Siber Dayanıklılık Yasası’nda 24 saatlik bildirim

Siber Dayanıklılık Yasası kapsamında AB pazarındaki dijital ürünlerde tespit edilen açıklar 24 saat içinde bildirilecek. Cezalar 15 milyon euroya çıkabilecek.

Avrupa Birliği’nde dijital ürün üreten ve bu ürünleri pazara sunan şirketler için Siber Dayanıklılık Yasası kapsamında yeni bir aşamaya geçildi. 11 Eylül itibarıyla yürürlüğe giren bildirim yükümlülüğü, ürünlerde aktif şekilde istismar edilen güvenlik açıkları ile ciddi siber olayların belirli süreler içinde yetkili makamlara iletilmesini zorunlu kılıyor.

Kurallar yalnızca AB merkezli üreticilerle sınırlı değil. Türkiye’de faaliyet göstererek Avrupa pazarına yazılım, akıllı cihaz, bağlantılı makine veya dijital bileşen ihraç eden şirketler de ürünlerinin niteliğine bağlı olarak bu yükümlülüklerle karşılaşabilecek.

Bildirim takvimi nasıl işleyecek?

Bir üretici, ürünündeki aktif olarak kullanılan bir güvenlik açığından ya da ürün güvenliğini ciddi biçimde etkileyen bir siber olaydan haberdar olduğunda ilk bildirimi 24 saat içinde yapmak zorunda olacak. Olayın ayrıntılarını içeren ikinci bildirimin ise 72 saat içinde sunulması gerekecek.

Aktif biçimde istismar edilen güvenlik açığı için düzeltici veya risk azaltıcı bir önlem hazırlandığında nihai rapor en geç 14 gün içinde iletilecek. Ciddi siber olaylarda ise 72 saatlik bildirimin ardından nihai rapor için bir aylık süre tanınacak.

Şirketler bildirimlerini Avrupa Birliği Siber Güvenlik Ajansı ENISA tarafından oluşturulan ortak platform üzerinden gerçekleştirecek.

Kapsama giren ürünler

Siber Dayanıklılık Yasası, AB pazarında sunulan ve başka bir cihaz ya da ağa doğrudan veya dolaylı biçimde bağlanabilen yazılım ve donanımları kapsıyor. Akıllı ev ürünleri, güvenlik kameraları, bağlantılı makineler, mobil uygulamalar ve farklı yazılım çözümleri bu kapsamda değerlendirilebiliyor.

Ayrı bir ürün olarak piyasaya sunulan yazılım ve donanım bileşenleri de düzenlemenin kapsamına girebiliyor. Ayrıca bildirim zorunluluğu yalnızca 2027’den sonra piyasaya çıkarılacak ürünlerle sınırlı tutulmuyor; AB’de daha önce satışa sunulmuş ürünlerde ortaya çıkan aktif güvenlik açıkları ve ciddi siber olaylar da kurallar çerçevesinde değerlendirilebiliyor.

İhlallerde 15 milyon euroya kadar ceza

Yasanın üreticilere getirdiği temel yükümlülüklerin yanı sıra güvenlik açığı ve siber olay bildirim kurallarına uyulmaması da yaptırım konusu olacak. İhlaller için öngörülen azami idari para cezası 15 milyon euroya kadar çıkabilecek.

Üst sınırın belirlenmesinde, şirketin bir önceki mali yılda dünya genelinde elde ettiği yıllık cironun yüzde 2,5’i de dikkate alınabilecek. Uygulanacak cezanın her gecikme için otomatik olarak 15 milyon euro olacağı anlamına gelmeyen bu düzenlemede, üye ülkelerin etkili, orantılı ve caydırıcı yaptırımlar belirlemesi gerekiyor.

Mikro ve küçük işletmeler, yalnızca 24 saatlik ilk bildirim süresine uymadıkları gerekçesiyle para cezasına çarptırılamayacak. Bununla birlikte düzenlemenin diğer yükümlülükleri, işletmenin durumuna ve ihlalin niteliğine göre geçerliliğini koruyabilecek.

Türk ihracatçıları da hazırlık yapmalı

Türkiye’de üretim yapan bir şirketin merkezinin AB dışında bulunması, onu otomatik olarak düzenlemenin kapsamı dışına çıkarmıyor. Bir üretici kendi adı veya markasıyla dijital özellik taşıyan bir ürünü AB pazarına sunuyorsa, ürünün niteliğine göre yeni bildirim kurallarına tabi olabilir.

Bu durum özellikle akıllı cihaz, IoT ürünü, otomasyon sistemi, bağlantılı makine, yazılım ve elektronik bileşen ihracatı yapan şirketler açısından önem taşıyor. AB’deki ithalatçı ve dağıtıcılar için getirilen uygunluk kontrolü yükümlülükleri de sürecin yalnızca üreticilerin teknik birimleriyle sınırlı kalmamasına neden oluyor.

Dolayısıyla yeni kurallar; ihracat, distribütörlük, tedarik zinciri ve ürün güvenliği süreçlerinin birlikte ele alınmasını gerektiriyor.

Yasanın büyük bölümü 2027’de uygulanacak

Siber Dayanıklılık Yasası’nın tüm hükümleri aynı tarihte yürürlüğe girmedi. Düzenlemenin ana siber güvenlik yükümlülüklerinin büyük bölümü 11 Aralık 2027’den itibaren uygulanacak.

Buna karşılık güvenlik açıkları ve ciddi siber olaylara ilişkin bildirim hükümleri için daha erken bir takvim belirlendi ve bu bölüm 11 Eylül 2026’da devreye girdi. Bu nedenle AB’ye dijital ürün satan şirketlerin hazırlık için 2027’yi beklememesi gerekiyor; aktif olarak istismar edilen bir açık tespit edildiğinde 24 saatlik bildirim süresi şimdiden işlemeye başlayabilecek.