Avrupa Birliği Siber Dayanıklılık Yasası İçin ENISA ve BSI Yeni Rehberler Yayınladı

Avrupa Birliği Siber Dayanıklılık Yasası kapsamında şirketlerin ilk bildirim yükümlülükleri 11 Eylül 2026’da başlayacak. Avrupa Birliği Siber Güvenlik Ajansı ENISA ile Almanya Federal Bilgi Güvenliği Dairesi BSI, üreticilerin güvenlik açığı yönetimi, olay bildirimi ve ürün güvenliği süreçlerine hazırlanmasına yardımcı olacak yeni belgeler yayınladı. Düzenlemenin ürünlere yönelik kapsamlı yükümlülükleri ise 11 Aralık 2027’de yürürlüğe girecek.

ENISA, Güvenlik Açığı Bildirimleri İçin Yeni Sistemi Hazırlıyor

ENISA’nın yayınladığı yeni rehber, Siber Dayanıklılık Yasası kapsamındaki ürünleri ve üreticilerin sorumluluklarını daha anlaşılır hâle getiriyor. Avrupa Birliği Siber Güvenlik Ajansı tarafından hazırlanan 84 sayfalık doküman, düzenlemenin kapsamını, temel kavramlarını, üretici sorumluluklarını ve yaklaşan bildirim kurallarını ayrıntılı şekilde ele alıyor. Şirketler doküman üzerinden ürünlerinin düzenleme kapsamına girip girmediğini değerlendirirken hangi güvenlik süreçlerini oluşturması gerektiği konusunda da daha net bir çerçeve elde ediyor.

ENISA ayrıca aktif olarak istismar edilen güvenlik açıkları ile ciddi güvenlik olaylarının bildirilmesi için Tek Bildirim Platformu’nu kullanıma sunuyor. Üreticilerin düzenleme kapsamındaki bildirimlerini merkezi bir sistem üzerinden gerçekleştirmesi planlanırken platform, Avrupa Birliği ülkelerindeki ilgili siber olay müdahale ekipleriyle ENISA arasındaki bilgi akışını destekleyecek. Üreticiler açısından merkezi bildirim yaklaşımı, aynı güvenlik olayının farklı ülkelerdeki makamlara ayrı ayrı iletilmesinden kaynaklanabilecek operasyonel yükü azaltacak.

Bildirim sürecindeki süreler de şirketlerin hazırlık planlarında önemli bir yer tutuyor. Üreticilerin aktif olarak istismar edilen bir güvenlik açığından haberdar olması hâlinde ilk bildirimi 24 saat içerisinde yapması gerekecek. Şirketlerin olay veya açık hakkında daha ayrıntılı bilgileri 72 saat içerisinde sunması beklenirken güvenlik açığının giderilmesinden sonra nihai bildirim süreci de işletilecek.

ENISA’nın yaklaşımı yalnızca büyük teknoloji üreticilerini kapsamıyor. Avrupa Birliği Siber Güvenlik Ajansı, özellikle küçük ve orta ölçekli işletmelerin düzenlemeye hazırlanırken yaşadığı kaynak ve uzmanlık sorunlarını da ele alıyor. KOBİ’lerin güvenli yazılım geliştirme, olaylara müdahale, ürün yaşam döngüsü ve güvenlik açığı takibi gibi alanlardaki mevcut durumlarını değerlendirmesi, 2027’de başlayacak kapsamlı yükümlülükler öncesinde önem kazanıyor.

Almanya Federal Bilgi Güvenliği Dairesi BSI, üreticilerin siber dayanıklılık süreçlerini değerlendirebilmesi için TR-03183 teknik rehberini yayınladı. BSI tarafından hazırlanan doküman, özellikle ürün geliştirme ile güvenlik açığı yönetimi süreçlerini henüz tam olarak yapılandırmamış üreticilere yönelik bir başlangıç kaynağı niteliği taşıyor.

