İçeriğe geç
AB Kuralları Bulucu
Türkçe (Dil)

Siber Dayanıklılık Yasası uyum kontrol listesi: CRA hazırlık puanınız

Siber Dayanıklılık Yasası, dijital unsurlar içeren bir ürünün imalatçısına bir yükümlülükler listesi verir: bildirim, ürün için güvenlik gereklilikleri, zafiyet yönetimi ve belgeler. Nerede durduğunuzu ve neyin hâlâ açık olduğunu her nokta için maddesiyle görmek üzere her birini ürününüz için yanıtlayın.

17 Ekim 2026 tarihinde kaynaklarla karşılaştırıldı

CRA'ya hazırlığınız

Her satırı tek bir ürün için yanıtlayın. Puan yalnızca yanıtlarınızı sayar; hiçbir şey kontrol edilmez, gönderilmez veya saklanmaz.

Bildirim (Madde 14): 11 Eylül 2026'dan itibaren, piyasadaki ürünlere de uygulanır
Ürün gereklilikleri (Ek I, Bölüm I): 11 Aralık 2027'den itibaren

Uygulanmaz, yalnızca siber güvenlik risk değerlendirmeniz bunu gösteriyorsa ve gerekçesi teknik dosyadaysa (Madde 13(4)).

Zafiyet yönetimi (Ek I, Bölüm II): 11 Aralık 2027'den itibaren
İmalatçı yükümlülükleri (Madde 13): 11 Aralık 2027'den itibaren

Hazırlık: %0

Tamamlandı: uygulanabilir 38 satırdan 0 tanesi

Yanıtlanmadı: 38 (tamamlanmadı sayılır)

Alana göre

  • Bildirim0%
  • Ürün gereklilikleri0%
  • Zafiyet yönetimi0%
  • İmalatçı yükümlülükleri0%

