11 Eylül 2026’dan bu yana AB pazarında bulundurulan yazılım veya bağlantılı donanımların her üreticisi, bu ürünlerde aktif olarak istismar edilen güvenlik açıklarını ve ürün güvenliğini etkileyen ciddi olayları, farkına vardığı andan itibaren ilk 24 saat içinde bildirmek zorunda. Yükümlülük, Siber Dayanıklılık Tüzüğü‘nün (Regulation (EU) 2024/2847, “CRA”) 14. maddesinden geliyor. Tüzüğün geri kalanından bir yılı aşkın süre önce uygulanmaya başladı, piyasadaki mevcut ürünleri de kapsıyor ve AB dışındaki üreticileri de bağlıyor. Avrupa’daki uygulama mağazalarında oyunu olan bir İstanbul stüdyosu, mobil uygulaması kendi sunucusuna bağlı çalışan bir SaaS girişimi ya da Almanya’ya akıllı cihaz satan bir donanım şirketi için saat çoktan işliyor olabilir.
Şimdi ne uygulanıyor, ne sonra geliyor?
CRA kademeli yürürlüğe giren bir tüzük. Tasarım ve uygunluk kurallarının çoğu Aralık 2027’de başlıyor, ancak bildirim yükümlülüğü öne çekildi:
| Tarih | Uygulanan hüküm | Dayanak |
|---|---|---|
| 11 Haziran 2026 | IV. Bölüm (uygunluk değerlendirme kuruluşlarının bildirimi) | md. 71(2) |
| 11 Eylül 2026 | Üreticilerin 14. madde kapsamındaki bildirim yükümlülükleri | md. 71(2) |
| 11 Aralık 2027 | Tüzüğün geri kalanı: temel siber güvenlik gereklilikleri, 13. maddedeki üretici yükümlülükleri ve açık kaynak yazılım hamilerinin (steward) bildirim yükümlülükleri | md. 71(2), md. 24(3) |
Asıl sürpriz 69. maddede. Kural olarak 11 Aralık 2027’den önce piyasaya arz edilen ürünler, ancak bu tarihten sonra esaslı değişikliğe uğrarlarsa CRA’ya tabi olur. Ne var ki 69(3). madde, bu kurala istisna olarak 14. maddedeki yükümlülüklerin 11 Aralık 2027’den önce piyasaya arz edilmiş ve kapsamdaki tüm dijital unsurlu ürünlere uygulanacağını söylüyor. Yani eski uygulama sürümleriniz ve sahadaki cihazlarınız bugün bildirim yükümlülüğü kapsamında. Komisyon’un CRA SSS belgesine (ENISA’nın SRP SSS’indeki özetiyle) göre tetikleyici, farkına varma anı: 11 Eylül 2026’dan önce zaten bildiğiniz bir istismarı geriye dönük bildirmeniz gerekmiyor, ancak bu tarihten sonra öğrendiğiniz bir istismar, açık eski olsa bile bildirilmeli.
“Dijital unsurlu ürün” üreticisi misiniz?
CRA, AB pazarında bulundurulan ve amaçlanan ya da makul olarak öngörülebilir kullanımı bir cihaz veya ağla doğrudan ya da dolaylı veri bağlantısı içeren dijital unsurlu ürünlere uygulanır (md. 2(1)). Dijital unsurlu ürün, “bir yazılım veya donanım ürünü ve onun uzaktan veri işleme çözümleri” olarak tanımlanıyor (md. 3(1)). Üretici ise bu ürünleri geliştiren veya ürettiren ve kendi adı ya da markasıyla “ücret karşılığında, gelir elde ederek veya ücretsiz” piyasaya sunan kişidir (md. 3(13)). Dolayısıyla ücretsiz oyunlar ve uygulamalar sırf ücretsiz oldukları için kapsam dışı kalmıyor.
