AB'ye Dijital Ürün İhraç Eden Şirketlere Siber Güvenlik Uyarısı: 24 Saatlik Bildirim Dönemi Başladı

Ticaret Bakanlığı, 12 Ekim 2026 tarihinde Avrupa Birliği Siber Dayanıklılık Tüzüğü (Cyber Resilience Act – CRA) hakkında yeni bir duyuru yayımladı. Bakanlık, düzenlemenin uygulanmasında açıklığa kavuşturulması gereken konuları belirlemek amacıyla şirketlere ve ilgili taraflara yönelik bir soru toplama anketi hazırladı. Avrupa Birliği'nde dijital bileşen içeren ürünler için güvenlik açığı ve ciddi siber olay bildirimi yükümlülükleri ise 11 Eylül 2026 tarihinde uygulanmaya başladı. Üreticilerin belirli olaylar için 24 saat içerisinde erken uyarı, 72 saat içerisinde ayrıntılı bildirim yapması gerekiyor. Düzenleme, Avrupa Birliği pazarına elektronik cihaz, akıllı ürün, yazılım ve bağlantılı teknolojiler sunan Türk şirketlerini de ilgilendiriyor.

Ticaret Bakanlığının 12 Ekim 2026 tarihli açıklaması, Avrupa Birliği'nin dijital ürünlerin siber güvenliğine ilişkin yeni mevzuatına uyum çalışmalarını yeniden gündeme getirdi.

Bakanlık tarafından hazırlanan anket, 2024/2847 sayılı Avrupa Birliği Siber Dayanıklılık Tüzüğü kapsamında uygulamada açıklığa kavuşturulması gereken konuların belirlenmesini amaçlıyor.

Avrupa Birliği'nin 2024 yılında kabul ettiği düzenleme, donanım ve yazılım içeren ürünlerin tasarımından piyasaya sunulmasına, güvenlik güncellemelerinden ürün yaşam döngüsü boyunca güvenlik açıklarının yönetilmesine kadar çeşitli yükümlülükler getiriyor.

Düzenlemenin ana hükümleri 11 Aralık 2027 tarihinde uygulanacak olsa da belirli siber güvenlik bildirim yükümlülükleri 11 Eylül 2026 itibarıyla yürürlüğe girmiş durumda.

Bu nedenle Avrupa Birliği pazarında dijital ürün sunan üreticilerin 2027 yılını beklemeden mevcut yükümlülüklerini değerlendirmesi gerekiyor.

Ticaret Bakanlığı 12 Ekim'de Yeni Duyuru Yayımladı

Ticaret Bakanlığı, AB Siber Dayanıklılık Tüzüğü kapsamında açıklığa kavuşturulması gereken hususların belirlenmesi amacıyla soru toplama anketi hazırladığını duyurdu.

Anket, düzenlemenin uygulanmasına ilişkin tereddütlerin ve sektör temsilcilerinin karşılaştığı sorunların tespit edilmesini hedefliyor.

Bu gelişme özellikle Avrupa Birliği'ne dijital ürün ihraç eden üreticiler, teknoloji şirketleri ve ilgili sektör kuruluşları açısından önem taşıyor.

Ancak Bakanlığın anket duyurusu, Türkiye'de bütün işletmelere yeni bir siber güvenlik bildirimi zorunluluğu getiren bağımsız bir mevzuat değişikliği değil.

Duyurunun amacı, Avrupa Birliği düzenlemesine yönelik soruları ve açıklama ihtiyaçlarını toplamak.

AB Siber Dayanıklılık Tüzüğü Nedir?

Cyber Resilience Act olarak bilinen Siber Dayanıklılık Tüzüğü, Avrupa Birliği pazarına sunulan dijital bileşen içeren ürünlerin siber güvenliğini artırmayı amaçlayan bir düzenleme.

Tüzük, 2024/2847 sayılı Avrupa Birliği mevzuatı kapsamında kabul edildi.

Düzenleme; donanım, yazılım ve bunlarla bağlantılı belirli uzaktan veri işleme çözümlerini kapsayabiliyor.

Temel amaç, ürünlerin piyasaya sunulmadan önce güvenlik risklerinin değerlendirilmesi ve ürünlerin kullanım süresi boyunca ortaya çıkabilecek güvenlik açıklarının uygun şekilde yönetilmesi.

Bu kapsamda üreticilerin yalnızca ürünün satış anındaki güvenliğini değil, sonraki güncelleme ve destek süreçlerini de dikkate alması gerekiyor.

