Siber Dayanıklılık Yasası (CRA): ürününüze uygulanıyor mu?
Siber Dayanıklılık Yasası, AB'de satılan donanım ve yazılım ürünleri için siber güvenlik gereklilikleri belirler. Bildirim yükümlülükleri 11 Eylül 2026'dan, geri kalanı 11 Aralık 2027'den itibaren uygulanır.
7 Ekim 2026 tarihinde kaynaklarla karşılaştırıldı
(AB) 2024/2847 sayılı Tüzük (Siber Dayanıklılık Yasası) (İngilizce)
7 Ekim 2026 tarihinde kaynaklarla karşılaştırıldı
Ürününüz hangi CRA sınıfında?
Bileşenlerinden birinin değil, ürünün kendisinin esas olarak yaptığı işe uyan kategoriyi seçin.
Sınıfını ve açık olan uygunluk değerlendirme yollarını görmek için bir kategori seçin.
(AB) 2024/2847 sayılı Tüzüğün Ek III ve IV'ü ile 7, 8 ve 32. maddeleri; teknik tanımlar (AB) 2025/2392 sayılı Uygulama Tüzüğünde. 7 Ekim 2026 tarihinde kontrol edildi.
Teknik dosya ve onaylanmış kuruluşa hazırlık
Eksikleri her birinin Ek atfıyla görmek için elinizde olanları işaretleyin. Teknik dosya her yolda gerekir; bir onaylanmış kuruluş ayrıca aşağıdaki başvuru belgelerini ister.
13 maddeden 0 tanesi hazır
Hâlâ eksik:
- Genel tanım: kullanım amacı, uygunluğu etkileyen yazılım sürümleri, donanım için fotoğraf veya çizimler ve Ek II'deki kullanıcı bilgileri (Annex VII(1))
- Uygulanabildiği yerde çizimler ve sistem mimarisi dahil tasarım ve geliştirme bilgileri (Annex VII(2)(a))
- Zafiyet yönetimi: yazılım malzeme listesi, koordineli zafiyet açıklama politikası, zafiyet bildirimi için iletişim adresi ve güncellemelerin güvenli dağıtım yöntemi (Annex VII(2)(b))
- Üretim ve izleme süreçleri ve bunların nasıl doğrulandığı (Annex VII(2)(c))
- Siber güvenlik risk değerlendirmesi (Madde 13): Ek I Bölüm I'deki her temel gerekliliğin nasıl uygulandığını gösterir (Annex VII(3))
- Destek süresini belirlemek için kullanılan bilgiler (Madde 13(8)) (Annex VII(4))
- Tam veya kısmen uygulanan uyumlaştırılmış standartlar, ortak spesifikasyonlar veya sertifikasyon şemaları ya da onların yerine kullanılan çözümler (Annex VII(5))
- Ürünün ve zafiyet yönetimi süreçlerinin uygunluğunu doğrulayan test raporları (Annex VII(6))
- AB uygunluk beyanının bir kopyası (Annex VII(7))
- İmalatçının ve varsa yetkili temsilcinin adı ve adresi (Annex VIII, Part II, 3.1)
- Aynı başvurunun başka bir onaylanmış kuruluşa yapılmadığına dair yazılı beyan (Annex VIII, Part II, 3.2)
- Gerektiğinde test sonuçları dahil, tasarım ve zafiyet yönetimi çözümlerine ilişkin destekleyici kanıtlar (Annex VIII, Part II, 3.4)
- Kuruluşun incelemesi için ürünün bir veya daha fazla kritik parçasından numuneler (Annex VIII, Part II, 2)
(AB) 2024/2847 sayılı Tüzüğün Ek VII ve Ek VIII'inden. Yükümlülükler 11 Aralık 2027'den itibaren uygulanır; onaylanmış kuruluşlar 11 Haziran 2026'dan itibaren atanabilir (Madde 71(2)). Bir onaylanmış kuruluş daha fazlasını isteyebilir.
Hangi ürünler
Dijital unsurlu ürünler: amaçlanan veya makul olarak öngörülebilir kullanımı bir cihaza veya ağa veri bağlantısı içeren, uzaktan veri işleme dahil donanım ve yazılım ürünleri. Akıllı ev cihazları, yönlendiriciler, uygulamalar, bağlantılı oyuncaklar ve birçok endüstriyel bileşen tipik örneklerdir.
Neler hariç
Zaten sektörel siber güvenlik kurallarının kapsadığı ürünler: tıbbi cihazlar ve in vitro tanı cihazları, motorlu araçlar, sivil havacılık ve deniz teçhizatı. Yalnızca ulusal güvenlik veya savunma için geliştirilen ürünler de kapsam dışındadır; ticari faaliyet kapsamında sağlanmayan ücretsiz ve açık kaynak yazılım da öyle.
Tarihler
| Tarih | Ne uygulanır |
|---|---|
| 11 Haziran 2026 | Uygunluk değerlendirme kuruluşlarına ilişkin kurallar. |
| 11 Eylül 2026 | İmalatçılar aktif olarak istismar edilen zafiyetleri ve ciddi olayları bildirir: 24 saat içinde erken uyarı, 72 saat içinde bildirim, ardından bir nihai rapor. |
| 11 Aralık 2027 | Diğer tüm gereklilikler: güvenli tasarım, zafiyet yönetimi, uygunluk değerlendirmesi, CE işareti, teknik dosya. |
Bildirim yükümlülüğünün ayrıntıları: süreler, Tek Bildirim Platformu ve hangi CSIRT'ün kullanılacağı. Bkz. CRA bildirimi.
İmalatçılardan istedikleri
- tasarım ve üretimde temel siber güvenlik gerekliliklerini karşılamak;
- genellikle en az beş yıllık bir destek süresi boyunca zafiyetleri yönetmek;
- bir uygunluk değerlendirmesi: çoğu ürün için öz değerlendirme; önemli ve kritik ürünler için uyumlaştırılmış standartlar veya üçüncü taraf bir kuruluş;
- teknik dosya, AB uygunluk beyanı ve CE işareti.
Ücretli CRA belge seti, teknik dosyayı, siber güvenlik risk değerlendirmesini, satış ülkelerinizin dillerinde AB uygunluk beyanını ve kullanıcı bilgilerini Word dosyaları olarak yazar.
Bağlantılı tüketici ürünleri çoğu zaman GPSR kapsamında da olur. Bunu GPSR kontrolü ile kontrol edin.