2026, Avrupa Birliği Siber Dayanıklılık Tüzüğü kapsamında kurumların hazırlık planlarını işletmeye aldığı kritik bir döneme işaret eder. Tüzük, AB pazarına sunulan dijital unsura sahip ürünler için zorunlu siber güvenlik gereklilikleri getirir. Bu gereklilikler, ürünün tasarımından bakımına uzanan tüm yaşam döngüsünde güvenliğin yönetilmesini ve bunun denetlenebilir kayıtlarla gösterilmesini hedefler.
Takvim net kilometre taşları verir. Tüzük 10 Aralık 2024 tarihinde yürürlüğe girdi. Ana yükümlülükler 11 Aralık 2027 itibarıyla uygulanır. Raporlama yükümlülükleri 11 Eylül 2026 tarihinde başlar. Uygunluk değerlendirme kuruluşlarının bildirimine ilişkin hükümler ise 11 Haziran 2026 itibarıyla uygulanır.
Tüzük Hangi Ürünleri ve Hangi Ekipleri Etkiler
Dijital unsura sahip ürün kavramı, yazılım içeren veya yazılımla çalışan, doğrudan ya da dolaylı biçimde ağlara bağlanan ürünleri kapsayabilir. Düzenlemenin amacı, bu ürünlerin siber güvenliğinin planlama, tasarım, geliştirme, üretim, teslimat ve bakım aşamalarında ele alınmasını sağlamaktır.
Bu etki tüm ekipleri ilgilendirir.
- Ürün yönetimi ve Ar-Ge: Güvenlik gereksinimleri, tasarım kararları, test kanıtları,
- Operasyon ve yayın yönetimi: Sürüm takibi, güncelleme dağıtımı, kayıt bütünlüğü,
- Satın alma ve tedarik zinciri: Üçüncü taraf yönetimi, tedarikçi güvenlik şartları,
- Hukuk ve uyum: Piyasaya arz sorumlulukları, raporlama süreçleri, sözleşme yükümlülükleri,
- Kalite ve iç denetim: Süreç denetimleri, düzeltici aksiyonlar, izlenebilirlik.
2026’yı kritik yapan ana unsur, raporlama yükümlülüklerinin bu yıl içinde başlamasıdır. Resmi bilgilendirme sayfası, 11 Eylül 2026 itibarıyla üreticilerin dijital unsura sahip ürünleri etkileyen aktif olarak kötüye kullanılan güvenlik açıklarını ve ciddi siber güvenlik olaylarını raporlaması gerektiğini belirtir.
Tüzüğün resmi özeti, iki erken uygulama başlığını ayrıca netleştirir. Uygunluk değerlendirme kuruluşlarının bildirimine ilişkin hükümler 11 Haziran 2026’da uygulanır. Raporlama yükümlülükleri 11 Eylül 2026’da devreye girer. Ana yükümlülüklerin tamamı ise 11 Aralık 2027’de uygulanır.
Bu takvim, 2026 boyunca hazırlık çalışmalarının somut çıktılara bağlanmasını gerektirir. Süreçler tanımlı olmalı, kayıt üretmeli ve düzenli biçimde işletilmelidir.
Aşağıdaki üç başlık, tüzük uyumunun 2026 planının omurgasını oluşturur;
1-Ürün yaşam döngüsüne güvenlik gereksinimlerini yerleştirme
Tüzük, güvenliğin ürün yaşam döngüsünde sistematik biçimde ele alınmasını hedefler. Resmi tüzük metni, siber güvenlik risklerinin planlama, tasarım, geliştirme, üretim, teslimat ve bakım aşamalarında dikkate alınması yaklaşımını vurgular. Kurumsal karşılığı, şu çıktıları standart hale getirmektir;
- Güvenlik gereksinimlerinin ürün gereksinimlerine dahil edilmesi,
- Tehdit odaklı analiz yaklaşımının kayıt altına alınması,
- Güvenli varsayılan ayarların tanımlanması ve doğrulanması,
- Güvenlik testlerinin kapsamının ve kabul ölçütlerinin dokümante edilmesi.
