Avrupa Birliği’nde Dijital Ürünler için Yeni Dönem: Siber Dayanıklılık Yasası Yürürlüğe Girdi
11 Eylül itibarıyla Avrupa Birliği, dijital ürün üreten şirketler için önemli bir yeni düzenlemeyi gündemine aldı. Siber Dayanıklılık Yasası çerçevesinde, ürünlerinde ihmal edilemeyecek güvenlik açıklarına veya ciddi siber olaylara maruz kaldığını belgeleyen üreticilerin, bildirim sürelerine uymaları gerekecek.
Bu yeni yasadan sadece Avrupa Birliği merkezli şirketler değil, Türkiye’den Avrupa pazarına yazılım, akıllı cihaz, bağlantılı makineler veya dijital bileşen satan üreticiler de etkileniyor. Ürünleri bu kurallara tabi olabilir.
Hızlı Bildirim Zorunluluğu
Yasaya göre, üreticiler, ürünlerinde siber saldırı veya istismar edilen bir güvenlik açığı tespit ettiklerinde, bunu ilk 24 saat içerisinde bildirmek zorundalar. Devamında, olayla ilgili daha kapsamlı bir rapor için 72 saatlik bir süre tanınıyor. Aktif bir güvenlik açığına yönelik alınan düzeltici veya hafifletici önlemlerin ardından en geç 14 gün içinde nihai rapor sunulması bekleniyor. Ciddi siber olaylarda ise bu süre 72 saatlik bildirimin ardından bir aya çıkıyor. Tüm bildirimin, Avrupa Birliği Siber Güvenlik Ajansı (ENISA) tarafından oluşturulan tek bir platform üzerinden yapılması gerekiyor.
Hangi Ürünler Kapsam Altında?
Yeni düzenleme, AB pazarına sunulan ve diğer cihazlar veya ağlara doğrudan ya da dolaylı olarak bağlanabilen yazılım ve donanım ürünlerini kapsıyor. Akıllı ev cihazları, bağlantılı makineler, güvenlik kameraları ve mobil uygulamalar gibi geniş bir ürün yelpazesi bu düzenlemenin içinde yer alıyor. Ayrıca, daha önce piyasaya sürülen ürünler de bu kuralların bağlamında değerlendirilebilecek.
Önemli Ceza Müeyyideleri
Siber Dayanıklılık Yasası’nın dikkat çeken yönlerinden bir diğeri ise uygulayacağı cezalar. Üreticilere yönelik ihlallerde maksimum idari para cezası 15 milyon euroya kadar ulaşabiliyor. Ayrıca, şirketler için bir önceki mali yıllarındaki dünya çapındaki toplam yıllık cironun yüzde 2.5’i de göz önünde bulundurulabiliyor. Cezaların her geç bildirime otomatik şekilde 15 milyon euro olarak uygulanması söz konusu değil; üye ülkeler yaptırım kurallarını belirlerken bu cezalardaki etkili, orantılı ve caydırıcı olmanın sağlanması gerekmekte.
Mikro ve küçük işletmelere, ilk bildirim süresine uymadıkları için ceza verilmemesi gibi önemli bir istisna tanınmış durumda. Ancak diğer yükümlülükler, işletmenin durumu ve ihlalin niteliğine göre değişkenlik gösterebilir.
Türk Şirketleri için Önemi
Türkiye’de üretim yapan ve ürünlerini Avrupa pazarında sunan teknoloji şirketleri için Avrupa sınırları içinde bulunmak, düzenlemenin kapsamından muaf olmalarına sebep olmayabilir. Kendi markalarıyla dijital ürünler sunan üreticiler, yeni bildirim kurallarıyla karşı karşıya kalabiliyor. Bu durum, özellikle akıllı cihazlar, makineler, otomasyon sistemleri, IoT ürünleri, yazılım ve elektronik bileşen ihracatı yapan Türk şirketleri için kritik bir öneme sahip.
AB’deki ithalatçı ve dağıtıcılar, ürünlerin düzenlemeye uygunluğunu kontrol etme yükümlülükleri ile karşı karşıya kalacak. Bu durum, yeni kuralların yalnızca üreticilerin teknik ekiplerini değil, ihracat, distribütörlük ve tedarik zinciri ilişkilerini de etkileyebileceğini gösteriyor.
Ana Yükümlülükler 2027’de
Siber Dayanıklılık Yasası’nın tüm yüklümlülükleri bugün itibarıyla yürürlüğe girmemekte. Düzenlemenin ana siber güvenlik kuralları 11 Aralık 2027 tarihinden itibaren geçerli olacak. Ancak güvenlik açıkları ve siber olaylara dair bildirim zorunluluğunun başlangıcı 11 Eylül 2026’ya çekilmiş durumda. Bu da, AB pazarına dijital ürün satan şirketlerin, 2027’yi beklemeyecekleri, aktif bir siber tehdit durumunda 24 saatlik zorunluluklarını yerine getirmeleri gerekeceği anlamına geliyor.
