CRA açığını USOM'a mı bildireceksiniz? AB'de hangi CSIRT?

Türkiye'de bir açık tespit ettiğinizde ilk refleksiniz büyük olasılıkla USOM'a koşmak olur. Mantıklı görünür: USOM Türkiye'nin ulusal siber olay merkezidir. Ama CRA kapsamında bir AB ürün açığı için bu yanlış adrestir. USOM'un CRA bildiriminde rolü yoktur.

Doğru adres tek bir AB koordinatör CSIRT'idir ve oraya ENISA üzerinden bir kez bildirirsiniz. 27 ülkeye 27 ayrı bildirim yapmazsınız. AB'de yerleşik olmayan bir Türk imalatçı, doğru adresi AB yerleşiklik testi ve 4 basamaklı sıralamayla belirler. Aşağıdaki tablo, ENISA'nın 10 Eylül 2026 tarihli listesine göre 27 üye devletin koordinatör CSIRT'ini gösterir.

Tek kural: bir kez, tek bir koordinatör CSIRT'e

CRA bildirim mekanizması tek kanaldan işler. Aktif olarak istismar edilen bir açık tespit ettiğinizde tek bir yere bildirirsiniz: ENISA Tek Bildirim Platformu. Bu platform raporu aynı anda iki tarafa ulaştırır: tek bir koordinatör CSIRT ve ENISA.

Raporu alan koordinatör CSIRT, ürününüzün satıldığını bildirdiğiniz her AB üyesi ülkenin CSIRT'ine raporu kendisi iletir. Dağıtımı siz yapmazsınız. Almanya, Hollanda, İtalya ve İspanya'da satış yapıyorsanız bile dört kez bildirmezsiniz. Bir kez bildirir, gerisini koordinatör halleder.

Zamanlamayı hazır tutun: ilk fark ettiğinizde 24 saat içinde erken uyarı, 72 saat içinde bildirim, düzeltici önlem hazır olduktan sonra 14 gün içinde nihai rapor.

Önce AB yerleşiklik testi, sonra sıralama

Tek adresi belirlemeden önce bir yol ayrımı var ve çoğu üretici bunu atlar.

AB içinde, ürünlerinizin siber güvenlik kararlarının ağırlıklı olarak alındığı bir biriminiz varsa, bildirim adresiniz o üye devletin koordinatör CSIRT'idir. Bu durumda 4 basamaklı sıralama hiç çalışmaz. Bir AB şubeniz ürün güvenlik kararlarını veriyorsa, mesele orada biter.

Sıralama yalnızca AB'de ana yerleşiminiz yoksa devreye girer. Türkiye'de üretip AB'ye ihraç eden, AB'de karar veren bir birimi olmayan imalatçıların büyük bölümü bu ikinci durumdadır. CRA kapsamında kimin "imalatçı" sayıldığını netleştirmek için CE işareti ihracatçı rehberindeki senaryolara ve Türk ihracatçılar için CRA rol rehberine bakabilirsiniz.

AB'de yerleşik değilseniz: 4 basamaklı sıralama

Sıralama katı bir öncelik şelalesidir. İlk bir üye devlet veren basamakta durursunuz:

1. Yetkili temsilci. Ürünlerinizin en çoğunu üstlenen yetkili temsilcinin bulunduğu ülke.
2. İthalatçı. Yetkili temsilci yoksa, ürünlerinizin en çoğunu piyasaya süren ithalatçının ülkesi.
3. Dağıtıcı. İthalatçı yoksa, ürünlerinizin en çoğunu piyasada bulunduran dağıtıcının ülkesi.
4. Kullanıcı. Hiçbiri yoksa, ürünlerinizi en çok işleten kullanıcıların bulunduğu ülke.

Somut örnek: yetkili temsilciniz Almanya'da, en büyük ithalatçınız Hollanda'da. Bildirim adresiniz Almanya, yani BSI / CERT-Bund. Çünkü yetkili temsilci sıralamada ilk sırada gelir ve ithalatçı basamağına hiç inmezsiniz.