Hâlâ açık

  • Aktif olarak istismar edilen zafiyetler: tek bildirim platformu üzerinden 24 saat içinde erken uyarı, 72 saat içinde bildirim, düzeltme hazır olduktan sonra en geç 14 gün içinde nihai rapor (Article 14(1), (2); Yanıtlanmadı) CRA bildirim kaydı
  • Ürünün güvenliğini etkileyen ciddi olaylar: 24 saat içinde erken uyarı, 72 saat içinde bildirim, bildirimden itibaren bir ay içinde nihai rapor (Article 14(3) to (5); Yanıtlanmadı) CRA bildirim kaydı
  • Bildirimlerinizi hangi CSIRT koordinatörünün aldığını biliyorsunuz: AB'deki ana kuruluşunuzun üye devleti veya yoksa Madde 14(7)'deki sıra (Article 14(7); Yanıtlanmadı) CRA bildirim kaydı
  • Etkilenen kullanıcılar ve gerektiğinde tüm kullanıcılar zafiyet veya olay ve alabilecekleri önlemler hakkında bilgilendirilir (Article 14(8); Yanıtlanmadı) CRA bildirim kaydı
  • Risklere uygun güvenlik (Annex I, Part I(1); Yanıtlanmadı)
  • Bilinen istismar edilebilir zafiyet yok (Annex I, Part I(2)(a); Yanıtlanmadı)
  • Sıfırlama imkânıyla, varsayılan olarak güvenli (Annex I, Part I(2)(b); Yanıtlanmadı)
  • Varsayılan olarak otomatik güvenlik güncellemeleri (Annex I, Part I(2)(c); Yanıtlanmadı)
  • Yetkisiz erişime karşı koruma (Annex I, Part I(2)(d); Yanıtlanmadı)
  • Verilerin gizliliği (Annex I, Part I(2)(e); Yanıtlanmadı)
  • Verilerin, komutların ve yapılandırmanın bütünlüğü (Annex I, Part I(2)(f); Yanıtlanmadı)
  • Veri en aza indirme (Annex I, Part I(2)(g); Yanıtlanmadı)
  • Temel işlevlerin erişilebilirliği (Annex I, Part I(2)(h); Yanıtlanmadı)
  • Diğer cihazlar ve ağlar üzerinde sınırlı etki (Annex I, Part I(2)(i); Yanıtlanmadı)
  • Sınırlı saldırı yüzeyleri (Annex I, Part I(2)(j); Yanıtlanmadı)
  • İstismarın hafifletilmesi (Annex I, Part I(2)(k); Yanıtlanmadı)
  • Devre dışı bırakma seçeneğiyle güvenlik kaydı ve izleme (Annex I, Part I(2)(l); Yanıtlanmadı)
  • Tüm verilerin ve ayarların güvenli silinmesi (Annex I, Part I(2)(m); Yanıtlanmadı)
  • Zafiyetler ve bileşenler, en azından üst düzey bağımlılıkları kapsayan bir yazılım malzeme listesiyle tanımlanmış ve belgelenmiş (Annex I, Part II(1); Yanıtlanmadı) SBOM oluşturucu
  • Zafiyetler, teknik olarak mümkünse özellik güncellemelerinden ayrı güvenlik güncellemeleriyle gecikmeksizin ele alınıp giderilir (Annex I, Part II(2); Yanıtlanmadı)
  • Ürünün güvenliğine ilişkin etkili ve düzenli testler ve incelemeler (Annex I, Part II(3); Yanıtlanmadı)
  • Giderilen zafiyetler, güvenlik güncellemesi hazır olduğunda kamuya açıklanır (Annex I, Part II(4); Yanıtlanmadı)
  • Uygulamada olan ve uygulanan bir koordineli zafiyet açıklama politikası (Annex I, Part II(5); Yanıtlanmadı)
  • Zafiyet bildirimi için bir iletişim adresi ve üçüncü taraf bileşenlerdekiler dahil zafiyetlere ilişkin bilgi paylaşma önlemleri (Annex I, Part II(6); Yanıtlanmadı)
  • Güncellemeler güvenli biçimde ve güvenlik güncellemelerinde uygulanabildiğinde otomatik olarak dağıtılır (Annex I, Part II(7); Yanıtlanmadı)
  • Güvenlik güncellemeleri gecikmeksizin, ücretsiz (özel yapım bir ürün için bir iş kullanıcısıyla aksi kararlaştırılmadıkça), bilgilendirme mesajlarıyla yayılır (Annex I, Part II(8); Yanıtlanmadı)
  • Siber güvenlik risk değerlendirmesi yapılmış, belgelenmiş, destek süresi boyunca güncellenmiş ve teknik dosyaya dahil edilmiş (Article 13(2) to (4); Yanıtlanmadı) CRA belge seti (ücretli)
  • Üçüncü taraf ve açık kaynak bileşenler için özen yükümlülüğü; bunlarda bulunan zafiyetler bakımını yapana bildirilir (Article 13(5), (6); Yanıtlanmadı)
  • Destek süresi ürünün beklenen kullanım süresinden belirlenir: kullanım süresinin daha kısa olması beklenmedikçe en az beş yıl (Article 13(8); Yanıtlanmadı)
  • Her güvenlik güncellemesi yayımlandıktan sonra en az 10 yıl veya daha uzunsa destek süresinin geri kalanı boyunca erişilebilir kalır (Article 13(9); Yanıtlanmadı)
  • Destek süresinin sonu, en azından ay ve yıl olarak, satın alma anında açıkça belirtilir (Article 13(19); Yanıtlanmadı)
  • Ürün üzerinde veya bu mümkün değilse ambalajında ya da refakat eden bir belgede tip, parti veya seri numarası (Article 13(15); Yanıtlanmadı)
  • Ürün, ambalajı veya refakat eden bir belge üzerinde ad, posta adresi ve e-posta ya da başka bir dijital iletişim ve kullanıcılar için tek irtibat noktası (Article 13(16), (17); Yanıtlanmadı)
  • Ürünle birlikte kullanıcıya bilgi ve talimatlar (Ek II), en az 10 yıl veya daha uzunsa destek süresi boyunca erişilebilir tutulur (Article 13(18), Annex II; Yanıtlanmadı) CRA belge seti (ücretli)
  • Ürün piyasaya arz edilmeden önce hazırlanmış teknik dosya (Ek VII) (Article 13(12), Article 31, Annex VII; Yanıtlanmadı) CRA belge seti (ücretli)
  • Uygunluk değerlendirme prosedürü seçilmiş ve uygulanmış (Madde 32); önemli ve kritik ürünlerin daha az yolu vardır (Article 13(12), Article 32; Yanıtlanmadı) CRA sınıf kontrolü
  • AB uygunluk beyanı hazırlanmış ve CE işareti iliştirilmiş; ürünle birlikte bir kopya veya basitleştirilmiş beyan verilir (Article 13(12), (20), Articles 28 and 30; Yanıtlanmadı) CRA belge seti (ücretli)
  • Teknik dosya ve beyan, ürün piyasaya arz edildikten sonra en az 10 yıl veya daha uzunsa destek süresi boyunca saklanır (Article 13(13); Yanıtlanmadı)