SaaS sorusunun cevabı “uzaktan veri işleme” kavramında (md. 3(2)): üretici tarafından veya onun sorumluluğunda tasarlanan, yokluğunda ürünün işlevlerinden birini yerine getiremeyeceği uzaktan işleme. 11. gerekçedeki örnek, üreticinin sağladığı bir API’ye veya veritabanına ihtiyaç duyan mobil uygulama: bu arka uç ürünün parçası sayılıyor. 12. gerekçe ise diğer tarafı çiziyor: bir ürünün işlevini desteklemeyen web siteleri ve üreticinin sorumluluğu dışında tasarlanmış bulut hizmetleri kapsam dışında; SaaS, PaaS ve IaaS gibi bulut hizmetlerine ise NIS2 Direktifi uygulanıyor. Pratikte:
- sevk ettiğiniz bir ürün olmadan yalnızca tarayıcıdan sunulan bir SaaS genellikle CRA dışında kalır (orta ölçekli ve daha büyük bulut sağlayıcılar için NIS2 gündeme gelebilir);
- masaüstü veya mobil uygulama, oyun istemcisi, gömülü yazılım ya da cihaz bir üründür; işlevlerini yerine getirmek için ihtiyaç duyduğu ve sizin sağladığınız (veya sizin sorumluluğunuzda geliştirilen) arka uç da ürünün parçasıdır;
- yayımladığınız ama gelir elde etmediğiniz özgür ve açık kaynak yazılım genellikle ticari faaliyet sayılmaz (gerekçe 18), ancak ürününüze entegre ettiğiniz açık kaynak bileşenler sizi de ilgilendirir: 13(5). madde bunları entegre ederken özen yükümlülüğü getiriyor (11 Aralık 2027’den itibaren) ve bu bileşenlerde istismar edilen bir açığı bugünden itibaren siz bildirmelisiniz (aşağıya bakınız).
AB tıbbi cihaz ve in vitro tanı cihazı tüzüklerine (2017/745 ve 2017/746) tabi ürünler, araç tip onayına ilişkin 2019/2144 sayılı Tüzük kapsamındaki ürünler, sivil havacılık tüzüğü uyarınca sertifikalandırılmış ürünler ve deniz teçhizatı kapsam dışında (md. 2(2)-(4)).
Neler bildirilecek?
14. madde iki olayı kapsıyor. Aktif olarak istismar edilen güvenlik açığı, kötü niyetli bir aktörün sistem sahibinin izni olmadan bir sistemde istismar ettiğine dair güvenilir kanıt bulunan açıktır (md. 3(42)). Kendi test ekibinizin bulduğu ya da ödül programınız (bug bounty) üzerinden size iletilen ve kötü niyetli istismar kanıtı olmayan bir açık zorunlu bildirime tabi değil (gerekçe 68 ve Komisyon SSS’i); dilerseniz gönüllü bildirebilirsiniz (md. 15). Komisyon SSS’ine göre, istismar edilen açık ürününüze entegre ettiğiniz üçüncü taraf bir bileşende olsa bile nihai ürünün üreticisi olarak bildirim yapmanız gerekiyor.
Ürünün güvenliğini etkileyen ciddi olay ise ürünün hassas veya önemli veri ya da işlevlerin erişilebilirliğini, gerçekliğini, bütünlüğünü veya gizliliğini koruma yeteneğini olumsuz etkileyen veya etkileyebilecek; ya da üründe veya kullanıcının sistemlerinde kötü amaçlı kodun yüklenmesine veya çalıştırılmasına yol açan veya açabilecek olaydır (md. 14(5)). 68. gerekçe yazılım şirketleri için en çarpıcı örneği veriyor: saldırganın, güvenlik güncellemelerini dağıttığınız yayın kanalına kötü amaçlı kod sokması.
Saat nasıl işliyor: 24 saat, 72 saat, nihai rapor
| Aşama | Aktif olarak istismar edilen açık | Ciddi olay |
|---|---|---|
| Erken uyarı | Farkına varıldıktan itibaren 24 saat içinde; ürünün bulunduğunu bildiğiniz üye devletler belirtilerek | 24 saat içinde; hukuka aykırı veya kötü niyetli bir eylemden şüphelenilip şüphelenilmediği de belirtilerek |
| Bildirim | 72 saat içinde: ürün, istismarın niteliği, alınan önlemler ve kullanıcıların alabileceği önlemler | 72 saat içinde: olayın niteliği, ilk değerlendirme, önlemler |
| Nihai rapor | Düzeltici veya hafifletici önlem kullanıma sunulduktan en geç 14 gün sonra | 72 saatlik bildirimin sunulmasından itibaren bir ay içinde |
24 ve 72 saatlik süreler üst sınır: metin “gecikmeksizin ve her halükârda” 24 veya 72 saat içinde diyor. Bildirimi alan CSIRT ayrıca ara durum raporu isteyebilir (md. 14(6)).
Türk üretici nereye bildirim yapacak?
