Türk Makine, Otomasyon ve HMI İhracatçıları için CRA Rehberi

Türk makine ihracatçısı için asıl soru artık sadece makinenin güvenli çalışıp çalışmadığı değil. HMI paneli uzaktan bağlanıyor mu? PLC firmware'i sahada güncelleniyor mu? Servis ekibi VPN üzerinden makineye erişiyor mu? Bu soruların yanıtı evetse, CE teknik dosyasına siber güvenlik kanıtı eklemeniz gerekir.

AB'nin yeni Makine Yönetmeliği 20 Ocak 2027'de uygulanmaya başlıyor. CRA ise dijital unsur içeren ürünler için ayrı bir siber güvenlik katmanı getiriyor. Bağlı makinelerde bu iki rejim aynı dosyada buluşur, ancak birbirinin yerine geçmez.

Bu rehber, AB'ye bağlı makine, otomasyon hattı, HMI, kontrol panosu ve endüstriyel ekipman ihraç eden Türk üreticilerin nereden başlaması gerektiğini açıklar. CRA'nın CE işaretine eklediği genel katmanı daha önce Türk ihracatçılar için CE işareti rehberinde ele aldık; bu yazı makine ve endüstriyel ekipman tarafına odaklanır.

Bağlı makine ne zaman CRA kapsamına girer?

CRA, dijital unsur içeren ve doğrudan ya da dolaylı veri bağlantısı bulunan ürünleri kapsar. Makine internet üzerinden sürekli bağlı olmak zorunda değildir. Bluetooth, Ethernet, endüstriyel modem, USB ile firmware güncellemesi, yerel ağdaki HMI paneli veya servis VPN'i de bağlantı yüzeyi oluşturabilir.

Bu nedenle aşağıdaki ürün aileleri CRA açısından incelenmelidir:

Firmware içermeyen mekanik ekipman CRA'nın ana hedefi değildir. Ancak modern ihracat makinesinde kontrol yazılımı, sensör ağı, güvenlik PLC'si veya HMI bulunuyorsa, ürün ailesi en azından kapsam değerlendirmesine girmelidir.

Net ayrım: Makinenin elektriksel ve mekanik güvenliği CE dosyasında kalır. CRA, bu makinenin yazılım, bağlantı, güncelleme ve güvenlik açığı yönetimi tarafını dosyaya ekler.

CRA ve yeni Makine Yönetmeliği birlikte nasıl çalışır?

Makine Yönetmeliği, makinenin sağlık ve güvenlik gereklerini düzenler. Yeni metin, kontrol sistemlerinin bozulmaya karşı korunması ve güvenli çalışması konusunda siber güvenlik bağlantılı hükümler içerir. CRA ise aynı ürüne daha geniş bir ürün siber güvenliği çerçevesi getirir: SBOM, güvenlik açığı bildirimi, güvenli güncelleme, destek süresi ve teknik dosya kanıtı.

CRA metni, Makine Yönetmeliği kapsamındaki dijital ürünlerin her iki rejime de tabi olabileceğini kabul eder. Pratik sonuç şudur: aynı risk analizi iki dosyayı besleyebilir, ancak tek dosya iki yükümlülüğü otomatik kapatmaz.

Bu ayrım özellikle uzaktan bakım özelliği olan makinelerde önemlidir. Uzaktan servis hesabı yanlış yönetilirse makine tehlikeli bir hareket yapabilir. Aynı olay hem Makine Yönetmeliği açısından güvenlik riski, hem CRA açısından ürün siber güvenliği riski olabilir.

Elektronik ve akıllı cihaz ihracatçıları için benzer tedarik zinciri sorunlarını Türk elektronik ve akıllı cihaz rehberinde ayrı ele aldık. Makine tarafında fark, güvenlik fonksiyonunun çoğu zaman fiziksel hareketle ve iş güvenliğiyle doğrudan bağlantılı olmasıdır.

PLC, HMI ve uzaktan erişim ürün sınıfını otomatik yükseltir mi?

Hayır. CRA sınıflandırması ürün adıyla yapılmaz. Bir PLC veya HMI paneli yalnızca endüstriyel üründür diye otomatik olarak önemli ürün sayılmaz. Ek III listesinde yer alan işlevlere bakılır.

Pratik sınıflandırma mantığı:

Bu ayrım yanlış yapılırsa iki sonuç doğar. Gereksiz yere üçüncü taraf değerlendirme yoluna girebilirsiniz ya da gerçekten önemli bir ağ bileşenini genel ürün gibi ele alabilirsiniz. Karar gerekçesini teknik dosyada kısa ve açık tutmak gerekir.

Mevcut sınıflandırma mantığını daha genel görmek için CRA ürün sınıflandırma rehberini kullanabilirsiniz.