Kendi yanıtlarınız, bir değerlendirme değil: puan, ürünün Tüzüğü karşıladığını göstermez.

Kontrolün kapsadıkları

  • Bildirim (Madde 14): aktif olarak istismar edilen zafiyetler ve ciddi olaylar, tek bildirim platformu üzerinden koordinatör olarak belirlenen CSIRT'e ve ENISA'ya, ve kullanıcıların bilgilendirilmesi.
  • Ürün için temel siber güvenlik gereklilikleri (Ek I, Kısım I): bir genel gereklilik ve on üç özel gereklilik.
  • Zafiyet yönetimi gereklilikleri (Ek I, Kısım II): yazılım malzeme listesi dahil sekiz nokta.
  • İmalatçıların diğer yükümlülükleri (Madde 13): risk değerlendirmesi, bileşenler, destek süresi, güncellemeler, işaretler, kullanıcı bilgileri, teknik dokümantasyon, uygunluk değerlendirmesi, beyan ve CE işareti ve belgelerin saklanması.

Tarihler

  • Madde 14 (bildirim), 11 Aralık 2027'den önce piyasaya arz edilen ürünler dahil 11 Eylül 2026'dan itibaren uygulanır (Madde 69(3) ve 71(2)).
  • Tüzüğün geri kalanı 11 Aralık 2027'den itibaren uygulanır. Bu tarihten önce piyasaya arz edilen bir ürün, yalnızca o tarihten itibaren önemli ölçüde değiştirilirse kapsama girer (Madde 69(2)).

Puan nasıl hesaplanır

Yalnızca “Tamamlandı” yanıtlı satırlar sayılır. “Kısmen tamamlandı”, “Başlanmadı” ve yanıtsız bırakılan satırlar açık sayılır; böylece puan hiçbir zaman yanıtladığınızdan fazlasını göstermez. “Uygulanamaz” bir satırı toplamdan çıkarır; yalnızca siber güvenlik risk değerlendirmesine dayanarak ve uygun olduğu yerde uygulanan Ek I, Kısım I, nokta (2)'nin özel gereklilikleri için sunulur ve teknik dokümantasyon nedenini belirtmelidir (Madde 13(4)). Yüzde aşağı yuvarlanır.

Kontrolün yapmadıkları

Ürününüzü test etmez veya değerlendirmez: puan kendi yanıtlarınızın bir sayımıdır ve yüksek bir puan ürünün Tüzüğe uyduğunu göstermez. Yalnızca imalatçıları kapsar; ithalatçıları (Madde 19), dağıtıcıları (Madde 20) veya açık kaynak yazılım yöneticilerini (Madde 24) kapsamaz. Ürününüzün sınıfı ve uygunluk değerlendirme yolu için CRA kontrolünü, bildirim süreleri için CRA bildirim kaydını, SBOM için SBOM oluşturucuyu kullanın.

Yanıtladığınız hiçbir şey tarayıcınızdan çıkmaz veya kaydedilmez: sayfayı yeniden yüklemek temizler. Saklamak için sonucu kopyalayın veya yazdırın.

Kaynaklar