11 Eylül 2026'dan itibaren Avrupa Birliği'nde satılan dijital unsurlu ürünlerin üreticileri, hacklenen yazılımları yasal olarak bildirmek zorunda — hem de hızlı biçimde.

Siber Dayanıklılık Yasası'nın (CRA) ilk sert son tarihi yürürlüğe girdi. Madde 14 uyarınca üreticiler, aktif olarak sömürülen bir güvenlik açığını ya da ürünün güvenliğini etkileyen ciddi bir olayı öğrendikten sonra 24 saat içinde erken uyarı, 72 saat içinde tam bildirim yapmak zorunda. Sömürülen açık için düzeltici önlem hazır olduktan en geç 14 gün sonra, ciddi olaylar için 72 saatlik bildirimden itibaren bir ay içinde nihai rapor verilmesi gerekiyor.

Bildirimler tek kanaldan yapılıyor: ENISA'nın kurduğu CRA Tekli Raporlama Platformu (SRP) 11 Eylül'de devreye girdi. Üretici tek kez başvuruyor; platform raporu şirketin merkezinin bulunduğu üye devletin CSIRT'sine yönlendiriyor ve olağanüstü durumlar dışında aynı anda ENISA ile ürünün piyasaya sunulduğu diğer ülkelerin CSIRT'leriyle paylaşıyor.

Yükümlülükler AB pazarına sunulan donanım ve yazılımı kapsıyor. Asıl sorumlu üreticiler; ithalatçı ve dağıtıcıların ayrı yükümlülükleri var. Açık kaynak yazılım sorumluları için süre daha geç başlıyor: Madde 24(3) kapsamındaki bildirim yükümlülükleri 11 Aralık 2027'de devreye giriyor.

Tüzüğün büyük kısmı da o tarihte yürürlüğe giriyor. Uygunluk değerlendirmesi, CE işareti, teknik dokümantasyon, güvenlik açığı yönetimi süreçleri ve güvenlik desteği süreleri 11 Aralık 2027'den itibaren geçerli olacak — yani raporlama saati başladıktan 15 ay sonra. İhlallerde cezalar 15 milyon avroya ya da toplam küresel yıllık cironun yüzde 2,5'ine kadar çıkabiliyor.

Asıl zorluk hız. Üreticilere danışmanlık yapan hukuk büroları, sürelerin gün değil saatle ölçüldüğünü; bunun da şirketlerin bir olayın bildirilebilir olup olmadığına hızla karar vermesini ve önceden yükseltme yolları ile teknik izleme kurmasını gerektirdiğini vurguluyor. DLA Piper'ın gizlilik ekibi gereklilikleri "uyumluluğa hazırlanan kuruluşlar için erken bir öncelik" olarak tanımlıyor ve düzenlemede hâlâ belirsizlikler bulunduğu uyarısını yapıyor.

Kaynaklar