Son güncelleme: 28 Temmuz 2026
Bir Bakışta
- Madde 14 bildirim yükümlülüğü 11 Eylül 2026 tarihinde başlar; AB pazarındaki eski ürünler dahildir.
- Süreler: 24 saat erken uyarı, 72 saat tam bildirim; nihai rapor aktif istismarda 14 gün, ciddi olayda 1 aydır.
- Bildirim, ENISA Tek Raporlama Platformu üzerinden koordinatör CSIRT’e yapılır; AB dışı imalatçıda muhatap yetkili temsilcinin ülkesidir.
- Mikro ve küçük işletmeler muaf değildir; kolaylık yalnızca 24 saatlik aşamanın ceza uygulamasıyla sınırlıdır.
- Kurulum (playbook, SRP kaydı, envanter, tatbikat) tipik olarak 2-3 haftadır.
11 Eylül 2026’da CRA Madde 14 bildirim yükümlülüğü başlıyor. AB pazarında dijital unsur içeren ürünü bulunan her imalatçı; aktif olarak istismar edilen bir zafiyetten veya ürün güvenliğini etkileyen ciddi bir olaydan haberdar olduğunda 24 saat içinde erken uyarı, 72 saat içinde tam bildirim yapmak zorundadır. Nesil Teknoloji bu altyapıyı — bildirim playbook’u, ENISA Tek Raporlama Platformu (SRP) kayıt kurgusu, muhatap CSIRT belirleme, eski ürün envanteri ve bildirim tatbikatı dahil — 2-3 haftalık bir kurulum çalışmasıyla işler hale getirir; talep halinde 7/24 bildirim nöbeti hizmetiyle sürdürür.
Yükümlülük Ne Diyor?
| Aşama | Süre | İçerik |
|---|---|---|
| Erken uyarı | 24 saat | Haberdar olunmasından itibaren ilk bildirim |
| Tam bildirim | 72 saat | Ayrıntılı bildirim, etki değerlendirmesi, alınan önlemler |
| Nihai rapor | 14 gün / 1 ay | Aktif istismar edilen zafiyette düzeltici önlem sonrası 14 gün; ciddi olayda 1 ay |
Bildirim, ENISA’nın Tek Raporlama Platformu üzerinden ilgili üye devletin koordinatör CSIRT’ine iletilir ve ENISA ile eşzamanlı paylaşılır. AB’de yerleşik olmayan imalatçı için muhatap, kural olarak yetkili temsilcinin bulunduğu üye devletin CSIRT’idir — temsilci seçimi bu nedenle operasyonel bir karardır; kurgusu için AB Yetkili Temsilci Koordinasyonu hizmetimize bakın.
Kimleri, Hangi Ürünleri Kapsıyor?
AB pazarına arz edilmiş kapsamdaki tüm ürünler — 11 Eylül 2026’dan önce satılmış eski ürünler dahil. Mikro ve küçük işletmeler bildirimden muaf değildir; kolaylık yalnızca 24 saatlik erken uyarı aşamasındaki ceza uygulamasıyla sınırlıdır. Yükümlülüğü karşılayabilmenin ön şartı, hangi bileşenin hangi üründe olduğunu bilmektir: SBOM ve zafiyet izleme altyapısı fiilen bu tarihten önce kurulmalıdır.
Kurduğumuz Bildirim Altyapısı
- Bildirim playbook’u — roller ve RACI, karar eşikleri (zafiyet, istismar edilebilir zafiyet, aktif istismar edilen zafiyet ve ciddi olay ayrımı), süre sayaçları.
- SRP kaydı ve muhatap CSIRT kurgusu — Tek Raporlama Platformu erişimi, yetkili temsilci ülkesine göre muhatap belirleme.
- Eski ürün envanteri — AB pazarında halihazırda bulunan ürünlerin, sürümlerin ve destek durumlarının kaydı.
- Zafiyet izleme ve SBOM eşleşmesi — CVE takibinin ürün bileşen listesiyle otomatik eşleştirilmesi.
- Bildirim form şablonları — erken uyarı, tam bildirim ve nihai rapor için Türkçe-İngilizce hazır şablonlar.
- Masabaşı tatbikat — senaryo üzerinden süre ölçümü ve playbook doğrulaması.
Süreç ve Süre
Kurulum tipik olarak 2-3 haftadır: mevcut durum ve ürün envanteri; playbook ile SRP/CSIRT kurgusu; tatbikat ve devreye alma. Devamında aylık zafiyet izleme ve 7/24 bildirim nöbeti opsiyonel hizmet olarak sunulur.
Bildirim Nöbeti (7/24)
24 saatlik pencere, mesai dışı saatlerde tetiklenen olaylarda en çok zorlanılan noktadır. Nöbet hizmeti; olay/zafiyet ihbarının alınması, karar eşiği değerlendirmesi, erken uyarı taslağının hazırlanması ve SRP üzerinden iletim desteğini kapsar.
Sıkça Sorulan Sorular
2027’ye kadar süremiz yok mu?
Ek I’in tamamı için 11 Aralık 2027 geçerlidir; ancak Madde 14, 11 Eylül 2026’da başlar ve eski ürünleri de kapsar. Bildirim altyapısı olmayan imalatçı, ilk olayda 24 saatlik süreyi kaçırma riskiyle başlar.
Bildirim nereye yapılır?
ENISA Tek Raporlama Platformu üzerinden, ilgili üye devletin koordinatör CSIRT’ine. AB’de yerleşik değilseniz muhatap, kural olarak yetkili temsilcinizin bulunduğu ülkenin CSIRT’idir.
Yetkili temsilcimiz yoksa?
Atama zorunlu değildir ancak bildirim muhatabını ve piyasa gözetimi iletişimini netleştirir. AB’de yerleşik temsilci ağımızla atama ve vekâlet kapsamını birlikte kurgularız.
Her zafiyet bildirilecek mi?
Hayır. Bildirim; aktif olarak istismar edilen zafiyetler ve ciddi olaylar içindir. Playbook’taki karar eşikleri; zafiyet, istismar edilebilir zafiyet ve aktif istismar ayrımı ile ciddi olay kriterlerini tanımlar, gereksiz bildirimi de önler.
Resmî Kaynaklar
- Regulation (EU) 2024/2847 — Siber Dayanıklılık Tüzüğü (EUR-Lex)
- Avrupa Komisyonu — CRA Madde 14 Raporlama ve Tek Raporlama Platformu
- ENISA — AB Siber Güvenlik Ajansı
Kurulum İçin Ön Görüşme
11 Eylül 2026’ya sayılı hafta kaldı. Mevcut durumunuzun değerlendirilmesi için: Teklif Talep Et · Ankara 0312 911 46 40 · İstanbul 0216 232 24 33