Bazı noktalar açık değil. Birden fazla yetkili temsilciniz varsa hangisinin esas alınacağı belirsizdir. Tek yetkili temsilci şartı olduğunu söyleyemeyiz. "En çok ürün" sayım esası da net değil: ürün adedi mi, SKU mu, ürün ailesi mi? "Kullanıcı" tanımı da açık değil. En çok ürününüzü işleten operatör olarak okuyun, uydurma bir yüzde kuralına güvenmeyin. Yetkili temsilci atamak ise CRA kapsamında zorunlu değildir, isteğe bağlıdır.

AB 27 ülkesi bildirim CSIRT tablosu

Aşağıdaki tablodaki her satır, ENISA'nın 10 Eylül 2026 tarihli koordinatör CSIRT listesiyle karşılaştırıldı. Bekleyen veya belirsiz bir satır kalmadı; son sütun yalnızca satırın o listede doğrulandığını gösterir. Listedeki iletişim adreslerini buraya kopyalamıyoruz, çünkü listeyi ENISA güncelliyor ve bildirim anında doğru kaynak ENISA'nın kendi sayfasıdır.

Toplam: 27 satırın 27'si ENISA'nın 10 Eylül 2026 tarihli listesinde doğrulandı.

Yanlış adrese düşmenin sekiz tuzağı

Birçok ülkede benzer isimli iki kuruluş vardır. Üretici yanlışlıkla diğer kuruluşa bildirim yapar. Bunlar en sık görülen sapmalar:

• İspanya: Koordinatör INCIBE'dir, CCN-CERT değil. ENISA listesi INCIBE için iki ayrı adres veriyor: biri olaylar, diğeri güvenlik açığı koordinasyonu için. Bunlar iletişim referansıdır, CRA bildiriminin gönderim yolu değil; bildirimi her durumda SRP üzerinden, koordinatör olarak INCIBE'yi seçerek yaparsınız.
• Çekya: Koordinatör GovCERT.CZ'dir, akademik CSIRT.CZ değil.
• Hırvatistan: Koordinatör CERT.hr'dir. Uzun süre NCSC-HR bekleniyordu, ENISA listesi CERT.hr'yi gösteriyor.
• Romanya: Koordinatör DNSC'dir, eski CERT-RO değil.
• Yunanistan: Koordinatör NCSA'nın sivil CSIRT'idir, askerî Hellenic CSIRT değil.
• Lüksemburg: Koordinatör CIRCL'dir, GOVCERT.LU değil.
• Danimarka: CSIRT, savunma istihbaratı (FE) bünyesindedir. ENISA listesi FE'nin kendi adresini gösteriyor, ayrı bir ulusal CVD portalını değil.

Adresi doğru bulmak yetmez: üç ayrıntı

Adres artık listeden okunuyor, ama şu üç ayrıntı bildirimin sonucunu değiştiriyor:

• Yanlış koordinatör seçimi: ENISA, bildirimin geçersiz sayılabileceğini ve doğru koordinatöre yeniden gönderilmesi gerekeceğini belirtiyor. Süre farkındalık anından işlediği için kaybedilen saatler sizin bütçenizden çıkar.
• Platformun sayacı: 72 saatlik sayaç, 24 saatlik erken uyarının gönderildiği andan 48 saat sonrasını gösteriyor. Aktif olarak istismar edilen bir açık için farkındalık zamanı alanında ENISA'nın iki güncel sayfası aynı şeyi söylemiyor: SRP Glossary (sürüm 1.3) bu alanın platformun bir sonraki sürümünde geleceğini yazıyor, SSS sayfasının alan tablosu (10 Eylül 2026) ise aynı alanı 24 saatlik erken uyarıda zorunlu olarak listeliyor. ENISA bunu netleştirene kadar kendi farkındalık zamanınızı kendi kayıtlarınızda tutun ve iki durumda da verebilecek durumda olun.
• Alan sözlüğü: Alanların asıl başvuru kaynağı SRP Glossary ve belge yalnızca İngilizce.

