Siber olayda ilk karar: kim, neyi, kime bildirecek?

ENISA, CRA kapsamındaki Tek Bildirim Platformu’nun ilk işletim kapasitesini 11 Eylül 2026’da devreye aldı. Üreticilerin bildirim yükümlülükleri aynı tarihte uygulanmaya başladı; temel ürün güvenliği yükümlülüklerinin uygulama tarihi ise 11 Aralık 2027. Bu iki takvimi birbirine karıştırmamak gerekiyor.

Türkiye’deki bir üretici açısından başlangıç noktası, ürünün AB pazarına sunulup sunulmadığı ve şirketin tedarik zincirindeki rolü. Her siber olay aynı bildirim eşiğini karşılamaz. Aktif olarak istismar edilen zafiyet ile ürün güvenliğini etkileyen ciddi olay ayrımını teknik ekip ve hukuk ekibi birlikte yapmalı.

Olaydan önce hazırlanacak dosya

Ürün listesi, sorumlu kişi, yedek irtibat ve bildirim kararının nasıl alınacağı tek bir yerde bulunmalı. Tedarikçinin zafiyeti öğrendiği an ile üreticinin haberdar olduğu an ayrıca kaydedilmeli. Sözleşmede genel bir iş birliği cümlesi olması, gece gelen bir olay bildiriminin kime ulaşacağını açıklamıyor.

İlk çalışma olarak tek bir ürün üzerinden masa başı tatbikat yapılabilir: satış ülkesi, yazılım bileşeni, olay zamanı, bilinen etki ve henüz doğrulanmamış bilgiler. Tatbikatın amacı kusursuz bir rapor yazmak değil, kararın hangi aşamada beklediğini görmek.

Bu gelişme, Türkiye’deki bütün şirketlere doğrudan yeni bir genel bildirim yükümlülüğü getirmiyor. Kapsam değerlendirmesi ürün ve pazara göre yapılmalı.

Kaynaklar

ENISA · CRA Single Reporting Platform, 11.09.2026

https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched