AB Siber Dayanıklılık Yasası: 24 Saatlik İletişim Planı

11 Eylül 2026’da hangi karar değişiyor?

11 Eylül 2026’dan itibaren AB Siber Dayanıklılık Yasası kapsamındaki üreticiler, aktif olarak istismar edilen güvenlik açıklarını ve dijital unsurlu ürünlerinin güvenliğini ağır biçimde etkileyen olayları belirli sürelerde bildirmek zorunda olacak. İlk eşik, şirketin olayı “çözmesi” değil, olaydan haberdar olmasıdır; bu nedenle ürün güvenliği ile iletişim ekiplerinin aynı zaman kaydını kullanması gerekir.

Avrupa Komisyonunun CRA bildirim yükümlülükleri açıklaması, erken uyarı için 24 saat, daha ayrıntılı bildirim için 72 saat öngörüyor. Aktif olarak istismar edilen açıkta düzeltici veya azaltıcı önlem hazır olduktan sonra en geç 14 gün içinde nihai rapor; ciddi olayda ise 72 saatlik bildirimden sonra en geç bir ay içinde nihai rapor isteniyor.

Bu takvim, her teknik bulgunun aynı gün kamuya açıklanacağı anlamına gelmez. Regülatöre giden güvenlik ayrıntıları, müşterinin riskini azaltmak için bilmesi gereken bilgi ve gazetecinin doğrulayabileceği kurumsal açıklama üç farklı çıktıdır. Aynı olay kaydından beslenirler; erişim yetkisi, ayrıntı düzeyi ve yayın zamanı aynı değildir.

İletişim liderinin ilk kararı “nasıl bir basın açıklaması yazalım?” değil, 24 saatlik sayacı başlatabilecek bilginin kim tarafından ve hangi kanıtla kayda geçirileceğidir. Şirketin PR, içerik ve ölçüm ekipleri için ortak hedef düzeni kurması nasıl çelişkili raporları azaltıyorsa, olay anındaki tek zaman çizelgesi de hukuk, güvenlik ve iletişim kararlarını aynı doğrulanmış olguya bağlar.

Hangi olaylar 24 saatlik erken uyarıyı başlatır?

24 saatlik erken uyarı, kapsam içindeki üründe aktif olarak istismar edildiğine dair güvenilir kanıt bulunan bir açık veya ürün güvenliğini ciddi etkileyen olay öğrenildiğinde gündeme gelir. Sıradan bir hata kaydı, henüz istismar kanıtı bulunmayan her zafiyet ya da yalnız itibar riski yaratan sosyal medya iddiası otomatik olarak aynı eşiği karşılamaz.

Regulation (EU) 2024/2847’nin resmî metni, üreticinin kapsamını, dijital unsurlu ürün kavramını ve Madde 14 bildirim düzenini tanımlar. Şirket yine de ürünün kapsamda olup olmadığını, olayın “aktif istismar” veya “ciddi etki” eşiğine ulaşıp ulaşmadığını ve hangi üye devlet bağlantısının bulunduğunu kendi hukuk ve güvenlik uzmanlarıyla değerlendirmelidir.

İlk değerlendirme kaydı aşağıdaki beş soruyu aynı anda yanıtlamalıdır:

• Ürün: Etkilenen yazılım, cihaz, bileşen, sürüm ve destek dönemi hangisi?
• Bilgi anı: Güvenilir bulgunun kuruma ulaştığı kesin tarih, saat ve saat dilimi nedir?
• Kanıt: Aktif istismarı veya ciddi etkiyi destekleyen kayıt, müşteri bildirimi ya da araştırmacı bulgusu nedir?
• Etki: Kullanılabilirlik, bütünlük, gizlilik veya özgünlük üzerinde doğrulanan sonuç nedir?
• Sorumluluk: Üretici, yetkili temsilci, açık kaynak yazılım sorumlusu veya üçüncü taraf bileşen sağlayıcısı hangi roldedir?

Üçüncü taraf bileşenden kaynaklanan açık, üreticinin kendi ürünündeki etkiyi inceleme görevini ortadan kaldırmaz. ENISA’nın güncel Single Reporting Platform soru ve cevapları, üçüncü taraf bileşenleri ayrı bir uygulama sorusu olarak işaretliyor ve hukuki yorum için Komisyon rehberine yönlendiriyor. İletişim metni, sorumluluk analizi tamamlanmadan tedarikçiyi suçlamamalıdır.