Tüm bildirimler, 11 Eylül 2026’da faaliyete geçen ENISA Tekil Raporlama Platformu (SRP) üzerinden, koordinatör olarak belirlenen ulusal CSIRT’e yapılıyor ve aynı anda ENISA’nın erişimine açılıyor (md. 14(1), (7)). Asıl soru hangi CSIRT. AB’de ana yerleşim yeri olan üretici, ürün siber güvenliğine ilişkin kararların ağırlıklı olarak alındığı üye devlette bildirim yapar. AB’de ana yerleşim yeri olmayan bir Türk şirketi ise 14(7). maddedeki sırayı “üreticinin elindeki bilgilere dayanarak” izler:
- en fazla sayıda ürününüz için sizin adınıza hareket eden yetkili temsilcinin yerleşik olduğu üye devlet;
- yoksa, en fazla sayıda ürününüzü piyasaya arz eden ithalatçının yerleşik olduğu üye devlet;
- yoksa, en fazla sayıda ürününüzü piyasada bulunduran dağıtıcının yerleşik olduğu üye devlet;
- hiçbiri yoksa, ürünlerinizin en fazla kullanıcısının bulunduğu üye devlet.
Son seçenekte, sonraki bildirimlerinizi ilk bildirim yaptığınız CSIRT’e göndermeye devam edebilirsiniz. ENISA, yanlış CSIRT’e yapılan bildirimin geçersiz sayılabileceği uyarısında bulunuyor; bu analizi şimdiden yazılı hale getirin. Yetkili temsilci atamak CRA’da zorunlu değil (md. 18(1)), ama atarsanız bildirim ülkeniz öngörülebilir hale gelir.
ENISA’nın SRP SSS’inden pratik notlar: sizin adınıza bildirim yapan kişiler platforma “Assigned Representative” olarak kaydoluyor (bu bir SRP kullanıcı rolü; CRA’daki yetkili temsilciyle karıştırılmamalı) ve her birinin çok faktörlü doğrulamalı kişisel bir EU Login hesabı olması gerekiyor; platform ilk sürümde yalnızca İngilizce ve API sunmuyor. ENISA, SRP’ye ancak bildirim gerektiğinde kaydolunmasını öneriyor; EU Login hesabı ise önceden açılabilir.
Kullanıcıları bilgilendirme, gönüllü bildirim ve sorumluluk
Etkilenen kullanıcıları, uygun düştüğünde tüm kullanıcıları, açıktan veya olaydan ve alabilecekleri önlemlerden, uygun düştüğünde makinece okunabilir formatta haberdar etmeniz de gerekiyor (md. 14(8)); zamanında yapmazsanız CSIRT kullanıcıları kendisi bilgilendirebilir. Herkes açıkları, tehditleri, olayları ve ramak kala durumları gönüllü olarak bildirebilir (md. 15); ancak ENISA, SRP’nin bunu sonraki bir aşamada destekleyeceğini belirtiyor. Bildirim yapmak tek başına bildirimde bulunanın sorumluluğunu artırmıyor (md. 17(4)). Bir güvenlik olayının ürün sorumluluğu ve kişisel veriler boyutu için yapay zekâ olaylarında müdahale ve sorumluluk yazımıza bakabilirsiniz.
Yaptırımlar ve Türk hukuku boyutu
13. ve 14. madde ihlalleri, 15 milyon avroya veya teşebbüsler için bir önceki mali yılın dünya çapındaki toplam yıllık cirosunun yüzde 2,5’ine kadar (hangisi yüksekse) idari para cezasına konu olabilir (md. 64(2)). Ayrıntılı kuralları üye devletler belirliyor ve girişimler dahil şirket büyüklüğü cezada dikkate alınıyor (md. 64(5)). 64(10)(a) maddesine göre mikro veya küçük işletme niteliğindeki üreticilere, 24 saatlik erken uyarı süresine uyulmaması nedeniyle idari para cezası uygulanmaz; 72 saatlik bildirim ve nihai rapor bu istisnanın dışında. Ancak metinde bu istisna 3 ila 9. fıkralardaki cezalara atıf yapıyor, 14. madde ihlallerinin cezası ise 2. fıkrada düzenleniyor; bu nedenle istisnanın tam kapsamı netleşmeye muhtaç olabilir.
Türk hukuku bu tabloyu değiştirmiyor. 7545 sayılı Siber Güvenlik Kanunu (19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete) ayrı bir ulusal rejim; ayrıntıları Siber Güvenlik Başkanlığı ve iki saat kuralı yazımızda. Birine uyum diğerini karşılamıyor. Aynı olay KVKK kapsamında 72 saatlik ihlal bildirimini de tetikleyebilir; bunun için veri ihlali müdahale planı yazımıza bakabilirsiniz.
Nereden başlamalı?
- Envanter: AB kullanıcılarına sunulan her uygulama, oyun istemcisi, gömülü yazılım, cihaz ve SDK; eski sürümler ve ihtiyaç duydukları arka uçlar dahil.
