, güncelleme, olay bildirimi, SBOM ve dokümantasyon süreçleri CRA gereksinimleriyle karşılaştırılmalıdır.

Eksiklerin Giderilmesi

En kritik eksikler için sahip, bütçe ve tamamlanma tarihi belirlenmelidir.

Cyber Resilience Act Uyum Yol Haritası

Aşama 1: Kapsam ve Ürün Haritası

• AB’ye sunulan ürünleri listeleyin.
• Her ürünün sahibi ve teknik ekibini belirleyin.
• Donanım, yazılım ve uzaktan hizmet bağlantılarını çıkarın.
• Ekonomik operatör rolünü belirleyin.

Aşama 2: Güvenlik Risk Değerlendirmesi

• Tehdit modeli hazırlayın.
• Ürün saldırı yüzeyini çıkarın.
• Güvenlik gereksinimlerini tanımlayın.
• Risk kabul kriterlerini oluşturun.

Aşama 3: Ürün ve Bağımlılık Envanteri

• SBOM üretimini otomatikleştirin.
• Donanım ve firmware bileşenlerini listeleyin.
• Üçüncü taraf tedarikçileri belirleyin.
• Desteksiz bileşenleri değiştirin.

Aşama 4: Güvenli Geliştirme

• Güvenli kodlama standardı oluşturun.
• Kod incelemesini zorunlu kılın.
• Otomatik güvenlik taramalarını CI/CD’ye ekleyin.
• Release artifact’lerini imzalayın.

Aşama 5: Açık Yönetimi

• Güvenlik bildirim kanalı açın.
• Coordinated Vulnerability Disclosure politikası hazırlayın.
• Açık önem derecesi ve SLA’ları belirleyin.
• Güncelleme mekanizmasını test edin.

Aşama 6: Bildirim Hazırlığı

• 24 ve 72 saatlik prosedür hazırlayın.
• Yetkili karar vericileri belirleyin.
• Olay raporu şablonları oluşturun.
• Bildirim tatbikatı yapın.

Aşama 7: Teknik Dokümantasyon

• Risk değerlendirmesini belgeleyin.
• Test sonuçlarını saklayın.
• Uygulanan standartları kaydedin.
• Destek süresini belirleyin.
• Kullanıcı güvenlik talimatlarını hazırlayın.

Aşama 8: Uygunluk Değerlendirmesi

• Ürün sınıfını doğrulayın.
• Gerekli değerlendirme modülünü seçin.
• Gerekirse onaylanmış kuruluşla çalışın.
• AB uygunluk beyanını hazırlayın.

Örnek Cyber Resilience Act Ürün Senaryosu

AB pazarına internet bağlantılı bir ev güvenlik kamerası sunan şirketi ele alalım.

Ürün Bileşenleri

• Kamera donanımı
• Firmware
• Mobil uygulama
• Bulut video hizmeti
• Bildirim API’si
• Üçüncü taraf açık kaynak kütüphaneler

Riskler

• Varsayılan yönetici parolası
• Güvensiz firmware güncellemesi
• Bulut API’sinde yetkilendirme hatası
• Desteksiz şifreleme kütüphanesi
• Kamera görüntülerinin açığa çıkması

Uygulanacak Kontroller

• Her cihaz için benzersiz kimlik bilgisi
• İmzalı firmware güncellemesi
• Mobil ve bulut API güvenlik testleri
• SBOM oluşturma
• Destek süresinin açıklanması
• Güvenlik açığı bildirim kanalı
• Olay ve açık bildirim prosedürü

Sonuç

Şirket yalnızca kameranın donanımını değil, ürün işlevi için gerekli mobil uygulama ve uzaktan veri işleme hizmetlerini de birlikte değerlendirmelidir.

Cyber Resilience Act İçin İzlenmesi Gereken Metrikler

• Ürün başına açık güvenlik açığı sayısı
• Kritik açığın tespit edilme süresi
• Açığın düzeltilme süresi
• Güncel SBOM bulunan ürün oranı
• Desteklenen ürün sürümü oranı
• Güvenlik güncellemesini alan cihaz oranı
• İmzalı artifact oranı
• Desteksiz bağımlılık sayısı
• 24 saat içinde sınıflandırılan olay oranı
• 72 saatlik bildirim tatbikatı başarı oranı
• Güvenlik testlerinden geçmeden yayımlanan sürüm sayısı
• Kullanıcıya açıklanmış destek süresi bulunan ürün oranı

