CRA bildirimi: aktif olarak istismar edilen zafiyetler ve ciddi olaylar
Siber Dayanıklılık Yasası'nın Madde 14'ü, Tüzüğün geri kalanından önce, 11 Eylül 2026'dan beri uygulanıyor. 11 Aralık 2027'den önce piyasaya arz edilen ürünler dahil kapsamdaki her dijital unsurlu ürünü kapsar (Madde 69(3)).
10 Ekim 2026 tarihinde kaynaklarla karşılaştırıldı
(AB) 2024/2847 sayılı Tüzük, Madde 14, 16, 69 ve 71 (İngilizce)
10 Ekim 2026 tarihinde kaynaklarla karşılaştırıldı
Bildirim süresi hesaplayıcı
Ne zaman haberdar olduğunuzu girin. Süreler o andan itibaren saat olarak işler; bu yüzden yerel saatinizle ve UTC olarak gösterilir. Hiçbir şey saklanmaz.
ENISA'nın Tek Bildirim Platformu üzerinden, AB'deki ana kuruluşunuzun bulunduğu üye devletin CSIRT'üne bildirin. CSIRT bir ara rapor isteyebilir.
Neler bildirilmeli
- ürününüzde farkına vardığınız aktif olarak istismar edilen bir zafiyet (Madde 14(1));
- ürününüzün güvenliğini etkileyen ciddi bir olay (Madde 14(3)): hassas veya önemli veri ya da işlevlerin kullanılabilirliğini, gerçekliğini, bütünlüğünü veya gizliliğini etkileyen veya etkileyebilecek ya da üründe veya bir kullanıcının sistemlerinde kötü amaçlı kodun yüklenmesine veya çalıştırılmasına yol açmış veya açabilecek bir olay (Madde 14(5)).
Farkına vardığınız andan itibaren sayılan süreler
| Adım | Aktif olarak istismar edilen zafiyet | Ciddi olay |
|---|---|---|
| Erken uyarı | 24 saat içinde, ürünün bulunduğunu bildiğiniz üye devletleri belirterek. | 24 saat içinde, ayrıca hukuka aykırı veya kötü niyetli eylemlerden şüphelenilip şüphelenilmediğini belirterek. |
| Bildirim | 72 saat içinde: ürün, istismarın ve zafiyetin niteliği, alınan önlemler ve kullanıcıların alabileceği önlemler ve bilgiyi ne kadar hassas gördüğünüz. | 72 saat içinde: olayın niteliği, ilk değerlendirme, alınan önlemler ve kullanıcıların alabileceği önlemler ve bilgiyi ne kadar hassas gördüğünüz. |
| Nihai rapor | Düzeltici veya hafifletici bir önlem hazır olduktan sonra en geç 14 gün içinde: ciddiyeti ve etkisiyle zafiyet, varsa kötü niyetli aktör ve güvenlik güncellemesi. | Bildirimden sonra bir ay içinde: ayrıntılı bir açıklama, olası tehdit veya kök neden ve hafifletme önlemleri. |
Bildirimi alan CSIRT, durum güncellemelerine ilişkin bir ara rapor isteyebilir (Madde 14(6)).
Nereye bildirilir
11 Eylül 2026'da açılan ENISA Tek Bildirim Platformu üzerinden. Bildirimi, AB'deki ana kuruluşunuzun, yani ürünlerinizin siber güvenliğine ilişkin kararların esas olarak alındığı üye devlette koordinatör olarak belirlenen CSIRT'e gönderirsiniz. ENISA bildirimi aynı anda alır ve CSIRT onu ürünün bulunduğu diğer üye devletlere iletir (Madde 14(7) ve 16).
AB dışındaki imalatçılar
AB'de ana kuruluşunuz yoksa, bu listede uygulanan ilk üye devletin CSIRT'üne bildirin (Madde 14(7)):
- ürünlerinizin en fazlası adına hareket eden yetkili temsilcinin yerleşik olduğu;
- ürünlerinizin en fazlasını piyasaya arz eden ithalatçının yerleşik olduğu;
- ürünlerinizin en fazlasını piyasada bulunduran dağıtıcının yerleşik olduğu;
- ürünlerinizin kullanıcılarının en fazla bulunduğu.
Kullanıcılarınıza haber verin
Etkilenen kullanıcıları ve uygun olduğunda tüm kullanıcıları zafiyet veya olay ve alabilecekleri önlemler hakkında, uygun olduğunda yapılandırılmış, makinece okunabilir bir biçimde bilgilendirin (Madde 14(8)). Bunu zamanında yapmazsanız CSIRT onları bilgilendirebilir.
Olmadan önce hazırlanın
- Tek Bildirim Platformu'na kaydolun (ENISA bir kullanım kılavuzu yayımlar);
- bir zafiyetin aktif olarak istismar edilip edilmediğine veya bir olayın ciddi olup olmadığına 24 saat içinde kimin karar vereceğini belirleyin;
- her ürünün satıldığı üye devletlerin ve yetkili temsilcinizin, ithalatçılarınızın ve dağıtıcılarınızın listesini tutun;
- kullanıcılara yönelik bildirim için bir şablon hazırlayın.
Ürününüz hangi sınıfta ve onaylanmış bir kuruluş gerekiyor mu? Bkz. Siber Dayanıklılık Yasası sayfası.