Doğrulanmamış bir AR, bir imalatçı için doğrulama zorunlu hâle gelmeden önce 20 bildirime kadar gönderebilir. 10 Eylül 2026 tarihli SSS sayfası, 9 Eylül 2026 tarihli AR Interface functions kılavuzu ve ekran görüntüleriyle adım adım ilerleyen 55 sayfalık AR User Manual (sürüm 1.1, ilk yayım 9 Eylül 2026) aynı sayıyı veriyor. Bu payı, doğrulama kuyruğu yavaş işlerse diye bir emniyet supabı olarak görün; planlayabileceğiniz bir alan değildir, doğrulamayı tamamlayın.

USOM ayrıdır, yetkili temsilci açık bildirim merkezi değildir

İki ayrı yanlış anlama, bu konuyu en çok karıştırandır.

Birincisi USOM. USOM'un CRA bildiriminde rolü yoktur. Türk iç mevzuatı USOM'a kendi ayrı bildirim yükümlülüğünüzü getirebilir. Bu paralel ve ek bir yükümlülüktür. CRA yükümlülüğünü ne karşılar ne de onun yerine geçer. İki kanalı ayrı yönetin.

İkincisi yetkili temsilci. "Yetkili temsilcinin ülkesine bildirin" demek, "raporu yetkili temsilciye gönderin" demek değildir. Tek platform vardır: ENISA SRP, bir yetkili temsilci platformu değil. Yetkili temsilci hukukî bir irtibat noktası ve belge saklayıcısıdır. AB Uygunluk Beyannamesi ve teknik dosyayı saklar, piyasa gözetim otoritelerine yanıt verir. Bir açık bildirim merkezi değildir.

Ve rapor olarak SBOM göndermezsiniz. 24 saatlik erken uyarıyı, 72 saatlik bildirimi ve 14 günlük nihai raporu (önemli siber olaylarda nihai rapor için bir ay) sunarsınız. SBOM teknik dosyanızda kalır.

EUVD (Avrupa Güvenlik Açığı Veritabanı) da bildirim kanalı değildir. EUVD, istismar durumu ve azaltım bilgilerini izlemek için kullanılan bir izleme ve önceliklendirme kaynağıdır. EUVD ID varsa SRP formunda referans olarak kullanılabilir; CRA bildirimi yine ENISA SRP üzerinden tek bir koordinatör CSIRT'e yapılır.

Liste yaşayan bir belgedir

ENISA'nın koordinatör CSIRT listesi 10 Eylül 2026 tarihini taşıyor ve listeyi ENISA güncelliyor. Listenin yayımlanmış olması, bir adresin bir daha hiç değişmeyeceği anlamına gelmiyor.

Yukarıdaki tabloyu bir hazırlık aracı olarak kullanın. Bildirim anında satırı ENISA'nın resmî listesinden teyit edin. Kuruluş adları ve iletişim adresleri o sayfada tutuluyor.