- Bildirim ülkesi: 14(7). maddedeki sırayı uygulayın, sonucu kayda geçirin, yetkili temsilci atayıp atamayacağınıza karar verin.
- SRP erişimi: olaydan önce en az iki kişi için çok faktörlü doğrulamalı kişisel EU Login hesabı.
- Değerlendirme kuralı: istismara dair “güvenilir kanıt” olduğuna kimin karar vereceği; saati başlatan farkına varma anıdır.
- Nöbet: hafta sonları ve resmî tatilleri de kapsayan 7/24 güvenlik, yazılım ve hukuk nöbeti.
- Şablonlar: erken uyarı, 72 saatlik bildirim, nihai rapor ve kullanıcı bildirimi taslakları, SRP alanlarıyla eşleştirilmiş.
Kişisel veriler ve siber güvenlik ekibimiz bunu kısa bir iç prosedüre dönüştürmenize yardımcı olabilir.
CRA bildirim yükümlülüğü saf bir SaaS ürününe uygulanır mı?
Hizmet sevk ettiğiniz bir ürünün parçası değilse genellikle hayır; 12. gerekçe SaaS’a NIS2 Direktifi’nin uygulandığını belirtiyor. Ancak uygulamanız işlevlerinden birini arka ucunuz olmadan yerine getiremiyorsa, o arka uç “uzaktan veri işleme” ve ürünün parçasıdır; orada istismar edilen bir açık bildirime tabidir.
AB’de ofisimiz veya temsilcimiz yok. Hangi CSIRT’e bildirim yapacağız?
14(7). maddeye göre sırasıyla yetkili temsilcinizin, ithalatçınızın, dağıtıcınızın (her biri en fazla ürün sayısına göre) üye devleti, son olarak da en fazla kullanıcınızın bulunduğu üye devlet; elinizdeki bilgilere dayanarak.
Yıllar önce yayımladığımız sürümlerdeki açıkları da bildirmemiz gerekir mi?
Ürün kapsamdaysa ve aktif istismarı 11 Eylül 2026 veya sonrasında öğrendiyseniz evet. 69(3). madde, 14. maddeyi 11 Aralık 2027’den önce piyasaya arz edilen ürünlere de uyguluyor.
Kaynak. Regulation (EU) 2024/2847 (Siber Dayanıklılık Tüzüğü), ABRG L, 2024/2847, 20.11.2024: md. 2, 3(1), 3(2), 3(13), 3(42), 13(5), 14, 15, 17, 18, 24(3), 64, 69 ve 71, gerekçe 11, 12, 18 ve 68; Avrupa Komisyonu, CRA reporting obligations ve FAQs on the Cyber Resilience Act (v1.4, bölüm 1.2 ve 5); ENISA, CRA Single Reporting Platform FAQ; 7545 sayılı Siber Güvenlik Kanunu, 19.03.2025 tarihli ve 32846 sayılı Resmî Gazete.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz; somut durum için hukuki destek alınmalıdır.
Yazar
Daha fazla Vircon İçgörüleri
AB Yapay Zekâ Tüzüğü Türk Hukukunda: Sağlayıcı ve Deployer İçin Terim ve Yükümlülük Karşılık Tablosu
11 Ekim 2026Türk Startup için Teknopark ve Ar-Ge Merkezi Teşvikleri: 4691, 5746 ve Yüzde Üç Girişim Sermayesi Yükümlülüğü
13 Ekim 2026Yabancı Bir Fon Türk Şirketine Doğrudan Yatırım Yapabilir mi? Kimsenin Yatırımcıya Anlatmadığı Kapanış Mekaniği
10 Ekim 2026Türk Startup için Marka Stratejisi: Sınıflar, TÜRKPATENT, AB ve Madrid Protokolü
10 Ekim 2026Amerikan Terimlerinin Türk Hukukundaki Karşılıkları: Kurucular, Yatırımcılar ve Avukatlar İçin Şirketler Hukuku Karşılık Tablosu
9 Ekim 2026Asgari Sermayede Son Tarih 31 Aralık 2026: Anonim ve Limited Şirketler Ne Yapmalı (TTK Geçici m. 15)
6 Ekim 2026İlgili Hizmet Alanlarımız
Bilişim Hukuku
SaaS, yazılım lisansı, bulut hizmetleri ve BT sözleşmeleri.
Hizmet sayfası →Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →Oyun ve Espor Hukuku
Stüdyo yatırım turları, mülkiyet zinciri, yayıncı ve platform sözleşmeleri, espor.
Hizmet sayfası →