“Henüz bilmiyoruz” ifadesi, hangi sorunun açık olduğunu ve bir sonraki karar saatini gösteriyorsa yararlı olabilir. “Risk yok” veya “müşteri etkilenmedi” ise teknik kanıt gerektirir. doğrulanabilir kurumsal otorite yaklaşımı, iddianın tek kanalda yüksek sesle tekrarlanmasına değil, aynı olgunun birden fazla güvenilir temas noktasında tutarlı kalmasına dayanır.

24 saat, 72 saat ve nihai rapor nasıl ayrılır?

24 saatlik kayıt hızlı bir erken uyarı, 72 saatlik bildirim yapılandırılmış olay dosyası, nihai rapor ise düzeltme ve öğrenme kaydıdır. Üç teslim aynı metnin uzatılmış sürümleri değildir; bilgi olgunlaştıkça kanıt, etki ve alınan önlemler ayrı sürümlerde güncellenir.

İlk 24 saatte amaç, olayın varlığını, ürün bağlantısını, öğrenme zamanını ve bilinen coğrafi kapsamı gecikmeden kayda geçirmektir. Kök neden veya bütün etkilenen sürümler bilinmiyorsa eksik alanlar açıkça belirtilir. ENISA’nın CRA Single Reporting Platform kaynak merkezi, güncel kullanıcı kılavuzlarını, atanmış temsilci adımlarını ve bildirim alanları sözlüğünü tek yerde topluyor.

72 saatlik bildirimde genel ürün bilgisi, istismarın veya olayın niteliği, bilinen etki, uygulanan ya da planlanan azaltıcı önlem ve kullanıcıların atabileceği adımlar daha belirgin hâle gelir. Nihai rapor ise düzeltici önlemi, olayın çözümünü ve mümkün olan ölçüde kök neden analizini tamamlar. Her aşamada önceki kaydın kim tarafından, ne zaman ve hangi kanıtla değiştirildiği tutulmalıdır.

Şirketin zaman çizelgesi dört kontrol noktası içerebilir:

• 0–2 saat: Olay sahibini, öğrenme zamanını, etkilenen ürünü ve ilk kanıtı kaydet; hukuk ile güvenlik eşiğini değerlendir.
• 2–12 saat: Atanmış temsilci erişimini, EU Login hesabını, ilgili CSIRT seçimini ve SRP gönderim sorumluluğunu doğrula.
• 12–24 saat: Erken uyarı alanlarını tamamla, hassas bilgiyi sınıflandır, gönderim kanıtını ve bir sonraki teslim sahibini kaydet.
• 24–72 saat: Etkiyi, düzeltme planını, kullanıcı önlemini ve kamu mesajı ihtiyacını yeni bulgularla güncelle.

ENISA’nın 7 Eylül 2026 itibarıyla yayımladığı bilgiye göre platformun ilk sürümünde bildirim göndermek için API sunulmuyor; işlem arayüz üzerinden yapılacak. Kurum içindeki veri toplama ve hatırlatma otomatikleştirilebilir, fakat son gönderimin otomatik gerçekleşeceği varsayılmamalıdır. Masa başı tatbikatta yalnız form içeriği değil, yetkili kişinin gerçek erişimi de denenmelidir.

Regülatör bildirimi ile kamu açıklaması nasıl ayrılır?

Regülatör bildirimi mevzuatın istediği güvenlik kanıtını taşır; kamu açıklaması ise müşterinin, iş ortağının ve medyanın güvenli bir karar vermesine yarayan doğrulanmış bilgiyi sunar. İki metni tek dosya gibi yönetmek ya hassas teknik ayrıntıyı açığa çıkarır ya da resmî bildirimi aşırı genel bırakır.

Regülatör dosyasında ürün ve sürüm tanımı, açık veya olay sınıfı, zaman damgaları, teknik etki, alınan azaltıcı önlem, bilinen coğrafi kapsam ve gerektiğinde CVE ya da EUVD bilgisi bulunabilir. Kamu metninde ise etkilenen ürün, kullanıcının atacağı adım, mevcut düzeltme, destek kanalı ve bir sonraki güncelleme zamanı öne çıkar. Saldırı yöntemi, henüz kapatılmamış istismar yolu veya güvenlik ekibinin çalışma ayrıntıları kamu kanalına taşınmamalıdır.

Kamu açıklamasının gerekli olup olmadığı yalnız haber ilgisine göre belirlenemez. Kullanıcının parolasını değiştirmesi, bağlantıyı kesmesi, güncelleme kurması veya belirli bir sürümü kullanmayı bırakması gerekiyorsa açık ve erişilebilir yönlendirme gecikmemelidir. Açıklama yapılmıyorsa da kararın tarihi, gerekçesi, yeniden değerlendirme eşiği ve sahibi kayıt altında olmalıdır.