11 Eylül 2026'da Hangi Yükümlülük Başladı?

Avrupa Komisyonunun açıklamasına göre 11 Eylül 2026 tarihinden itibaren üreticiler için belirli siber güvenlik olaylarını bildirme yükümlülüğü uygulanmaya başladı.

Bu yükümlülük, aktif olarak istismar edilen güvenlik açıkları ile ürünün güvenliğini etkileyen ciddi siber olayları kapsıyor.

Üreticilerin ilgili olayı öğrendikleri andan itibaren belirlenen sürelerde bildirim yapması gerekiyor.

Önemli bir husus, bu bildirim yükümlülüğünün yalnızca 11 Aralık 2027 sonrasında piyasaya sunulacak ürünlerle sınırlı olmaması.

Avrupa Birliği pazarında daha önce kullanıma sunulmuş dijital ürünler de ilgili bildirim hükümlerinin kapsamına girebiliyor.

Siber Olay Bildiriminde 24 Saat ve 72 Saat Kuralı

Avrupa Birliği'nin düzenlemesine göre üreticilerin belirli siber güvenlik olaylarında aşamalı bildirim yapması gerekiyor.

İlk aşamada, olayın öğrenilmesinden itibaren 24 saat içerisinde erken uyarı bildirimi sunulmalı.

İkinci aşamada ise 72 saat içerisinde daha ayrıntılı bildirim gerçekleştirilmeli.

Nihai bildirim için olayın türüne göre farklı süreler uygulanıyor.

Bu süreler, Tüzük kapsamında bildirimi zorunlu olan olaylar için geçerli.

Her teknik hata veya yazılım arızası otomatik olarak bu bildirim yükümlülüğünü doğurmaz.

Bildirimler Hangi Sisteme Yapılacak?

Avrupa Birliği Siber Güvenlik Ajansı ENISA tarafından oluşturulan CRA Tek Bildirim Platformu, 11 Eylül 2026 tarihinde faaliyete geçti.

Üreticiler, ilgili olaylara ilişkin bildirimlerini bu sistem üzerinden gerçekleştiriyor.

Platform, bildirimin yetkili bilgisayar güvenliği olay müdahale ekiplerine iletilmesini ve gerekli koordinasyonun sağlanmasını amaçlıyor.

Böylece üreticilerin farklı ülkelere ayrı ayrı bildirim yapmak yerine ortak bir mekanizma üzerinden işlemlerini yürütmesine imkân tanınıyor.

Ancak bildirim yükümlülüğünün kapsamının, olayın niteliğinin ve gerekli bilgilerin Tüzük hükümlerine göre değerlendirilmesi gerekiyor.

Hangi Ürünler Düzenleme Kapsamına Girebilir?

Siber Dayanıklılık Tüzüğü, dijital unsurlar içeren çeşitli donanım ve yazılım ürünlerini kapsayabiliyor.

Örneğin akıllı ev cihazları, internet bağlantılı güvenlik sistemleri, belirli elektronik cihazlar ve bağımsız olarak piyasaya sunulan yazılımlar bu kapsamda değerlendirilebilir.

Bilgisayar programları, mobil uygulamalar ve ürün işleviyle bağlantılı uzaktan veri işleme çözümleri de koşullarına göre düzenlemenin kapsamında bulunabilir.

Ancak bir ürünün elektronik olması tek başına bütün CRA yükümlülüklerinin uygulanacağı anlamına gelmiyor.

Ürünün teknik özellikleri, kullanım amacı ve ilgili mevzuat istisnaları dikkate alınmalı.

Türk İhracatçıları Neden İlgilendiriyor?

Avrupa Birliği, Türkiye'deki elektronik ve teknoloji üreticileri için önemli dış pazarlardan biri.

TÜRİB'de Yeni Düzenleme: Aracılara Vadeli İşlem Yetkisi

İçeriği Görüntüle

Türkiye'de üretilen bir dijital ürünün Avrupa Birliği pazarına sunulması halinde CRA kapsamındaki yükümlülükler gündeme gelebilir.

Bu nedenle düzenleme yalnızca Avrupa Birliği'nde kurulu şirketler açısından değerlendirilmemeli.

Avrupa Birliği pazarına ürün sağlayan Türk üreticilerin de ilgili ürünler için gerekli siber güvenlik, teknik belgelendirme ve bildirim süreçlerini incelemesi gerekiyor.

Ancak her Türk ihracatçısının doğrudan aynı yükümlülüklere tabi olduğu düşünülmemeli.

Ürünün kapsamı, üreticinin rolü ve Avrupa Birliği piyasasına sunulma koşulları dikkate alınarak değerlendirme yapılmalı.

Üretici, İthalatçı ve Dağıtıcıların Sorumlulukları Farklı

CRA kapsamında üreticiler, ithalatçılar ve dağıtıcılar için farklı sorumluluklar bulunuyor.