2-Güvenlik açığı yönetimi ve güvenlik güncellemeleri
Güvenlik açığı yönetimi, 2026’da hızla olgunlaşması gereken bir alandır. Çünkü raporlama yükümlülüğü, tek başına bir bildirim adımı olarak ele alınamaz. Tespit, doğrulama, önceliklendirme, düzeltme, yayın ve takip adımlarının tutarlı bir düzen içinde çalışmasını gerektirir. Operasyonel gereklilikler;
- Güvenlik açığı kabul ölçütleri ve önceliklendirme,
- Düzeltme planı, doğrulama ve yayın süreci,
- Dağıtım kontrolleri ve geri dönüş planı,
- Ürün destek süresi boyunca güvenlik güncellemesi yaklaşımının netleşmesi.
3-Raporlama yükümlülükleri için olay ve kayıt standardı
11 Eylül 2026 itibarıyla raporlanması gereken iki temel konu resmi sayfada açıkça ifade edilir. Bunlar aktif olarak kötüye kullanılan güvenlik açıkları ve ciddi siber güvenlik olaylarıdır. Bu nedenle 2026 planı, olay yönetimini kayıt düzeniyle birlikte ele almalıdır.
- Olay sınıflandırma ölçütleri ve kayıt şablonları,
- Etki analizi, aksiyon planı ve kapanış kayıtları,
- Raporlama rol ve sorumluluk matrisi,
- Kayıtların saklama, erişim ve bütünlük kuralları.
Plan, 11 Eylül 2026 raporlama tarihine kadar süreçlerin işletilebilir ve kayıt üreten bir düzene oturmasını hedefler. İlk 2 haftada ürün portföyü ve AB’ye arz durumu netleştirilir, dijital unsura sahip ürün kapsamı belirlenir ve kritik bileşen bağımlılıkları görünür hale getirilir. İlk 30 günde gereksinimlere göre mevcut durum tespiti yapılır, süreçlere kontrol noktaları eklenir ve hangi kaydın nerede üretileceğini, kimlerin onaylayacağını ve nasıl saklanacağını belirleyen kanıt planı oluşturulur. 60 günde güvenlik açığı yönetimi ile güvenlik güncellemelerinin yayın ve duyuru düzeni standart hale getirilir, tedarikçi güvenlik şartları satın alma süreçlerine entegre edilir. 90 günde örnek bir ürün ailesi için teknik dokümantasyon hazırlanır, iç denetim provası yapılır ve raporlama senaryolarına uygun olay ve güvenlik açığı kayıtlarının kalite kontrolü tamamlanır.
Tüzük takvimi, 2026 için iki somut hedef oluşturur. Birinci hedef, 11 Eylül 2026’da başlayacak raporlama yükümlülüklerine hazır olay ve güvenlik açığı yönetimini kurmaktır. İkinci hedef, 11 Aralık 2027’de uygulanacak ana yükümlülüklere giden yolda ürün yaşam döngüsünde güvenlik gereksinimlerini ve denetlenebilir kayıt düzenini standart hale getirmektir.
CFECERT’ in belgelendirme ve eğitim hizmetleriyle CRA hazırlığınızı kurumsal bir plana dönüştürebilirsiniz.
- CRA Hazırlık Değerlendirmesi
Ürün portföyü, süreç boşluk analizi, kanıt planı ve 2026 raporlama gerekliliklerine hazırlık, - CRA Uygulama Yol Haritası
Güvenlik açığı yönetiminin işletilmesi, güvenlik güncellemeleri yayın düzeni, iç denetim provası ve aksiyon planı,
Başlamak ve bu konu hakkında bilgi almak için info@cfecert.co.uk üzerinden bize ulaşabilirsiniz.