Mesajın beş sabit alanı bulunabilir:

• Ne doğrulandı ve hangi ürün ya da sürüm etkileniyor?
• Kullanıcının hemen yapması gereken güvenli eylem nedir?
• Şirket hangi düzeltmeyi veya azaltıcı önlemi sağladı?
• Hangi bilgi hâlâ araştırılıyor ve neden paylaşılmıyor?
• Bir sonraki güncelleme hangi tarih ve saatte yayımlanacak?

Türkiye merkezli bir şirketin AB’deki kullanıcı, distribütör ve medya çevresine aynı Türkçe metnin kelime kelime çevirisini göndermesi yeterli değildir. Ürün adı ve teknik gerçek sabit kalırken hukuk terimi, destek kanalı, saat dilimi ve kullanıcının beklediği açıklama pazara göre düzenlenir. uluslararası PR ve arama görünürlüğünü birlikte planlamak, düzeltme duyurusunun yalnız haber anında değil, sonraki ürün araştırmalarında da doğru kaynakla bulunmasını destekler.

Şirket 11 Eylül’den önce hangi sistemi kurmalı?

Şirket 11 Eylül 2026’dan önce kapsam haritası, yetkili temsilci erişimi, tek olay kaydı, iki ayrı mesaj şablonu ve prova edilmiş onay zinciri kurmalıdır. Belge klasörünün varlığı yeterli değildir; hafta sonu başlayan gerçek bir olayda insanların ve hesapların çalıştığı kanıtlanmalıdır.

Önce ürün envanterinde AB pazarına sunulan dijital unsurlu ürünleri, aktif sürümleri, destek tarihlerini ve üçüncü taraf bileşen sahiplerini eşleştirin. Ardından her ürün ailesi için ürün güvenliği sahibi, hukuk irtibatı, Primary ve Secondary Assigned Representative adayları, müşteri destek lideri ve yetkili sözcüyü kaydedin. Kişi adı kadar yedek kişi ve erişim yöntemi de önemlidir.

Hazırlık kapısı aşağıdaki dokuz çıktıyı aramalıdır:

• Kapsamı ve ürün rolünü açıklayan güncel karar notu.
• Kesin saat dilimiyle çalışan “haberdar olma” zaman damgası alanı.
• Aktif istismar ve ciddi olay için ayrı ilk değerlendirme soruları.
• EU Login ve SRP erişimi doğrulanmış atanmış temsilciler.
• 24 saat, 72 saat ve nihai rapor sahipleri ile yedekleri.
• Hassas regülatör dosyası için sınırlı erişim ve değişiklik günlüğü.
• Müşteri, iş ortağı, destek ve medya için modüler mesaj blokları.
• Güncelleme, güvenlik bülteni ve destek sayfaları için kalıcı URL düzeni.
• Gönderim makbuzu, kamu sürümü ve olay sonrası değerlendirmeyi saklayan arşiv.

Son prova, mesai dışı saatte hazırlanmış bir senaryoyla yapılmalıdır. Ekip iki saat içinde olay sahibini ve saati kaydedebiliyor, 12 saat içinde temsilci erişimini doğrulayabiliyor, 24 saat dolmadan taslak bildirimi gözden geçiriyor ve müşteriye gereken eylemi ayrı metinde sunabiliyorsa süreç çalışabilir. Prova bulguları tamamlanana kadar “hazırız” ifadesi kullanılmamalıdır.

Yayımlanan güvenlik bültenleri, düzeltme sayfaları ve sözcü açıklamaları daha sonra arama motorları ile yanıt sistemlerinin başvurduğu kurumsal kayıt hâline gelebilir. SEO’nun PR kayıtlarını erişilebilir tutma rolü, burada görünürlük vaadi değil, kullanıcıların doğru sürüm ve güncel önlemi bulabilmesi için bilgi mimarisi gereğidir. Eski duyurular güncel düzeltmeye bağlanmalı, tarih ve sürüm bilgisi korunmalı, sessiz içerik değişikliklerinden kaçınılmalıdır.

Bu rehber şirket özelinde hukuk görüşü değildir. Ürün kapsamı, bildirim eşiği, yetkili CSIRT, kişisel veri yükümlülükleri ve kamu açıklama zamanı ilgili AB ve ulusal kurallar çerçevesinde uzmanlarla doğrulanmalıdır. İletişim ekibinin görevi hukuki kararı vermek değil, kararın dayandığı doğrulanmış olguyu doğru alıcıya, doğru ayrıntıyla ve izlenebilir biçimde taşımaktır.

Sık Sorulan Sorular

Bu sorular, CRA bildirim takvimi ile ürün güvenliği iletişimindeki temel kararları özetler.