Avrupa Birliği’nde dijital ürün üreten şirketler için yeni dönem 11 Eylül itibarıyla başladı.
Siber Dayanıklılık Yasası kapsamında, ürünlerinde aktif olarak istismar edilen güvenlik açığı veya ciddi siber olay tespit eden üreticiler artık çok daha sıkı bir bildirim takvimine uymak zorunda.
Yeni yükümlülük yalnızca AB merkezli şirketleri ilgilendirmiyor.
Türkiye’den Avrupa pazarına yazılım, akıllı cihaz, bağlantılı makine veya dijital bileşen satan üreticiler de ürünleri kapsam içindeyse kurallara tabi olabilecek.İlk bildirim için yalnızca 24 saat varYeni düzenlemeye göre üretici, ürünündeki aktif olarak istismar edilen bir güvenlik açığından ya da ürün güvenliğini ciddi biçimde etkileyen bir siber olaydan haberdar olduktan sonra 24 saat içinde ilk uyarıyı yapmak zorunda.
Bunun ardından 72 saat içinde olayla ilgili daha ayrıntılı bildirim gerekiyor.
Aktif olarak kullanılan bir güvenlik açığı için düzeltici veya hafifletici önlem hazırlandıktan sonra en geç 14 gün içinde nihai rapor verilmesi öngörülüyor.
Ciddi siber olaylarda ise 72 saatlik bildirimin ardından nihai rapor için bir aylık süre bulunuyor. Şirketler bildirimlerini Avrupa Birliği Siber Güvenlik Ajansı ENISA tarafından oluşturulan tek bildirim platformu üzerinden yapacak.
Hangi ürünler kapsama giriyor?
Düzenleme, AB pazarına sunulan ve başka bir cihaz ya da ağa doğrudan veya dolaylı biçimde bağlanabilen yazılım ve donanım ürünlerini kapsıyor.
Akıllı ev cihazlarından bağlantılı makineler ve güvenlik kameralarına, mobil uygulamalardan çeşitli yazılım ürünlerine kadar geniş bir ürün grubu bu tanımın içine girebiliyor.
Ayrı olarak piyasaya sunulan yazılım ve donanım bileşenleri de kapsamda değerlendirilebiliyor.
Bugün başlayan bildirim zorunluluğunun önemli bir başka yönü ise yalnızca 2027’den sonra piyasaya çıkacak ürünlere uygulanmaması.
AB pazarında daha önce satışa sunulmuş dijital ürünlerde ortaya çıkan aktif güvenlik açıkları ve ciddi olaylar da yeni bildirim hükümlerinin kapsamına girebiliyor.
Ceza 15 milyon euroya kadar çıkabilecekDüzenlemenin en dikkat çekici taraflarından biri yaptırım gücü.
Siber Dayanıklılık Yasası’nın üreticilere yönelik temel yükümlülükleri ile siber olay ve güvenlik açığı bildirim kurallarının ihlalinde azami idari para cezası 15 milyon euroya kadar ulaşabilecek.Şirketler açısından diğer ölçü ise bir önceki mali yıldaki dünya çapındaki toplam yıllık cironun yüzde 2,5’i.
Düzenleme, uygulanacak üst sınır açısından bu iki tutardan daha yüksek olanın dikkate alınabilmesine imkan veriyor.
Ancak cezanın her geç bildirime otomatik olarak 15 milyon euro şeklinde uygulanması söz konusu değil. Üye ülkeler yaptırım kurallarını belirlerken cezaların etkili, orantılı ve caydırıcı olmasını sağlamakla yükümlü.
Ayrıca mikro ve küçük işletmelere önemli bir istisna tanınıyor.
Bu işletmeler, yalnızca 24 saatlik ilk bildirim süresine uymamaları nedeniyle para cezasına tabi tutulamayacak.
Düzenlemenin diğer yükümlülükleri ise işletmenin durumuna ve ihlalin niteliğine göre ayrıca geçerliliğini koruyabilecek.
Türk şirketleri için neden önemli?
Türkiye’de üretim yapan ancak ürünlerini AB pazarında satan teknoloji şirketleri açısından şirket merkezinin Türkiye’de bulunması tek başına kapsam dışında kalmak anlamına gelmiyor.
Kendi adı veya markasıyla AB pazarına dijital unsur içeren bir ürün sunan üretici, ürünün niteliğine göre yeni bildirim kurallarıyla karşı karşıya kalabilecek.
Bu durum özellikle akıllı cihaz, makine, otomasyon sistemi, IoT ürünü, yazılım ve elektronik bileşen ihracatı yapan şirketler açısından önem taşıyor.
AB’deki ithalatçı ve dağıtıcıların da ürünlerin düzenlemeye uygunluğunu kontrol etmesine yönelik ayrı yükümlülükler bulunuyor.
Bu nedenle yeni kurallar, yalnızca üreticinin teknik ekibini değil, ihracat, distribütörlük ve tedarik zinciri ilişkilerini de etkileyebilir.
Asıl yükümlülükler 2027’de geliyorSiber Dayanıklılık Yasası tamamen bugün yürürlüğe girmiş değil.
Düzenlemenin ana siber güvenlik yükümlülüklerinin büyük bölümü 11 Aralık 2027’den itibaren uygulanacak.
Ancak güvenlik açıkları ve ciddi siber olaylara ilişkin bildirim zorunluluğu için daha erken bir takvim belirlendi.
Bu bölüm 11 Eylül 2026 itibarıyla uygulanmaya başladı.
Bu nedenle AB’ye dijital ürün satan şirketler açısından 2027’yi beklemek yeterli olmayacak.
Aktif olarak kullanılan bir güvenlik açığı ortaya çıktığında bugün itibarıyla 24 saatlik sayaç işlemeye başlayabilecek.