İhracat kanalı ve imalatçı rolü

Türk makine üreticisi için CRA rolü, makinenin AB'de hangi adla ve hangi kanal üzerinden piyasaya sunulduğuna bağlıdır. Aynı makine ailesi için üç farklı rol ortaya çıkabilir.

Bu ayrım yalnızca hukuk ekibinin konusu değildir. SBOM'u kim tutacak, ENISA bildirimi için ilk bilgiyi kim verecek, güvenlik yaması hangi depodan çıkacak, destek dönemi müşteriye kim tarafından duyurulacak? Bu sorular satış sözleşmesine ve servis sözleşmesine yazılmalıdır.

OEM senaryosunda Türk üretici çoğu zaman CRA imalatçısı değildir. Buna rağmen AB markası, kendi yükümlülüklerini yerine getirmek için Türk üreticiden şu bilgileri ister:

• firmware sürüm listesi ve SBOM çıktısı;
• güvenlik açığı bildirimi için teknik irtibat;
• kritik açıklık bulunduğunda kaç saat içinde ilk değerlendirme yapılacağı;
• sahadaki makinelerin hangi sürümde olduğunu gösteren izlenebilirlik kaydı;
• destek dönemi ve yedek parça bulunabilirliği.

Bu talepler "AB bizi denetliyor" anlamına gelmez. Daha pratik anlamı şudur: AB'deki imalatçı kendi teknik dosyasını tamamlamak için tedarik zincirinden kanıt toplar.

Teknik dosyaya hangi siber güvenlik kanıtları eklenmeli?

Makine üreticisinin teknik dosyası zaten ürün açıklaması, risk analizi, çizimler, test raporları ve AB Uygunluk Beyannamesi içerir. CRA bu dosyaya siber güvenlik eki ekler.

Bağlı makine için en az şu kanıtlar gerekir:

1. Siber risk değerlendirmesi. Makinenin bağlantı yüzeyleri, varlıkları, tehditleri ve makul kötüye kullanım senaryoları yazılır.
2. SBOM. HMI yazılımı, PLC runtime bileşenleri, Linux/RTOS katmanı, açık kaynak kütüphaneler, sürücüler ve tedarikçi firmware'i listelenir.
3. CVD politikası. Güvenlik açığı bildirim adresi, triage sorumluları ve yanıt süreci belirlenir.
4. Güvenli güncelleme kanıtı. İmzalı firmware, rollback planı, offline güncelleme yöntemi ve dağıtım kayıtları belgelenir.
5. Destek dönemi gerekçesi. Ürünün beklenen kullanım süresi, yedek parça stratejisi ve destek bitiş tarihi yazılır.
6. Saha sürüm envanteri. Hangi makinenin hangi firmware ve HMI sürümünü çalıştırdığı izlenebilir olmalıdır.

SBOM'un dayanağı, güvenlik açıklarının ve bileşenlerin belgelenmesini isteyen CRA Ek I Bölüm II'nin 1. noktasıdır. CVD politikası ve bildirim kanalı ise aynı bölümdeki güvenlik açığı yönetimi hükümleriyle birlikte değerlendirilir. Teknik dosya, bu sürecin nasıl yönetildiğini gösterir. SBOM'u yalnızca satış ekinin bir belgesi gibi görmek hata olur; ürün yaşam döngüsü boyunca güncellenmesi gerekir.

Tedarikçi firmware'i ve sözleşme boşlukları

Makine üreticisi çoğu zaman tüm yazılımı kendisi yazmaz. PLC runtime, HMI framework, endüstriyel modem firmware'i, güvenlik rölesi yazılımı, kamera sürücüsü veya uzaktan servis portalı üçüncü taraftan gelebilir.

CRA açısından bu durum sorumluluğu ortadan kaldırmaz. Ürünü AB pazarına sunan imalatçı, entegre ettiği bileşenlerin ürün siber güvenliğini zayıflatmaması için makul özen göstermek zorundadır. Bu yüzden tedarikçi sözleşmesi artık yalnızca teslimat ve garanti maddesiyle sınırlı kalamaz.

Makine üreticisinin tedarikçiden istemesi gereken asgari siber güvenlik maddeleri:

• ürün veya firmware sürümü bazında SBOM çıktısı;
• güvenlik açığı bildirimi için güvenlik irtibatı;
• kritik açıklık bildirimi için kısa iç SLA;
• destek bitiş tarihi ve yama politikasının yazılı beyanı;
• imzalı firmware ve rollback kısıtı hakkında teknik açıklama;
• açıklık düzeltildiğinde uygulanacak müşteri bilgilendirme akışı.

Bu maddeler yoksa teknik dosyada boşluk oluşur. AB müşterisi veya piyasa gözetim otoritesi ürünün güvenlik açığı yönetimini sorduğunda, "tedarikçimiz bilgi vermedi" savunması yeterli olmaz.

