Siber Dayanıklılık Tüzüğü'nün (AB) 2024/2847 geneli **11 Aralık 2027** tarihinde uygulanmaya başlayacak. Ancak tüzüğün kendi metni bir istisna koyuyor: **madde 14, 11 Eylül 2026 tarihinden itibaren** uygulanır.

Bu, AB pazarına dijital öğeli ürün sunan üreticiler için şu anlama gelir: Ek I gereklilikleri ve teknik dosya için hâlâ zaman varken, **bildirim yükümlülüğü bugün geçerlidir.**

Süreler

Aktif olarak sömürülen bir zafiyet için: farkına varıldıktan itibaren **24 saat** içinde erken uyarı, **72 saat** içinde bildirim, **14 gün** içinde nihai rapor. Ciddi bir güvenlik olayı için nihai rapor süresi ise tüzükte "bir ay" olarak geçer.

Bildirim, koordinatör olarak belirlenen CSIRT'e ve ENISA'ya yapılır.

Saat sıfırı ne zaman başlar?

Süre, üreticinin durumun **farkına varmasıyla** başlar. Bu yüzden asıl soru teknik değil, örgütseldir: "farkına varma" anı kim tarafından, nerede kayda geçiyor? Zafiyet bildirimleri hangi adrese düşüyor ve o adresi hafta sonu kim okuyor?

Prosedürü olmayan bir ekip, olay anında önce bu soruları tartışır. Saatler o sırada işlemeye devam eder.

Önceden yazılması gerekenler

Bildirim kararını kim verir, raporu kim yazar, teknik incelemeyi kim yapar ve bu kişilerin **yedekleri** kimdir. Tek kişiye bağlı bir prosedür tatilde ve mesai dışında çalışmaz; saatler ise tatil beklemez.

Zafiyetin alındığı iletişim noktası (koordineli zafiyet açıklama adresi) ve farkına varma zaman damgasının tutulduğu sistem de önceden belirlenmelidir.

Bildirim tek başına yetmez

Ek I Bölüm II, giderilen zafiyetin kamuya açıklanmasını, güvenlik güncellemesinin -teknik olarak mümkünse- işlev güncellemesinden **ayrı** dağıtılmasını ve en az üst düzey bağımlılıkları kapsayan, makineyle okunabilir bir yazılım malzeme listesinin (SBOM) tutulmasını ister. Bu bölümde toplam 8 süreç gerekliliği vardır.

Nechh Eco-Report'ta durum

CRA Üretici Hazırlık Kiti, madde 14 için bir bildirim prosedürü şablonu içerir: süreler tüzük metninden alınır, saat sıfırı, roller, yedekler ve olay kaydı alanları doldurulmak üzere bırakılır. Tüzükte yazmayan hiçbir süre şablona konmamıştır.

Kaynak: Tüzük (AB) 2024/2847 (Siber Dayanıklılık Tüzüğü), EUR-Lex; değişiklik: Tüzük (AB) 2025/327.

Yayın notu: Bu içerik genel bilgilendirme amaçlıdır; hukuki görüş, uygunluk değerlendirmesi veya şirkete özel uyum değerlendirmesi değildir. Nihai karar resmî metne ve gerektiğinde hukuki danışmanlığa dayanır.