Guardian360
Ücretsiz denemeyi başlatınİş ortağı olun
← Tüm yazılar

Opinion

Herkes NIS2'yi izliyor. Ürününüzü piyasadan çekebilecek olan Cyber Resilience Act.

Yazan Jan Martijn Broekhof ·

9 Temmuz’da, CyberVeilig Nederland, FME ve Ekonomik İşler Bakanlığı tarafından düzenlenen ve Nieuwegein’de Tesorion ev sahipliğinde gerçekleşen, Cyber Resilience Act üzerine bir etkinlik olan CRA Connect’e katıldım. Temel noktaları zaten bildiğimi düşünerek gittim. Guardian360 yazılım geliştiriyor, dolayısıyla CRA elbette bize uygulanıyor; o kısım hiç kuşkulu değildi. Beni gafil avlayan şey hızdı. Odadaki çoğu kişinin ezbere sayabileceği Aralık 2027 manşet tarihi değil, onun önünde sessizce duran tarih: 11 Eylül 2026. Bu uzak bir yükümlülük değil. Bu, çoktan işlemeye başlamış hazırlık zamanı.

Zaman çizelgesini kafasında biraz yanlış kuran tek kişinin ben olmadığımdan şüpheleniyorum. Ve bunun önemli olmasının nedeni basit: şu anda siber güvenlikteki neredeyse herkes NIS2’ye bakıyor. CRA onun gölgesinde geliyor ve ikisinden CRA, eninde sonunda ürününüzü hiç satamamanıza yol açabilecek olan.

Cyber Resilience Act tam olarak nedir?

Cyber Resilience Act, dijital öğeler içeren ürünlerin güvenliğini hedefleyen bir Avrupa düzenlemesidir. 10 Aralık 2024’te yürürlüğe girdi ve bir direktif değil bir düzenleme olduğu için, ulusal hukuka aktarılmadan doğrudan AB genelinde uygulanır.

Kapsamı geniştir. Yalnızca IoT donanımı, güvenlik duvarları ve ağ ekipmanı gibi fiziksel bağlı cihazları değil, aynı zamanda yazılımı da kapsar: işletim sistemleri, mobil uygulamalar, ürün yazılımları ve ayrı olarak pazarlanan yazılım bileşenleri. Dijital öğeler içeren bir ürün, ticari bir faaliyetin parçası olarak AB pazarına sürülürse, büyük olasılıkla kapsam dahilindedir. Bu erişim Avrupa’nın da ötesine uzanır; AB dışında yerleşik bir üretici, ürünleri AB pazarında sunulur sunulmaz CRA’ya tabi olur.

Adını anmaya değer bir istisna vardır, çünkü yaygın biçimde yanlış anlaşılır. Ticari olmayan açık kaynaklı yazılım CRA’nın dışında kalır. Ama açık kaynaklı bileşenleri ticari bir ürüne entegre ettiğiniz anda, o bileşenler ürününüzün parçasıdır ve CRA yükümlülükleri tümüne uygulanır. Sorumluluğu, hiçbir zaman ödeme yapmadığınız bir yukarı akış projesine devredemezsiniz.

Ne zaman gerçekten uyum sağlamanız gerekiyor?

Sürprizin yaşadığı yer burasıdır. İki tarih vardır ve tüm dikkati ikincisi çekerken zararı birincisi verir.

11 Eylül 2026’da raporlama görevi başlar. O tarihten itibaren, ürünlerinde etkin biçimde istismar edilen bir güvenlik açığından veya ciddi bir olaydan haberdar olan üreticiler, ulusal kanal mijn.NCSC.nl aracılığıyla, ilk bildirimi 24 saat içinde olacak şekilde bunu raporlamalıdır. 11 Aralık 2027’de düzenlemenin geri kalanı tümüyle uygulanır: temel siber güvenlik gereksinimleri, uygunluk değerlendirmesi, CE işareti, teknik dokümantasyon. O tarihten itibaren, yalnızca CRA uyumlu ürünler AB pazarına sürülebilir.