Uzaktan servis hesabı: en kritik saldırı yüzeyi

Birçok Türk makine üreticisi için uzaktan servis ticari olarak zorunlu. AB müşterisi arıza duruşu yaşadığında Türkiye'deki mühendis makineye bağlanır, log alır, parametre değiştirir veya firmware yükler. CRA açısından bu akış ürünün en yüksek riskli noktalarından biridir.

Uzaktan servis sürecinde şu kontroller yazılı olmalıdır:

• her müşteri için ayrı kimlik ve erişim yetkisi;
• çok faktörlü kimlik doğrulama;
• varsayılan şifre olmaması;
• geçici erişim penceresi ve müşteri onayı;
• servis oturum kayıtları;
• firmware yükleme için imza doğrulama;
• güvenlik fonksiyonlarını etkileyen parametrelerde değişiklik kaydı;
• eski firmware'e kontrolsüz dönüşün engellenmesi.

Makine Yönetmeliği tarafında bu konu güvenli çalışma ve kontrol sistemi güvenilirliğiyle ilgilidir. CRA tarafında ise yetkisiz erişim, bütünlük, açıklık yönetimi ve güvenli güncelleme kanıtıyla ilgilidir. Aynı mühendislik kontrolü iki dosyada da kullanılabilir; ancak her iki gerekçenin ayrı yazılması gerekir.

Destek süresi: beş yıl taban, daha uzun makine ömrü

CRA, destek döneminin ürünün beklenen kullanım süresini yansıtmasını ister ve beş yıllık taban koyar. Makine sektöründe bu basit bir madde değildir. Bir paketleme hattı, CNC tezgâhı veya gıda işleme makinesi AB müşterisinde 10 ila 20 yıl kalabilir.

Bu nedenle "beş yıl yeter" varsayımı her makine için savunulamaz. Ürünün bakım modeli, kontrolcü tedarikçisi, yedek parça bulunabilirliği ve müşteri beklentisi birlikte değerlendirilmelidir.

Pratik destek modeli:

Destek bitiş tarihini satış anında açık şekilde bildirmek gerekir. Makine satışı için bu bilgi teklif dosyasında, kullanım kılavuzunda ve ürün web sayfasında yer almalıdır.

Saha modifikasyonu ve imalatçı rolünün devri

AB müşterisi makineyi aldıktan sonra yeni bir uzaktan erişim modülü eklerse, HMI yazılımını değiştirirse veya güvenlik fonksiyonunu etkileyen firmware yüklerse ne olur? CRA açısından bu değişiklik önemli olabilir.

Orijinal imalatçı, ithalatçı veya dağıtıcı dışındaki bir kişi ya da şirket, üründe siber güvenlik uyumunu etkileyen önemli değişiklik yapıp değiştirilen ürünü AB pazarında kullanılabilir hale getirirse imalatçı yükümlülükleri o değişiklik için ona geçebilir. Bu kural özellikle sistem entegratörleri, retrofit firmaları ve uzaktan servis sözleşmeleri için önemlidir.

Türk üretici açısından üç belge faydalıdır:

• hangi değişikliklerin üretici onayı gerektirdiğini açıklayan servis politikası;
• firmware ve parametre değişiklikleri için imzalı değişiklik kaydı;
• AB müşterisinin yaptığı yetkisiz değişikliklerde sorumluluk sınırını belirleyen sözleşme maddesi.

Bu belgeler sorumluluğu ortadan kaldırmaz, ancak sahadaki karar hattını netleştirir.

ENISA bildirimi için saha envanteri hazırlığı

CRA'nın bildirim kısmı 11 Aralık 2027 tam uygulama tarihini beklemez. Madde 14, 11 Eylül 2026'dan itibaren uygulanır. Aktif olarak istismar edilen bir güvenlik açığı veya ürünün güvenliğini etkileyen ciddi olay öğrenildiğinde üreticinin ENISA ve koordinatör CSIRT hattına bildirim yapması gerekir.

Bu tarih eski ve yeni ürün ayrımını da karıştırır. Ürün uygunluğu, CE dosyası ve CRA teknik dosyası açısından 11 Aralık 2027 ana tarihtir. Buna karşılık bildirim yükümlülüğü, CRA kapsamındaki ve AB pazarında bulunan ürünler için daha erken başlar. Bu nedenle sahadaki makineleri hiç izlemeyen bir üretici, teknik dosyayı hazırlamış olsa bile ilk aktif istismar olayında zorlanır.

Temel operasyon akışı:

Makine üreticisi için zor kısım teknik analiz değil, envanterdir. Hangi müşteride hangi kontrolcü sürümü var? Hangi HMI imajı kullanılıyor? Uzaktan erişim hesabı hangi makinelerde açık? Bu bilgiler hazır değilse 24 saatlik bildirim süresi gerçekçi değildir.