AB’ye ihracatta yeni düzenleme: CRA

Avrupa’da artık ilk so­ru şu olacak: Ürünün güvenli mi? Cevap net ve kanıtlı değilse, güm­rükten değil, teklif ma­sasından dönersiniz. Cy­ber Resilience Act (CRA) bu yüzden geliyor. Akıllı sanayici için bir nevi yeni ihracat pasa­portu.

CRA, AB’nin Siber Da­yanıklılık Tüzüğü. Gömülü yazı­lım içeren makineler, IoT cihaz­ları, yazılımlar ve bulut bağlantı­lı sistemler dahil dijital unsurlu ürünlere asgari siber güvenlik şart­ları getiriyor. Tasarımdan kullanım ömrünün sonuna kadar güncelle­me, zafiyet yönetimi ve kanıtla­nabilir güvenlik istenmekte. ENI­SA verilerine göre saldırılardan en çok etkilenenler KOBİ’ler. CRA, bu tehdide karşı kurumsal dayanıklı­lığı standartlaştırmayı hedefliyor. Süreç başladı. 2026 ortasında bil­dirim ve belirli raporlama adımla­rı başlayacak; 2027 sonunda da ge­nel uygulama penceresi tamamla­nacak. Omnibus Direktifi e-ticaret vitrinini indirim şeffaflığı, yorum doğrulama, kişiselleştirilmiş fiyat bildirimini vs düzenliyor. CRA ise ürünün teknik güvenliğini. AB’ye satışta bu iki hattı birlikte yöneten şirket, aynı ekranda ticari dürüstlük + teknik güvenlik çıtasını gösterir. ENISA tarafı olay/zafiyet bildirimi­nin omurgası. 24s/72s ritmini bu­rada tutturursunuz.

Zafiyeti saklamak değil, hızlı ve şeffaf yönetmek makbul.

Bu düzenleme, AB ile iş yapan sa­nayiciler, KOBİ›ler ve girişimciler için ağır yük gelebilir, zorlayabi­lir. Ama önceden hazırlanılır, adım adım yönetilirse birçok fırsat var.

Etkilenenler: Gömülü yazılım­lı makine üreticileri, IoT ve yazılım firmaları, e-ticaretle AB’ye satış ya­panlar, kendi markasıyla satış ya­pan ithalatçı/dağıtıcılar.

Zorluklar: Kaynakların dağınık­lığı, test maliyetleri, ekip eğitimi, tedarik zincirini SBOM ve yama di­sipliniyle şeffaflaştırma.

Fırsatlar: Erken uyumla pazar erişimi hızlanabilir, “güvenli ürün” iddiası ihale ve tedarikçi değerlen­dirmelerinde puan getirebilir, iade ve gecikmeler azalabilir, siber risk sigortası ve finansmanda şartlar iyileşebilir.

Sanayici ve KOBİ’ler neler yapmalı?

Pratik bir örnek iş listesi hazırla­dım. Ancak yine de aşağıda belirt­tiğim başvurulacak ve çalışılacak yerlerle iletişime geçilerek sürecin yürütülmesini öneriyorum.

Envanter ve sınıflandırma: Di­jital unsurlu ürünlerinizi çıkarma. Kritik/önemli/diğer şeklinde eti­ketleme.

Risk ve güvenli varsayılan­lar: Parola/kimlik politikası, krip­to, loglama, güncelleme ve geri al­ma (rollback) mimarisi yazılı halini oluşturma.

SBOM (Yazılım Malzeme Lis­tesi): Hangi kütüphane–hangi sü­rüm? Tedarikçi sözleşmelerine ya­ma SLA’si, zafiyet bildirim süresi, denetim hakkı ekleme.

PSIRT + 24s/72s: Ürün Güven­liği Olay Ekibi. 24 saat erken uyarı / 72 saat güncelleme akışını prova etme.

Teknik dosya (Annex VII): SAST/DAST/pentest özetleri, mi­mari ve kullanıcı güvenlik talimat­ları tek klasörde, denetçi için dos­yayı hazır etme.

Destek süresi: Ürün başına gü­venlik güncelleme taahhüdünüzü resmen ilan etme.

qÜrün sayfalarında Omnibus ge­rekliliklerini (son 30 günün en dü­şük fiyatı, yorum doğrulama bilgisi) görünür kılma. CRA açısından gün­celleme destek süresi ve zafiyet bil­dirim (CVD) iletişim kanalını açık­ça belirtme. Arka planda SBOM ve yama kanıtlarını saklama. Bu, pa­zaryerlerinde sıralama ve güven pu­anınızı doğrudan etkiler.

Teknik ve belgelendirme:

TSE, TÜBİTAK BİLGEM

Dönüşüm bütçesi, dijitalleşme destekleri:

KOSGEB, TÜBİTAK TEYDEB PSIRT/SOME: BTK/USOM (TR-CERT)

CE ve uygunluk beyanı:

Ticaret Bakanlığı/TAREKS

Saha mentörlüğü ve deneyim:

TOBB Odaları, Sektör Meclisleri, Siber Güvenlik Kümelenmesi, Bili­şim-Siber Güvenlik STK’ları, Mo­del Fabrikalar

Uygulama iş ortağı:

SOC ve yerli yazılım firmaları

Not: TOBB Yazılım Meclisi Tek­nolojik Alan Odaklı Komitele­ri CRA odağında çalışmalara başla­mıştır.

Son söz: Akıllı üretiminize gü­venlik eklendiğinde, denetimde za­man kazanıp, ihalede puan toplayıp, ihracatta hızlanarak Siber Dayanık­lılığı avantaja çevirebilirsiniz.