AB'deki stoklar ve CRA: 11 Aralık 2027 öncesi piyasaya arz edilen ürünler

2027 Aralık ayı yaklaştıkça birçok Türk üretici aynı endişeyi dile getiriyor: "AB'deki depomda bekleyen stok baştan mı uyumlu hale getirilecek?"

Çoğu durumda yanıt hayır. Siber Dayanıklılık Yasası'nda (CRA) geçiş hükümleri var. 11 Aralık 2027'den önce AB pazarına arz edilen ürünler, kural olarak yeni gereksinimlere tabi olmadan satışa devam edebiliyor.

Ancak bu rahatlığın iki koşulu var. Üstelik değerlendirme, ürün modeli bazında değil, her ürün için ayrı ayrı yapılıyor. Bu yazıda depo ve dağıtım stokunun nasıl sınıflandırılacağını, karar adımları ve örneklerle anlatıyoruz.

11 Aralık 2027: değişen ve değişmeyen

CRA'nın ana yükümlülükleri 11 Aralık 2027'den itibaren uygulanıyor. Bu tarihten sonra AB pazarına ilk kez arz edilen ürünler için güvenlik gereksinimlerine uyum, teknik dosya ve CE işareti tam olarak tamamlanmış olmalı.

Bu tarihten önce AB pazarına arz edilen ürünler için ise CRA geriye dönük bir uygulama getirmiyor. Zaten sevk edilmiş bir ürünü geri toplayıp yeniden üretme veya belgeleri sonradan tamamlama yükümlülüğü, kural olarak doğmuyor.

Değişmeyeni önce netleştirmek genel görünümü kolaylaştırıyor.

Karar birimi: model değil, tek ürün

Burada en sık yapılan yanlış anlama ortaya çıkıyor. Kesim tarihi ürün modeline veya parça numarasına değil, tek tek ürüne bağlanıyor.

Aynı model numarasına sahip iki ürün düşünün. Biri 2027 Kasım'ında AB'deki bir ithalatçıya teslim edilmiş. Diğeri 2028 Ocak'ında ilk kez AB'ye gönderiliyor. Birincisi geçiş hükmünün kapsamında, ikincisi tam uyum gerektiriyor. Tasarım ve bileşenler aynı olsa da muamele farklı.

Bu yüzden "bu model uyumlu mu" sorusu doğru soru değil. Doğru soru şu: "bu ürün ne zaman AB pazarına arz edildi?"

"Piyasaya arz" ile "satışa devam" farkı

Değerlendirmenin merkezinde iki kavram var.

Piyasaya arz, bir ürünün AB pazarında ilk kez ticari olarak dağıtıma girmesidir. Tipik örnek, AB'deki bir ithalatçıya veya distribütöre yapılan ilk tedariktir.

Satışa devam, zaten piyasaya arz edilmiş bir ürünün dağıtım ağı içinde bir sonraki aşamaya geçmesidir. Distribütörün deposundaki stok perakendeye ulaşır, oradan nihai müşteriye satılır. Bu hareket kaç kez tekrarlanırsa tekrarlansın yeni bir piyasaya arz sayılmıyor.

Yani 11 Aralık 2027'den önce AB dağıtım ağına tedarik edilmiş stok, kesim tarihini geçtikten sonra da tükeninceye kadar satışa devam edebiliyor. "Stok tüketme süresi" gibi bir sınırlama yok.

Dikkat: Deponun konumu tek başına belirleyici değil. Ürün AB sınırları içindeki bir depoda bulunsa bile, bu depo üreticinin kendi stoku ise ve henüz ticari bir tedarik gerçekleşmemişse piyasaya arz tamamlanmamış demektir. Tersine, ürün AB dışında olsa da bazı durumlarda değerlendirme değişmiyor. Belirleyici olan fiziksel konum değil, ilk ticari tedarikin ne zaman gerçekleştiğidir.

Depo ve dağıtım stoku için karar adımları

Elinizdeki stoku sınıflandırırken her ürün için şu sırayla kontrol edin.

flowchart TD
    A["Bu ürün AB pazarında\nilk ticari tedariki tamamladı mı?"] -->|"Evet, kesim tarihinden önce"| B["Geçiş hükmü kapsamında\nsatışa devam edilebilir"]
    A -->|"Evet, kesim tarihinden sonra"| C["Tam uyum gerekiyor"]
    A -->|"Hayır"| D["Piyasaya arz henüz\ntamamlanmadı\nKesim tarihinden sonra\ntedarik edilirse tam uyum gerekir"]
    B --> E{"Kesim tarihinden sonra\nönemli bir değişiklik\nyapıldı mı?"}
    E -->|"Hayır"| F["Kapsam dışı kalır\nBildirim ve bilgilendirme\nyükümlülüğü uygulanır"]
    E -->|"Evet"| G["Bu ürün yeniden\nkapsama girer"]

Durumları özetlersek:

İki istisna: bildirim yükümlülüğü ve saati geri alan değişiklik

Geçiş hükmünün iki istisnası var ve ikisinin de operasyonel etkisi büyük.