Cyber Resilience Act Kontrol Listesi

Cyber Resilience Act Hazırlığında Sık Yapılan Hatalar

• Hazırlığı 2027 yılına ertelemek
• Yalnızca donanımı değerlendirip mobil uygulama ve bulutu unutmak
• SaaS ürünlerinin otomatik olarak kapsam dışında olduğunu düşünmek
• Açık kaynak kullanılan bütün ürünlerin muaf olduğunu varsaymak
• SBOM oluşturup güncel tutmamak
• Üçüncü taraf bağımlılıkları üretici sorumluluğu dışında görmek
• Güvenlik testini yalnızca ürün yayınlanırken yapmak
• Destek süresini ticari garanti süresiyle karıştırmak
• Güncelleme paketlerini imzalamamak
• Bildirim süresini olay tamamen çözüldükten sonra başlatmak
• 24 ve 72 saatlik süreç için sorumlu belirlememek
• Teknik dokümantasyonu ürün sürümlerinden bağımsız tutmak
• CE işaretini güvenlik açığı bulunmayacağı garantisi sanmak
• İthalatçı ve distribütör rollerini değerlendirmemek
• Ürünün risk sınıfını pazarlama adına göre belirlemek
• Kullanıcıya destek bitiş tarihini açıklamamak
• Güvenlik açığı bildiren araştırmacılar için kanal oluşturmamak
• DevSecOps kontrollerini manuel süreçlere bırakmak

Cyber Resilience Act İçin Güvenilir Kaynaklar

• European Commission – Cyber Resilience Act
• European Commission – CRA Mevzuat Özeti
• European Commission – Üretici Yükümlülükleri
• European Commission – CRA Bildirim Yükümlülükleri
• European Commission – Uygunluk Değerlendirmesi
• European Commission – Açık Kaynak Yazılım ve CRA
• EUR-Lex – Regulation EU 2024/2847
• TeknoTürkiye – SBOM Nedir?
• TeknoTürkiye – SLSA Nedir?
• TeknoTürkiye – Zero Trust Mimarisi
• TeknoTürkiye – Observability Nedir?

Cyber Resilience Act Hakkında Sık Sorulan Sorular

Cyber Resilience Act nedir?

AB pazarına sunulan dijital unsurlar içeren yazılım ve donanım ürünleri için güvenli tasarım, açık yönetimi, güncelleme ve uygunluk gereksinimleri belirleyen Avrupa Birliği tüzüğüdür.

Cyber Resilience Act ne zaman yürürlüğe girdi?

10 Aralık 2024 tarihinde yürürlüğe girdi.

Cyber Resilience Act ne zaman uygulanacak?

Bildirim yükümlülükleri 11 Eylül 2026’da, temel hükümler ise 11 Aralık 2027’de uygulanmaya başlayacaktır.

CRA neyin kısaltmasıdır?

Cyber Resilience Act ifadesinin kısaltmasıdır.

Cyber Resilience Act kimleri etkiler?

AB pazarına dijital unsurlar içeren ürün sunan üretici, ithalatçı, distribütör, yetkili temsilci ve belirli açık kaynak yazılım yöneticilerini etkileyebilir.

Türkiye’deki şirketler CRA’ya tabi olabilir mi?

Türkiye’de kurulmuş bir şirket, ürününü AB pazarına sunuyorsa üretici veya AB içindeki ithalatçısı üzerinden Cyber Resilience Act yükümlülükleriyle karşılaşabilir.

CRA yalnızca donanım ürünlerine mi uygulanır?

Hayır. Yazılım ürünleri, mobil uygulamalar, işletim sistemleri ve ayrı sunulan yazılım bileşenleri de kapsamda olabilir.

SaaS ürünleri Cyber Resilience Act kapsamına girer mi?

Bağımsız hizmetin kapsamı kullanım modeline bağlıdır. Pazara sunulan ürünün işlevi için gerekli uzaktan veri işleme çözümü kapsamın parçası olabilir.

Mobil uygulamalar CRA kapsamında mı?

AB pazarında ticari faaliyet kapsamında sunulan mobil uygulamalar, ürün ve dağıtım modeline göre kapsamda olabilir.

Açık kaynak yazılımlar CRA’dan muaf mı?

Ticari faaliyet dışında sunulan bazı ücretsiz açık kaynak yazılımlar genel ürün yükümlülüklerinin dışında kalabilir. Ticari kullanım veya ürünleştirme durumunda kapsam ayrıca değerlendirilmelidir.

SBOM zorunlu mu?

Üreticilerin ürün bileşenlerini ve güvenlik açıklarını yönetmesi gerekir. SBOM, teknik dokümantasyon ve açık yönetimi için kullanılan temel araçlardan biridir.

SBOM tek başına CRA uyumu sağlar mı?

Hayır. Risk değerlendirmesi, güvenli tasarım, güncelleme, bildirim, uygunluk ve kullanıcı bilgilendirmesi de gerekir.

Cyber Resilience Act destek süresi nedir?

Üreticinin ürünün beklenen kullanımına göre belirlediği ve güvenlik açıklarını yöneteceği dönemdir. Bitiş tarihi kullanıcıya açıklanmalıdır.

CRA kapsamında güvenlik güncellemeleri zorunlu mu?