SRP durumu (11 Eylül 2026): Portal https://portal.cra-srp.enisa.europa.eu adresinde 11 Eylül 2026'da açıldı. Açılış sayfasında Assigned Representative rolünü seçip EU Login ile giriyorsunuz; bu rol, imalatçının atadığı yetkili temsilciden ayrı bir portal hesabı rolü. EU Login hesapları kişiseldir ve çok faktörlü doğrulamanın açık olması gerekiyor. Bir imalatçı için tek bir Primary AR ve buna ek olarak 20'ye kadar Secondary AR tanımlanabiliyor. Koordinatör CSIRT listesi yayımda. Alanların asıl başvuru kaynağı, yalnızca İngilizce sunulan SRP Glossary. Açılış sürümünde hazır API yok ve gönüllü bildirim kabul edilmiyor; açık kaynak yazılım yöneticileri (stewards) için bildirim 11 Aralık 2027'de başlıyor. ENISA, SSS ve AR kayıt kılavuzunu 10 Eylül 2026'da, arayüz ve bildirim kılavuzlarını 9 Eylül 2026'da güncelledi ve 9 Eylül 2026'da 55 sayfalık AR User Manual'ı (sürüm 1.1) yayımladı; hepsinin değişebileceğini belirtiyor. Bildirim öncesinde güncel durumu şu sayfalardan doğrulayın: ENISA SRP sayfası, koordinatör CSIRT listesi (10 Eylül 2026), SRP Glossary (sürüm 1.3), AR User Registration (10 Eylül 2026), AR Interface functions (9 Eylül 2026), AR Notification Submission and Update (9 Eylül 2026), AR User Manual (PDF, 55 sayfa, sürüm 1.1, 9 Eylül 2026), CRA SRP factsheet

Yanlış adrese gönderilen bildirim geç bildirim sayılabilir ve CRA cezaları en fazla 15 milyon avro veya küresel cironun %2,5'i düzeyine çıkar. Doğru adresi bildirim öncesinde teyit etmek, sonradan düzeltmekten ucuzdur.

Bildirim öncesi mini kontrol listesi

Bu üç işi şimdi, açık çıkmadan tamamlayın:

1. AB ekonomik operatör dağılımınızı çıkarın. Yetkili temsilci, ithalatçı ve dağıtıcılarınızı ülke bazında listeleyin. Neden ilk sırada: koordinatör adresiniz bu listeden çıkar ve açık çıktığında 24 saatiniz vardır, kim nerede diye o gün araştıramazsınız.
2. Kişisel EU Login hesabınızı ve çok faktörlü doğrulamayı hazır edin. Platform devreye girdi ve giriş EU Login ile yapılıyor; hesaplar kişisel, ortak şirket girişi yok. ENISA, SRP kaydının peşinen değil bildirim fiilen gerektiğinde yapılmasını istiyor. Neden önemli: kayıt o gün birkaç dakika sürer, ama giriş yapamadığınız bir hesap 24 saatlik pencereyi yakar.
3. Erken uyarı alanlarını hazır tutun. Ürün adı, satış yapılan üye devletler ve istismar durumunu önceden şablona dökün. Neden gerekli: 24 saatlik erken uyarı boş bir formla başlamaz. Satış yaptığınız ülkeleri bildirmeniz dağıtımı tetikler.

CRA Evidence Danışmanlık Hizmeti

CRA Evidence danışmanlık ekibi, AB'ye ihraç eden Türk imalatçıların bildirim adresini ve hazırlığını netleştirir. Devreye aldığımız işler:

• AB ekonomik operatör dağılımınızdan koordinatör CSIRT adresinizi belirleme
• 24 saat erken uyarı, 72 saat bildirim ve nihai rapor için bildirim prosedürü kurma
• Yetkili temsilci, ithalatçı ve dağıtıcı bilgi akışını bildirim takvimiyle hizalama
• Teknik dosya ve SBOM boşluklarını CRA gereksinimleriyle eşleştirme
• USOM ve CRA kanallarını ayrı tutan operasyonel ayrım

Kapsam ve önceliklendirmeyi dışarıdan kontrol ettirmek isterseniz ücretsiz değerlendirme için başvurun. Ürününüzün CRA kapsamında olup olmadığından emin değilseniz önce CRA uygulanabilirlik kontrolünü çalıştırın.

Bu içerik bilgilendirme amaçlı olup hukuki tavsiye niteliği taşımamaktadır. AB ürün mevzuatı kapsamındaki uyum yükümlülükleri için AB hukukuna hâkim bir hukuk danışmanına başvurmanızı öneririz.