Şimdi o tarihleri tersine çevirin. Onlara son tarih olarak değil, hazırlığınızın bitmiş olması gereken an olarak bakın. Test edilmiş ve personel atanmış, çalışan bir olay ve güvenlik açığı raporlama süreci, Eylül 2026’dan önce var olmak zorunda. Arkasındaki tüm dokümantasyonla birlikte tam bir uygunluk değerlendirmesi, Aralık 2027’den önce yapılmış olmak zorunda. Bunların her birinin gerçekten aldığı süreyi çıkarın ve her iki tarih de aynı rahatsız edici yere işaret eder: şimdiye.

Herkes NIS2’ye bakıyor. Tehlikeli olan kısım bu.

Siber güvenlik sektörü son iki yılı NIS2 ve onun Hollanda uygulamasına dalmış halde geçirdi. Bu dikkat yanlış değil, ama bir kör nokta yarattı ve kör nokta tam da iki yasanın dikkatiniz için rakip olmaması nedeniyle tehlikeli. Birbirlerine kenetleniyorlar.

CRA, aslında NIS2’nin altındaki tedarik zinciri aracıdır. NIS2 kapsamına giren bir kuruluş, ancak satın aldığı ürünler kendileri güvenli olduğunda güvenli olabilir. Bir hastane, bir kamu hizmeti kuruluşu, bir lojistik operatörü; her biri, tedarik ettiği bağlı ürünler ve yazılım kadar dayanıklıdır. CRA’nın ürün düzeyinde düzenlediği tam olarak budur. Yalnızca NIS2’ye bakarsanız, sorunun yarısını yönetirken diğer yarısının kendiliğinden hallolacağını varsayıyorsunuzdur.

Riskler de farklıdır ve bu, insanların dikkatini vermesi gereken kısımdır. NIS2 uyumsuzluğu denetim ve para cezaları getirir. Bunlar ciddidir. Ama CRA, CE işaretinin fiziksel güvenlik için işlediği gibi işler: Aralık 2027’den itibaren, geçerli bir uygunluk değerlendirmesi olmayan bir ürün AB pazarına basitçe sürülemez. NIS2 altındaki en kötü senaryo bir cezadır. CRA altındaki en kötü senaryo, ürününüzün satılamamasıdır. Bir yazılım satıcısı için bu bir uyumluluk maliyeti değildir. Varoluşsal bir maliyettir.

Bunu kendi üzerimizde test ettik

Guardian360’ın bu konuda nerede durduğu hakkında dürüst olmak istiyorum, çünkü “sonra hallederiz” tepkisinin neden yanlış olduğunu göstermenin en açık yolu bu.

ISO 27001 sertifikalıyız. Ürünlerimiz için zaten bir Yazılım Malzeme Listesi (Software Bill of Materials) tutuyoruz. Kağıt üzerinde çoğundan daha iyi hazırlıklıydık. Ve yine de vardığımız sonuç ürkütücüydü: bu hazırlık bize bir avantaj sağlıyor, muafiyet değil. ISO 27001, bilgi güvenliği yönetim sistemimizi, kuruluşumuzu ve süreçlerini yönetir. CRA, ürünün kendisinin güvenliğini yönetir. İkisi birbirini tamamlar ama birbirinin yerine geçmez ve duvardaki bir ISO 27001 sertifikası bir ürünü CRA uyumlu yapmaz.

Sonra kendi ürünlerimizi CRA’nın kategorilerine göre haritalamaya başladık ve durum daha da ilginçleşti. Düzenleme, dijital öğeler içeren ürünleri normal ürünler, sınıf I ve sınıf II’deki önemli ürünler ve kritik ürünler olarak sıralar; risk yükseldikçe değerlendirme ağırlaşır. Saldırı tespiti ve önleme sistemlerini içeren sınıf II, dış bir onaylanmış kuruluş tarafından değerlendirme gerektirir; öz değerlendirme yeterli değildir. Yaptığımız işin bir kısmı tam da o saldırı tespiti alanına oturuyor. Başka bir deyişle, ürünlerimizin bazıları daha hafif değil, daha ağır rejime işaret ediyor. Hangi ürünün tam olarak hangi kategoriye girdiğini belirlemek ve gerekçeyi belgelemek, tam olarak aylar süren türden bir görevdir. 2026 yazının sonlarında aceleyle yapacağınız bir şey değildir.

