AB Siber Dayanıklılık Yasası (CRA): Eylül 2026'dan raporlama, 2027'den CE kuralları

Kapsam ve uygunluk değerlendirmesi

CRA, AB piyasasında bulundurulan, dijital unsurlar içeren donanım ve yazılım ürünlerine uygulanır; amaçlanan veya makul ölçüde öngörülebilir kullanımları doğrudan ya da dolaylı bir veri bağlantısı içeriyorsa uzaktan veri işleme çözümleri ve piyasaya ayrı olarak arz edilen bileşenler de buna dahildir. Ticari faaliyet kapsamında tedarik edilmeyen ürünler kapsam dışındadır ve diğer AB mevzuatı kapsamındaki bazı ürünler hariç tutulmuştur.

Çoğu ürün öz değerlendirme (iç kontrol, A modülü) kullanabilir. Önemli Sınıf I ürünler, yalnızca uyumlaştırılmış standartlar, ortak şartnameler veya bir Avrupa siber güvenlik sertifikasyon şeması uygulanmışsa öz değerlendirme yapabilir; aksi halde bir onaylanmış kuruluş gerekir. Önemli Sınıf II ürünler ve kritik ürünler için üçüncü taraf değerlendirmesi veya bir sertifikasyon şeması gerekir. Uyumlaştırılmış standartların kullanılması uygunluk karinesi sağlar.

Üretici yükümlülükleri

• Siber güvenlik risk değerlendirmesi yapmak ve destek süresi boyunca güvenlik açığı yönetimi dahil Ek I'deki temel gereklilikleri karşılamak.
• Entegre edilen üçüncü taraf bileşenlerde gereken özeni göstermek.
• Teknik dokümantasyonu piyasa gözetimi ve denetimi makamlarının erişimine hazır tutmak.
• Kimlik ve iletişim bilgilerini ve Ek II uyarınca kullanıcı bilgilerini, satın alma anında destek süresinin bitiş tarihi (ay ve yıl) dahil, sağlamak.
• Ürünü piyasaya arz etmeden önce AB uygunluk beyanını düzenlemek ve CE işaretini iliştirmek.
• Aktif olarak istismar edilen güvenlik açıklarını ve ciddi olayları bildirmek: 24 saat içinde erken uyarı, 72 saat içinde bildirim ve düzeltme mevcut olduktan sonra 14 gün içinde (güvenlik açıkları) veya bir ay içinde (ciddi olaylar) nihai rapor.

İthalatçılar, dağıtıcılar ve takvim

İthalatçılar, üreticinin uygunluk değerlendirmesini yapmış olduğunu, teknik dokümantasyonun mevcut olduğunu ve ürünün CE işaretini taşıdığını kontrol etmeli, uygun olmayan ürünleri piyasaya arz etmemelidir. Dağıtıcılar, CE işaretini ve destek süresi dahil üreticinin ve ithalatçının bilgilerini kontrol etmelidir. Her ikisi de güvenlik açıklarını üreticiye bildirmeli ve makamlarla iş birliği yapmalıdır. Üretici, yazılı yetkilendirmeyle bir yetkili temsilci atayabilir.

Raporlama yükümlülükleri 11 Eylül 2026'dan itibaren, piyasada hâlihazırda bulunan ürünler için de geçerlidir. Ana hükümler 11 Aralık 2027'den itibaren uygulanır; piyasada hâlihazırda bulunan ürünler yalnızca bu tarihten sonra önemli ölçüde değiştirilirse kapsama girer. Siber güvenliğe ilişkin mevcut AB tip inceleme sertifikaları, daha önce geçerliliğini yitirmedikçe 11 Haziran 2028'de sona erer. Cezaları her Üye Devlet belirler ve mikro ve küçük işletmelere 24 saatlik süreyi kaçırdıkları için para cezası verilemez.