BSI rehberi doğrudan bir yasal uygunluk belgesi olarak kullanılmıyor. Doküman, şirketlerin Siber Dayanıklılık Yasası kapsamındaki teknik gereklilikleri anlamasına yardımcı olurken tek başına ürünün düzenlemeye uygun olduğunu kanıtlamıyor. Avrupa Birliği tarafından hazırlanacak uyumlaştırılmış standartlar ortaya çıktıkça BSI’ın teknik yaklaşımının da söz konusu standartlarla birlikte değerlendirilmesi gerekecek.

Üreticilerin ürün güvenliğini yalnızca satış öncesindeki testlerle sınırlamaması gerekiyor. Siber Dayanıklılık Yasası, güvenlik açıklarının ürün yaşam döngüsü boyunca takip edilmesini, gerekli düzeltmelerin hazırlanmasını ve güvenlik süreçlerinin ürün destek döneminde devam ettirilmesini öngörüyor. Yazılım geliştiren şirketlerin üçüncü taraf kütüphaneleri, açık kaynak bileşenleri ve diğer yazılım bağımlılıklarını düzenli biçimde takip etmesi de bu yaklaşımın önemli parçalarından biri olacak.

Yazılım Malzeme Listesi olarak bilinen SBOM yaklaşımı, üreticilerin bileşen yönetiminde daha düzenli çalışmasına yardımcı olacak. Bir ürünün hangi açık kaynak paketleri, kütüphaneler veya üçüncü taraf yazılımları kullandığının kayıt altında tutulması, yeni bir güvenlik açığı ortaya çıktığında etkilenen ürünlerin daha hızlı belirlenmesini sağlayacak. Şirketler açısından SBOM yönetimi yalnızca mevzuat uyumu için değil yazılım tedarik zincirinin güvenliği için de önem kazanacak.

Türkiye’deki Teknoloji Şirketleri İçin İlk Tarih 11 Eylül Olacak

11 Eylül 2026 tarihi, Avrupa Birliği Siber Dayanıklılık Yasası açısından şirketlerin operasyonel hazırlıklarını tamamlaması gereken ilk kritik eşik olacak. Bu tarihten itibaren düzenleme kapsamındaki aktif olarak istismar edilen güvenlik açıkları ile ciddi güvenlik olayları için bildirim yükümlülükleri devreye girecek. Ürün güvenliğiyle ilgili daha geniş yükümlülüklerin tamamı ise 11 Aralık 2027’de uygulanmaya başlayacak.

Türkiye’de Avrupa Birliği pazarına yazılım veya bağlantılı donanım sunan şirketler açısından düzenleme doğrudan ticari sonuçlar doğurabilecek. Türk teknoloji üreticileri ürünlerinin kapsamını şimdiden inceleyerek güvenlik açığı yönetimi, olay müdahalesi, teknik dokümantasyon ve ürün destek süreçlerini Avrupa Birliği gereklilikleriyle karşılaştırmalı biçimde değerlendirebilir. Özellikle IoT cihazları, bağlantılı donanımlar, kurumsal yazılımlar ve dijital özellik taşıyan ürünler geliştiren şirketlerin kapsam değerlendirmesini geciktirmemesi gerekiyor.

Siber Dayanıklılık Yasası yalnızca bilgi güvenliği ekiplerinin yürüteceği bir çalışma olmayacak. Ürün geliştirme, yazılım mühendisliği, kalite güvence, hukuk, teknik destek ve yönetim ekiplerinin güvenlik açığının tespitinden müşteriye bildirim yapılmasına kadar uzanan süreci birlikte planlaması gerekecek. Bir açığın keşfedilmesiyle ilk resmi bildirimin yapılması arasında yalnızca 24 saat bulunması, şirketlerin sorumluluk zincirini önceden belirlemesini zorunlu hâle getiriyor.

Avrupa Birliği’nin yeni yaklaşımı, ürün güvenliğini geliştirme sürecinin son aşamasında yapılan bir kontrolden çıkarıp ürün yaşam döngüsünün tamamına yayıyor. ENISA’nın bildirim sistemi ile BSI’ın teknik rehberi, şirketlerin 2026 ve 2027 tarihlerine kadar güvenlik süreçlerini yeniden düzenlemesi için somut bir hazırlık zemini sunarken Türkiye’den Avrupa Birliği pazarına ürün gönderen üreticiler açısından da yeni bir uyum döneminin başladığını gösteriyor.