Siber Dayanıklılık Yasası

(AB) 2024/2847 sayılı Tüzük ve eSeGeCe bileşen kitaplıkları. Son güncelleme: Ağustos 2026

CRA bugün nerede

(AB) 2024/2847 sayılı Tüzük 10 Aralık 2024'te yürürlüğe girdi, ancak yükümlülükleri aşamalı olarak geliyor:

11 Haziran 2026. Uygunluk değerlendirme kuruluşlarının bildirimine ilişkin kurallar yürürlüğe girer, böylece değerlendirme altyapısı var olmaya başlar.

11 Eylül 2026. Üreticiler, etkin biçimde sömürülen zafiyetleri ve ciddi olayları ENISA'ya ve ilgili CSIRT'e bildirmek zorundadır: 24 saat içinde erken uyarı, 72 saat içinde daha ayrıntılı bildirim ve düzeltici bir önlem hazır olduğunda nihai rapor.

11 Aralık 2027. Temel siber güvenlik gereklilikleri, zafiyet yönetimi gereklilikleri, teknik dosya, AB uygunluk beyanı ve CE işareti tam olarak uygulanır.

Aralık 2027'ye kadar piyasadaki hiçbir ürün CRA uygunluk beyanı taşımaz, çünkü bunu düzenleyen çerçeve hâlâ kuruluyor. Bugün tamamlanmış bir CRA uygunluk değerlendirmesi olduğunu ileri süren herhangi bir tedarikçi, henüz var olmayan bir şeyi anlatıyordur. Şimdi yapabileceğimiz şey, ve bu sayfanın amacı budur, kendi değerlendirmenizin ihtiyaç duyduğu kanıtları size vermektir.

Ürün sınıflandırması

eSeGeCe bileşen kitaplıkları Tüzüğün Ek III veya Ek IV listelerinde yer almaz. İşletim sistemi, hipervizör, konteyner çalışma ortamı, güvenlik duvarı, saldırı tespit sistemi, VPN, kimlik yönetim sistemi, parola yöneticisi, önyükleme yöneticisi, açık anahtar altyapısı, ağ yönetim sistemi ya da başka herhangi bir önemli veya kritik sınıf değildir.

Bu nedenle varsayılan kategoriye girerler, burada uygunluk onaylanmış kuruluş tarafından değil, üretici tarafından Modül A'nın iç kontrol prosedürüyle ortaya konur. Dosyanız açısından bu, bileşenlerimizi entegre etmenin tek başına ürününüzü daha üst bir uygunluk değerlendirme sınıfına çekmediği anlamına gelir. Kendi ürününüzün sınıflandırması, ürününüzün ne yaptığına bağlıdır.

Kim neden sorumlu

AB pazarına sürdüğünüz ürünün üreticisi sizsiniz ve o ürünün CE işareti ile uygunluk beyanı size aittir. Aramızdaki ilişkiyi iki madde düzenler:

Madde 13(5). Üçüncü taraflardan temin edilen bileşenleri entegre ederken, bunların ürününüzün siber güvenliğini zayıflatmaması için gereken özeni göstermelisiniz. Aşağıdaki malzeme tam da bu amaçla sağlanmaktadır.

Madde 13(6). Entegre ettiğiniz bir bileşende zafiyet bulursanız, bunu o bileşeni sürdüren tarafa bildirmelisiniz. Bizim kodumuz için bu kanal zafiyet açıklama politikamızda anlatılmıştır.

Durum tespitiniz için sağladıklarımız

Tam kaynak kodu. Her lisans, kullandığınız bileşenlerin eksiksiz Delphi ve C++ Builder kaynağını içerir. Sizden bir ikili dosyaya güvenmeniz istenmez, dağıttığınız her şeyi inceleyebilir, denetleyebilir, ölçümleyebilir ve yeniden derleyebilirsiniz. Ek I kapsamındaki bir değerlendirme için bu, bir bileşen tedarikçisinin sunabileceği en güçlü kanıttır ve ticari bileşen sağlayıcılarının çoğu bunu sunmaz.

Talep üzerine SBOM. Ek I Bölüm II, 1. madde bizden en azından üst düzey bağımlılıkları kapsayan bir malzeme listesi hazırlamamızı ve teknik dosyamızda saklamamızı ister, yayımlamamızı istemez. Kendi listemizi her sürüm için CycloneDX biçiminde tutuyor ve talep üzerine sunuyoruz, böylece doğrudan kendi envanterinize aktarılabilir. Güvenlik sayfamız üzerinden talep edin.

Koordineli zafiyet açıklama politikası. Tek bir iletişim noktası, alındı ve değerlendirme için hedef süreler ve bir açıklama penceresiyle yayımlanmıştır, Ek I Bölüm II, 5. maddenin gerektirdiği gibidir.

Belgelenmiş bir değişiklik geçmişi. Her sürüm, güvenlikle ilgili değişiklikler dahil olmak üzere neyin değiştiğini kaydeden bir geçmiş dosyasıyla gelir, böylece neyin ne zaman düzeltildiğine dair yazılı bir iz elinizde olur.

Bir destek süresi. Bir ana sürüme ait güvenlik düzeltmeleri, yayımlanmasından itibaren en az beş yıl kullanılabilir kalır, bu da Madde 13(8)'deki asgari süreyi karşılar.

Varsayılan olarak güvenli

Ek I Bölüm I, bir ürünün güvenli varsayılan yapılandırmayla teslim edilmesini, kendisini hizmet dışı bırakma saldırılarına karşı korumasını ve saldırı yüzeyinin asgariye indirilmesini ister. Bu çalışma üründe hâlihazırda görülebilir. Son sürümler WebSocket sunucusunun gelen kontrol çerçevelerine hız sınırı koymasını, sınırsız sayıda kabul etmek yerine eşzamanlı bağlantı sayısını sınırlamasını, HTTP/2 sunucusuna azami istek gövdesi boyutu eklenmesini ve bir MCP sunucusunu çağırabilecek tarayıcı kaynaklarının kısıtlanmasını sağladı. Taşıma güvenliği OpenSSL üzerinden ya da Windows'ta hiçbir harici kitaplık dağıtmayı gerektirmeyen SChannel üzerinden kullanılabilir. Bu varsayılanlar, bir son tarih gerektirdiği için değil, doğru varsayılanlar oldukları için sıkılaştırıldı.

Hazırladıklarımız

Yukarıdaki tarihlere hazırlanırken Ek VII'de tanımlanan teknik dosya, Ek V'teki AB uygunluk beyanı, bizi ilgilendirdiği ölçüde CE işareti, Ek II'deki kullanıcıya yönelik bilgi ve talimatlar ve Eylül 2026'da başlayan Madde 14 bildirim yükümlülükleri için iç süreç üzerinde çalışıyoruz. Sonuçları tamamlandıkça burada yayımlayacağız. Tüzük kapsamındaki uyumlaştırılmış standartlar hâlâ hazırlanıyor, kullanıma açıldıklarında onlara uyum sağlayacağız.