İstisna 1: Bildirim ve bilgilendirme yükümlülüğü mevcut ürünleri de kapsıyor. Aktif istismar edilen güvenlik açıkları ve ciddi olaylarda otoriteye bildirim ve etkilenen kullanıcıları bilgilendirme yükümlülüğü, 11 Eylül 2026'dan itibaren zaten piyasada bulunan ürünlere de uygulanıyor. Geçiş hükmü bu yükümlülüğü ortadan kaldırmıyor. Bildirim sürecinin nasıl kurulacağını ihracatçı rehberimizde ve bildirimin hangi CSIRT'e yapılacağını ayrı yazımızda ele alıyoruz.

İstisna 2: Esaslı değişiklik saati geri sarıyor. 11 Aralık 2027'den sonra güvenlik uyumunu etkileyen bir değişiklik veya amaçlanan kullanımı değiştiren bir değişiklik yapılan ürün, o tarihte yeni gereksinimlerin kapsamına yeniden giriyor.

Ancak her güncelleme bu kapsama girmiyor. Kullanım amacını değiştirmeden yalnızca riski azaltan olağan güvenlik yamaları esaslı değişiklik sayılmıyor. Buna karşılık yeni bir bağlantı özelliği eklemek, kimlik doğrulama yöntemini değiştirmek veya amaçlanan kullanımı genişletmek esaslı değişiklik olabiliyor. Bu değerlendirmenin makine ve endüstriyel ekipmanlarda nasıl yapıldığını Türk makine ve endüstriyel ekipman rehberimizde ayrıca ele alıyoruz.

Kanıt seti: lot, seri numarası, işlem kaydı, firmware

Geçiş hükmünün kendisi bir kayıt şartı içermiyor. Ancak piyasa gözetim otoritesi sorduğunda, "bu ürün kesim tarihinden önce piyasaya arz edildi" tespitini kayıtlarla gösterip gösterememeniz, sürecin yükünü büyük ölçüde değiştiriyor.

En az şu dört kaydı hazır tutun:

• Lot ve seri numarası kaydı: Hangi ürünün hangi sevkiyata dahil olduğunu belirleyebilmeniz gerekiyor
• İşlem belgeleri: AB'deki ithalatçıya veya distribütöre yapılan ilk tedariki gösteren sipariş formu, fatura ve teslim alma kaydı
• Sevkiyat ve firmware eşleştirmesi: Her lotun sevkiyat anında hangi yazılım sürümünü taşıdığı
• Değişiklik geçmişi: Kesim tarihinden sonra dağıtılan güncellemelerin içeriği ve bunların esaslı değişiklik sayılmama gerekçesi

Bu dört kayıt, aşağıdaki örnekte olduğu gibi "aynı modelin farklı ürünlerini" ayırt etmeniz gereken durumlarda otoriteye doğrudan sunabileceğiniz bir açıklama haline geliyor.

Örnek: aynı model iki wallbox

Türk bir EV şarj cihazı üreticisini örnek alarak karar adımlarının nasıl işlediğine bakalım. EV şarj cihazlarının CRA sınıflandırması ve bağlantı yüzeyleri hakkında daha fazla bilgi için Türk EV şarj ve akıllı enerji rehberimize bakabilirsiniz.

Üretici, "AC-7 Wallbox" modelini bir AB ithalatçısı ve birden fazla distribütör deposu üzerinden AB pazarına sürekli tedarik ediyor.

Birinci ürün 2027 Ekim'inde Rotterdam'daki ithalatçıya teslim edildi. İthalatçının deposundan geçerek 2028 yılında bir kurulum firmasına satıldı. Kurulum kesim tarihinden sonra gerçekleşse de piyasaya arz 2027 Ekim'inde tamamlanmış durumda. Bu ürün geçiş hükmünün kapsamında ve CRA'nın yeni gereksinimlerine tam uyum sağlaması gerekmiyor. Sadece güvenlik açığı bildirim ve bilgilendirme yükümlülüğü 11 Eylül 2026'dan itibaren zaten uygulanıyor.