“Yalnızca” raporlama görevi için bile neden bekleyemezsiniz

İşte adil itiraz ve dürüst bir yanıt hak ediyor. Biri şöyle diyecek: Eylül 2026 yalnızca raporlama yükümlülüğü, tam ürün uygunluğu değil. Tam uyumluluk 2027. Öyleyse aciliyeti abartmıyor muyuz?

Hayır ve nedeni şu. Raporlama görevi çevirdiğiniz bir düğme değildir. İzlemediğiniz şeyi raporlayamazsınız; bu, tespit ve raporlama sürecinin tarih gelmeden önce işler durumda ve prova edilmiş olması gerektiği anlamına gelir. Üçüncü taraf bağımlılıklarını hiç haritalamadığınız bir ürün hakkında doğru rapor veremezsiniz; Yazılım Malzeme Listesi’nin devreye girdiği yer burasıdır; gerçek bir ürün portföyünde bunu bir araya getirmek bir öğleden sonra değil, aylarca süren iştir. Ve fiziksel ürünler üreten herkes için, zaman çizelgesi daha da bağışlayıcısızdır. Etkinlikte, VDL Agrobotics’ten Ferry Mulders bir makinenin yaşam döngüsünden, bir makinenin hizmette kaldığı yıllar boyunca hacklenemeyeceğini kanıtlamaktan söz etti. Çok yıllı bir geliştirme döngüsüne sahip bir makine üreticisi, bugün 2027’den sonra pazara gelecek ürünleri tasarlıyor. Onlar için 2027 gelecek değildir. Şu anki tasarım görevidir.

Etkinliğe ev sahipliği yapan şirketin sahibi olan Tesorion’dan Erik de Jong, bunun dürüst versiyonunu açıkça ortaya koydu: başkalarının uyumlu olmasına yardım ediyorlar ve kendilerinin de kayda değer bir CRA işiyle oturuyorlar. Sektörümüz genelindeki gerçeklik bu. Bu konuda danışmanlık verenler de buna tabidir.

Bunun iş ortakları için anlamı

Bir iş ortağıysanız, bir MSP, bir entegratör, bir bayi veya bir siber güvenlik uzmanıysanız, bu masanıza iki kez düşer.

İlk olarak, kendiniz için. Dijital öğeler içeren herhangi bir ürün geliştiriyor, ithal ediyor veya dağıtıyorsanız, gidin CRA’nın size uygulanıp uygulanmadığını ve her ürünün hangi kategoriye ait olduğunu kontrol edin. Bir hizmet işinin kapsam dışında olduğunu varsaymayın; pek çok hizmet sağlayıcı da bunları öyle düşünmeden yazılım, cihaz veya entegre ürünler sunar.

İkinci olarak, müşterileriniz için. CRA’nın kendileri için ne anlama geldiğini soracaklar ve iyi, sakin, spesifik biçimde, zaman çizelgesi ve kategoriler net olarak yanıtlayabilen iş ortakları, ardından gelen güveni kazanacak olanlardır. Konuşma her halükarda geliyor. Tek soru, işi müşteriniz sormadan önce mi yoksa sonra mı yaptığınızdır.

Bu yüzden size şu soruyla veda edeyim. Kendi ürünlerinizi CRA’nın eklerine karşı çoktan yerleştirdiniz mi, yoksa 2027’nin hala rahatça uzakta olduğunu sessizce mi varsayıyorsunuz? Çünkü tarihleri tersine çevirdiğinizde, öyle değil.

Kaynaklar