AB pazarına makine satan bir üretici, kendi yazılımının yanında PLC, HMI, işletim sistemi ve farklı tedarikçilerin bileşenlerini kullanabilir. Bu bileşenlerden birinde güvenlik açığı çıktığında hangi ürün sürümlerinin ve teslim edilen makinelerin etkilendiğini bulabilmek gerekir.
Siber Dayanıklılık Yasası, İngilizce adıyla Cyber Resilience Act (CRA), bu hazırlığı ürünün tasarımından destek dönemine kadar ele alır. Aşağıdaki bilgiler 11 Ekim 2026 itibarıyla hazırlanmıştır. Ürününüzün kapsam ve uygunluk kararlarını hukuk ve uygunluk değerlendirme uzmanlarıyla vermelisiniz.
Önce hangi ürünün değerlendirildiğini belirleyin
AB 2024/2847 sayılı Tüzük, AB pazarına sunulan dijital unsurlar içeren ürünlere ilişkin kurallar getirir. Donanım, yazılım, ayrı satılan bileşenler ve belirli uzaktan veri işleme çözümleri değerlendirmeye girebilir.
Ancak bir makinenin ağa bağlanması tek başına bütün hukuki değerlendirmeyi tamamlamaz. Ürünün sınırları, nasıl satıldığı, başka düzenlemeler, istisnalar ve şirketin üretici, ithalatçı veya dağıtıcı rolü önemlidir.
Her ticari ürün için şu bilgileri hazırlayın: kimin markasıyla satıldığı, içindeki donanım ve yazılımlar, uzaktan hizmet bağımlılıkları, kullanım amacı ve teslim edilen sürümler. Bu bilgiler kapsam kararının temelini oluşturur.
Hangi tarihler önemli?
| Tarih | Düzenlemedeki aşama |
|---|---|
| 10 Aralık 2024 | CRA yürürlüğe girdi. |
| 11 Haziran 2026 | Uygunluk değerlendirme kuruluşlarının bildirimine ilişkin hükümler uygulanmaya başladı. |
| 11 Eylül 2026 | Madde 14 bildirim yükümlülükleri uygulanmaya başladı. |
| 11 Aralık 2027 | Ana hükümler uygulanmaya başlayacak. |
Takvim ve geçiş hükümleri için Komisyonun CRA özetini ve Tüzüğün güncel metnini esas alın. “Eski makine” demek, bütün yükümlülüklerin dışında olmak anlamına gelmez; geçiş kuralları ürün ve olay özelinde değerlendirilmelidir.
Mühendislik ve servis kayıtlarını birbirine bağlayın
Bir güvenlik açığının etkisini araştırabilmek için şu kayıtlar birbiriyle eşleşmelidir:
- Ürün modeli, sürümü ve desteklenen kurulumlar.
- Donanım ve yazılım bileşenleri; tedarikçileri ve sürümleri.
- Güvenlik risk değerlendirmesi, alınan kararlar ve test sonuçları.
- Teslim edilen yazılımın hangi makinelerde bulunduğu.
- Destek süresi, güncelleme yöntemi ve müşteri talimatları.
- Gelen güvenlik bildirimleri, yapılan değerlendirme ve düzeltmeler.
Yazılım bileşen listesi (SBOM) bu çalışmanın bir parçasıdır. Listeyi hazırlamak kadar yeni sürümlerle güncel tutmak da gerekir.
Kurulu makine takibi, teslim edilen seri numaralarını ve müşterileri eşleştirmeye yardımcı olur. Teknik dosya ve uygunluk değerlendirmesinin yerine geçmez.
Güvenlik bildirimi geldiğinde kim devreye girecek?
Müşteri, araştırmacı veya tedarikçiden gelen bildirimin ulaşacağı bir kanal belirleyin. Asıl sorumluya ulaşılamadığında işi devralacak kişi de belli olsun.
İlk bildirimin alındığı zamanı ve kanıtları koruyun. Etkilendiği düşünülen ürün ve sürümleri belirleyin. Teknik ekip, ürün sorumlusu ve gerekli hukuk uzmanları birlikte değerlendirsin; düzeltme, müşteri iletişimi ve bildirim kararları kaydedilsin.
Canlı müşteri makinesinde izinsiz test yapmayın. Ürün sürümünü ve açığın etkisini doğrulamak için uygun test ortamını kullanın.
Bildirim süresini sonradan düşünmeyin
Komisyonun bildirim açıklaması, aktif olarak istismar edilen güvenlik açıkları ve ürün güvenliğini etkileyen ağır olaylar için erken uyarıyı 24 saat, daha ayrıntılı bildirimi 72 saat içinde öngörür. Son raporun süresi olay türüne göre değişir; bildirim CRA Tek Bildirim Platformu üzerinden yapılır.
Her yazılım hatası aynı sınıfa girmez. Ekibin, olayın ne olduğunu ve hangi yükümlülüğün doğduğunu zamanında değerlendirebileceği bir yöntem gerekir. Bir masa başı tatbikatında servis mühendisinin müşteri mesajını almasıyla başlayıp teknik değerlendirme ve bildirim hazırlığına kadar ilerleyin.
Uzaktan servis bu hazırlığın neresinde?
Uzaktan bağlantı, yetkili mühendisin tanı uygulamasına ulaşmasına veya gerekli makine verisini görmesine yardımcı olabilir. Aynı zamanda ürünün bileşenleri, güncellemeleri ve bağlantı sorumlulukları arasında değerlendirilmelidir.
Orenda Connect ve Orenda Box bu bağlantı ve veri toplama işlerinde kullanılabilir. Kullanımları tek başına CRA uygunluğu sağlamaz. Ürün kapsamı, risk değerlendirmesi, teknik dosya ve bildirim sorumluluğu ilgili ekiplerde kalır.
İlk adım olarak ürün sürümlerinizle teslim edilmiş makinelerin eşleşmesini kontrol edin. Ardından bir güvenlik bildiriminin kime geleceğini, kimin değerlendireceğini ve müşteriye düzeltmenin nasıl ulaştırılacağını birlikte deneyin.