İkinci ürün aynı model ve aynı yapılandırmayla 2028 Şubat'ında ilk kez AB'ye gönderiliyor. Bu ürün yeni bir piyasaya arz sayılıyor ve tam uyum gerekiyor. Güvenlik gereksinimlerine uyum, teknik dosya ve CE işareti tedarikten önce tamamlanmalı.

Ardından 2028 ortasında, birinci ürün de dahil olmak üzere sahadaki wallboxlara bir firmware güncellemesi dağıtılıyor. Bu güncelleme cihazlara yeni bir uzaktan yönetim arayüzü ekliyor. Bağlantı yüzeyini genişleten bu değişiklik, esaslı değişiklik sayılma ihtimali yüksek bir güncelleme. Esaslı değişiklik sayılırsa birinci ürün de o tarihte yeniden kapsama giriyor. Dağıtımdan önce değişikliğin değerlendirilmesi ve kayıt altına alınması gerekiyor.

Bu üç senaryoyu ayrı ayrı yönetebilmek, geçiş hükmünü güvenli şekilde kullanıp kullanamayacağınızı belirliyor.

İş ortaklarınıza nasıl açıklarsınız

Kesim tarihi geçtikten sonra AB ithalatçılarından ve dağıtıcılardan gelen sorular artar. Tipik soru şudur: "Bu stokta CRA belgeleri yok, satabilir miyiz?" Karşı taraf da yeni yükümlülüklere alışma sürecinde olduğu için, dayanağı hazır kısa bir yanıt verebilmek işi kolaylaştırır.

Uygulamada üç şey yeterlidir.

• Tek sayfalık açıklama notu: İlgili partinin kesim tarihinden önce piyasaya arz edildiğini, geçiş hükmünün kapsamında olduğunu ve bildirim ile bilgilendirme yükümlülüklerinin karşılandığını kısaca özetleyen belge
• Destekleyici kayıtlar: İlgili partinin ilk ticari tedarikini gösteren fatura veya teslim alındı kopyaları
• İletişim noktası: Ek soruları yanıtlayacak sorumlunun bilgileri

Yalnızca "bu stok için yeni belge gerekmiyor" demekle, dayanağıyla birlikte yanıt vermek arasında ticari ilişkinin sürekliliği açısından büyük fark vardır. Konu satış unvanına veya rol paylaşımının kendisine gelirse marka ve ihracatçı rol rehberindeki ayrım işinize yarar.

Şimdiden yapılacaklar

Kesim tarihine kadar şu beş adımı tamamlarsanız stok değerlendirmesi birkaç günde biten bir işe dönüşür.

1. AB'ye yönelik SKU listesi çıkarın: Halen AB'de satılan ürünlerle önümüzdeki yıl sevk edilecek ürünleri ayırın
2. Lot ve seri numaralarını ilk tedarik tarihiyle eşleştirin: Hangi ürünün ne zaman, kime yapılan tedarikle piyasaya çıktığını kayıtlardan belirleyin
3. Karar adımlarıyla sınıflandırın: Bu yazıdaki adımları izleyerek ürünleri kesim tarihi öncesi, sonrası ve henüz arz edilmemiş olarak üç gruba ayırın
4. Planlanan güncellemeleri gözden geçirin: 11 Aralık 2027 sonrasında dağıtılacak firmware güncellemelerini ve yeni işlevleri listeleyin, esaslı değişiklik oluşturma ihtimalini dağıtımdan önce değerlendirin
5. Değişiklik kapısı kurun: Bundan sonraki güncellemeleri, dağıtımdan önce kullanım amacına ve güvenlik uyumuna etkisi kontrol edilerek çıkacak şekilde düzenleyin

Bu beş adım tamamsa, iş ortaklarına açıklama da otorite soruları da mevcut kayıtları göstermekle çözülür.

CRA Evidence Danışmanlık Hizmeti

CRA Evidence, AB pazarına ürün tedarik eden Türk üreticiler için stok ve sevkiyat kayıtlarının taranmasından geçiş hükmü uygulama kararına, değişiklik yönetimi sürecinin kurulmasına kadar uçtan uca destek sağlıyor.

Ürün ailesi ve lot bazında "hangi ürünün hangi tarafta olduğunu" ayırıyor, otorite sorgusunda gösterebileceğiniz kayıt düzenine kavuşturuyoruz. Ücretsiz değerlendirme için başvurun ve kapsamdaki ürünlerinizi ve stok durumunuzu bizimle paylaşın. Ürününüzün CRA kapsamında olup olmadığını önce görmek isterseniz CRA uygulanabilirlik kontrolünü de kullanabilirsiniz.