Üretici destek süresi boyunca ürün güvenlik açıklarını etkili şekilde yönetmeli ve gerekli güvenlik güncellemelerini sunmalıdır.

24 saatlik bildirim nedir?

Üreticinin aktif olarak istismar edilen açık veya ciddi güvenlik olayından haberdar olduktan sonraki 24 saat içinde erken uyarı göndermesidir.

72 saatlik bildirim nedir?

Üreticinin olay veya açıkla ilgili daha ayrıntılı ana bildirimi farkındalık anından itibaren 72 saat içinde sunmasıdır.

Bildirim nereye yapılacak?

ENISA tarafından işletilecek CRA Single Reporting Platform üzerinden ilgili CSIRT ve ENISA’ya yapılacaktır.

CE işareti CRA için gerekli mi?

Kapsamdaki ürün, uygulanabilir uygunluk değerlendirmesini tamamladıktan sonra gerekli koşullarda CE işareti taşımalıdır.

CE işareti ürünün tamamen güvenli olduğunu gösterir mi?

Hayır. Üretici destek süresi boyunca güvenlik açıklarını yönetmeye devam etmelidir.

CRA uygunluk değerlendirmesi nedir?

Ürünün temel siber güvenlik gereksinimlerini karşılayıp karşılamadığını doğrulayan değerlendirme sürecidir.

Her ürün üçüncü taraf değerlendirmesine girecek mi?

Hayır. Standart ürünlerde öz değerlendirme mümkün olabilir. Önemli ve kritik ürünlerde daha güçlü üçüncü taraf değerlendirme gerekebilir.

CRA ile NIS2 aynı mı?

Hayır. CRA ürün güvenliğine, NIS2 ise kapsamdaki kuruluşların ağ ve bilgi sistemi güvenliğine odaklanır.

CRA ile GDPR aynı mı?

Hayır. GDPR kişisel veri işlemesini, CRA ise dijital ürün siber güvenliğini düzenler. Aynı olay iki düzenlemeyi de etkileyebilir.

Cyber Resilience Act için nereden başlanmalı?

Önce ürün envanteri, kapsam analizi ve şirketin ekonomik operatör rolü belirlenmelidir. Ardından risk, SBOM, açık yönetimi ve uygunluk süreçleri kurulmalıdır.

Küçük şirketler de CRA’ya tabi mi?

Şirket büyüklüğünden bağımsız olarak AB pazarına kapsam içindeki ürün sunulması yükümlülük doğurabilir. Bazı hükümlerde küçük işletmeler için özel uygulamalar bulunabilir.

CRA ihlallerinde yaptırım var mı?

Düzenleme, üye devletlerin uygulayacağı piyasa gözetimi, düzeltici tedbir ve yaptırım mekanizmaları öngörür. Kesin değerlendirme resmî metin ve yetkili makamlar üzerinden yapılmalıdır.

Cyber Resilience Act için DevSecOps gerekli mi?

Belirli bir araç veya yöntem zorunlu değildir. Ancak güvenlik testleri, SBOM, artifact doğrulama ve açık yönetimini otomatikleştiren DevSecOps yaklaşımı uyum hazırlığını kolaylaştırır.

Cyber Resilience Act Sonuç

Cyber Resilience Act, yazılım ve donanım üreticilerinin siber güvenliği ürün yaşam döngüsünün tamamında yönetmesini isteyen kapsamlı Avrupa Birliği düzenlemesidir.

Düzenleme yalnızca son kullanıcı cihazını değil, ayrı pazara sunulan bileşenleri ve ürünün temel işlevi için gerekli uzaktan veri işleme çözümlerini de kapsayabilir.

Üreticiler ürünlerini secure by design ve secure by default ilkelerine göre geliştirmeli, risk değerlendirmesi hazırlamalı ve üçüncü taraf bileşenleri düzenli olarak izlemelidir.

Ürün piyasaya çıktıktan sonra da destek süresi boyunca güvenlik açıklarının yönetilmesi, güvenlik güncellemelerinin sunulması ve gerekli kullanıcı bilgilendirmelerinin yapılması gerekir.

11 Eylül 2026’da uygulanmaya başlayacak bildirim yükümlülükleri, aktif olarak istismar edilen açıklar ve ciddi güvenlik olayları için 24 saatlik erken uyarı ile 72 saatlik ana bildirim gerektirir.

SBOM, güvenli build süreçleri, imzalı güncellemeler, DevSecOps kontrolleri ve koordineli güvenlik açığı açıklama politikası Cyber Resilience Act hazırlığının temel teknik parçalarıdır.

Şirketlerin 11 Aralık 2027 tarihine kadar beklemesi yerine ürün envanteri, sınıflandırma, açık yönetimi ve uygunluk dokümantasyonunu şimdiden oluşturmaya başlaması gerekir.