Özellikle ürünün güvenli şekilde tasarlanması, geliştirilmesi, güvenlik açıklarının yönetilmesi ve gerekli teknik belgelerin hazırlanması üreticilerin temel sorumlulukları arasında yer alıyor.

Avrupa Birliği pazarına ürün sunan ithalatçı ve dağıtıcıların da belirli uygunluk kontrollerini gerçekleştirmesi gerekiyor.

Ancak üreticilere ilişkin olay bildirim yükümlülüğünün her satıcıya veya dağıtıcıya aynı şekilde uygulanacağı varsayılmamalı.

Şirketlerin tedarik zincirindeki hukuki rollerini doğru belirlemesi önem taşıyor.

Yazılım Güncellemeleri ve Güvenlik Açıkları Önem Kazanıyor

Siber Dayanıklılık Tüzüğü'nün önemli yönlerinden biri, ürünün güvenliğinin yalnızca satış tarihinde değerlendirilmemesi.

Üreticilerin ürünün destek süresi boyunca belirli güvenlik açıklarını yönetmesi gerekiyor.

Bu kapsamda güvenlik güncellemeleri, güvenlik açığı bildirim süreçleri ve kullanıcıların bilgilendirilmesi önem taşıyor.

Özellikle uzun süre kullanılan bağlantılı cihazlarda yazılım desteğinin devamlılığı, ürün güvenliğinin korunması açısından belirleyici olabilir.

Şirketlerin ürün geliştirme ve satış sonrası destek süreçlerini bu yaklaşım doğrultusunda değerlendirmesi gerekiyor.

CE İşareti ve Ürün Uygunluğu Nasıl Etkilenecek?

Siber Dayanıklılık Tüzüğü, ilgili ürünlerde siber güvenlik koşullarının uygunluk değerlendirmesi süreçlerine dahil edilmesini öngörüyor.

Düzenlemenin ana yükümlülükleri uygulanmaya başladığında kapsam içindeki ürünlerin gerekli uygunluk değerlendirme süreçlerini karşılaması gerekecek.

CE işareti, ilgili Avrupa Birliği ürün mevzuatı kapsamında uygunluk değerlendirmesiyle bağlantılı bir unsur olacak.

Ancak bugün itibarıyla bütün dijital ürünlerin yeni CRA gerekçesiyle derhal yeniden CE işareti alması gerektiği sonucuna varılmamalı.

Ana yükümlülüklerin uygulanma tarihi ve geçiş hükümleri dikkate alınmalı.

Ana Kurallar 11 Aralık 2027'de Uygulanacak

Tüzük 10 Aralık 2024 tarihinde yürürlüğe girdi.

Uygulama bakımından ise aşamalı bir takvim bulunuyor.

Uygunluk değerlendirme kuruluşlarının bildirimine ilişkin hükümler 11 Haziran 2026 tarihinde uygulanmaya başladı.

Siber güvenlik olaylarının bildirimine ilişkin yükümlülükler 11 Eylül 2026'da devreye girdi.

Tüzüğün ana siber güvenlik gereklilikleri ise 11 Aralık 2027 tarihinde uygulanacak.

Bu tarihler arasındaki ayrım, şirketlerin yükümlülüklerini planlaması açısından önem taşıyor.

Avrupa Birliği'ne Satış Yapan Şirketler Ne Yapmalı?

Dijital ürün üreticilerinin öncelikle ürünlerinin CRA kapsamına girip girmediğini değerlendirmesi gerekiyor.

Kapsama giren ürünler için güvenlik açığı tespit ve müdahale süreçleri oluşturulmalı.

Özellikle ciddi siber olayların ve aktif olarak istismar edilen güvenlik açıklarının zamanında tespit edilmesi önem taşıyor.

Şirketlerin gerekli olay bildirimlerini kimlerin hazırlayacağını ve hangi sistem üzerinden ileteceğini önceden belirlemesi yararlı olacaktır.

Ayrıca 2027 yılında uygulanacak ana gereklilikler bakımından ürün geliştirme, güncelleme, teknik dokümantasyon ve uygunluk değerlendirmesi süreçleri gözden geçirilmeli.

Muhasebe ve Finansal Raporlama Açısından Etkileri

CRA kapsamındaki uyum faaliyetleri, teknoloji üreticilerinin maliyet yapısını etkileyebilir.

Özellikle siber güvenlik testleri, yazılım geliştirme, danışmanlık, teknik dokümantasyon ve uygunluk değerlendirmesi harcamaları gündeme gelebilir.

Bu harcamaların muhasebeleştirilmesinde giderin niteliği ve uygulanan finansal raporlama çerçevesi esas alınmalı.

Örneğin yazılım geliştirme faaliyetleriyle bağlantılı bazı harcamalarda maddi olmayan duran varlıkların muhasebeleştirilmesine ilişkin kurallar önem taşıyabilir.

Ancak CRA uyumu için yapılan bütün harcamaların otomatik olarak aktifleştirilmesi mümkün değil.

Özellikle hizmet alımları, rutin bakım ve dönem giderleri ile geliştirme harcamalarının ayrı ayrı değerlendirilmesi gerekiyor.

Şirketlerin İç Kontrol Sistemlerine Etkisi

Siber güvenlik olaylarının belirli sürelerde bildirilmesi, işletmelerin iç kontrol ve olay müdahale süreçlerini önemli hale getiriyor.

Özellikle 24 saatlik erken uyarı süresi, olayın öğrenilmesinden sonra hızlı bir değerlendirme yapılmasını gerektiriyor.

Bu nedenle yazılım geliştirme, bilgi güvenliği, hukuk ve yönetim birimleri arasında açık bir koordinasyon kurulması önem taşıyor.

Şirketlerin olay kayıtlarını düzenli tutması ve sorumlulukları önceden tanımlaması yararlı olabilir.

Ayrıca dışarıdan yazılım veya teknik hizmet alınan durumlarda hizmet sağlayıcılarla yapılan sözleşmelerin olay bildirimi ve güvenlik desteği açısından değerlendirilmesi gerekiyor.

Bağımsız Denetim ve Risk Yönetimi Açısından Önemi

Dijital ürünlerin güvenliğine ilişkin düzenlemeler, bazı şirketlerin operasyonel risklerini ve finansal yükümlülüklerini etkileyebiliyor.

Özellikle önemli siber güvenlik olaylarının yaşanması durumunda olayın faaliyetlere, müşteri ilişkilerine ve finansal sonuçlara etkisi değerlendirilebilir.

Bağımsız denetime tabi işletmelerde bu riskler, finansal tablolar açısından önem taşıdığı ölçüde denetim süreçlerinde dikkate alınabilir.

Ancak CRA kapsamında bulunmak, bütün şirketlerin otomatik olarak yeni bir finansal karşılık ayırmasını gerektirmiyor.

Finansal raporlama değerlendirmeleri somut olaylara ve ilgili muhasebe standartlarına göre yapılmalı.

Ticaret Bakanlığının Anketi Neden Önemli?

12 Ekim 2026 tarihli Ticaret Bakanlığı duyurusu, düzenlemenin uygulamasında sektörün karşılaştığı belirsizliklerin belirlenmesi bakımından önem taşıyor.

Özellikle ürün kapsamı, yazılım güncellemeleri, üretici sorumluluğu, olay bildirimleri ve uygunluk değerlendirmesi gibi konularda açıklama ihtiyacı bulunabiliyor.

Bu nedenle Avrupa Birliği'ne dijital ürün sunan işletmelerin uygulamada karşılaştıkları sorunları değerlendirmesi ve Bakanlığın soru toplama çalışmasını takip etmesi yararlı olabilir.

Ancak ankete katılım ile Tüzük kapsamındaki hukuki yükümlülüklerin yerine getirilmesi birbirinden farklı işlemler.

Anket, mevzuata uyumun yerine geçen bir belgelendirme veya izin başvurusu niteliğinde değil.

Dijital Ürün Üreticileri İçin Yeni Dönem Başladı

Avrupa Birliği Siber Dayanıklılık Tüzüğü kapsamında belirli güvenlik açığı ve ciddi siber olay bildirimleri 11 Eylül 2026 tarihinde uygulanmaya başladı.

Üreticilerin ilgili olaylar için 24 saat içerisinde erken uyarı ve 72 saat içerisinde ayrıntılı bildirim gerçekleştirmesi gerekiyor.

Tüzüğün ana ürün güvenliği gereklilikleri ise 11 Aralık 2027 tarihinde uygulanacak.

Ticaret Bakanlığının 12 Ekim 2026 tarihli soru toplama duyurusu, Türk şirketlerinin söz konusu düzenlemeye ilişkin açıklama ihtiyaçlarının belirlenmesi açısından yeni bir gelişme oluşturuyor.

Özellikle Avrupa Birliği'ne elektronik cihaz, yazılım ve bağlantılı ürün ihraç eden şirketlerin ürün kapsamlarını, güvenlik açıklarına müdahale süreçlerini ve uygunluk hazırlıklarını şimdiden değerlendirmesi önem taşıyor.