Avrupa Birliği’nin dijital unsurlu ürünlere yönelik siber güvenlik gerekliliklerini düzenleyen Siber Dayanıklılık Yasası kapsamında, aktif olarak istismar edilen güvenlik açıkları ve ciddi siber güvenlik olaylarına ilişkin bildirim yükümlülükleri 11 Eylül 2026’da uygulanmaya başladı. Ana hükümleri 11 Aralık 2027’de uygulanacak düzenleme, kapsamına giren ağaç işleme makineleri açısından kontrol sistemlerinden yazılım güncellemelerine, teknik dokümantasyondan satış sonrası desteğe kadar birçok süreci ilgilendiriyor.

Avrupa Birliği, dijital unsurlu ürünlerin siber güvenliğini güçlendirmek amacıyla hazırladığı yeni düzenlemeleri aşamalı olarak uygulamaya alıyor. Avrupa Parlamentosu ve Konseyi tarafından 23 Ekim 2024 tarihinde kabul edilen (AB) 2024/2847 sayılı Siber Dayanıklılık Tüzüğü (Cyber Resilience Act – CRA), dijital unsurlu donanım ve yazılım ürünlerine yönelik siber güvenlik gerekliliklerini belirliyor.

20 Kasım 2024 tarihinde AB Resmî Gazetesi’nde yayımlanan ve 10 Aralık 2024 tarihinde yürürlüğe giren tüzük, yalnızca bilgisayarları ve yazılımları ilgilendirmiyor. Düzenlemenin 2. maddesi uyarınca, kullanım amacı veya makul şekilde öngörülebilir kullanımı başka bir cihaza ya da ağa doğrudan veya dolaylı veri bağlantısı içeren dijital unsurlu ürünler, tüzükte belirtilen istisnalar saklı kalmak kaydıyla kapsamda değerlendiriliyor. Bu çerçevede, dijital kontrol sistemleri, veri bağlantıları ve uzaktan servis özellikleri bulunan ağaç işleme makineleri de düzenlemenin etkileyebileceği ürünler arasında yer alıyor. CNC işleme merkezleri, panel ebatlama makineleri ve kenar bantlama hatları gibi üretim sistemlerinde CRA kapsamının, ürünlerin teknik özellikleri ve kullanım koşulları dikkate alınarak belirlenmesi gerekiyor.

Ağaç işleme makineleri hangi koşullarda kapsama giriyor?

CRA kapsamında belirleyici ölçütlerden biri, ürünün kullanım amacı veya makul şekilde öngörülebilir kullanımı kapsamında bir veri bağlantısına sahip olup olmadığı. Ethernet veya Wi-Fi üzerinden fabrika ağına bağlanan makineler ve uzaktan erişim yoluyla teknik servis hizmeti verilen üretim sistemleri, düzenleme açısından değerlendirilmesi gereken örnekler arasında bulunuyor.

Tüzük, yalnızca internet üzerinden gerçekleştirilen bağlantıları esas almıyor. Fiziksel veri bağlantıları ile başka cihazlar veya sistemler üzerinden kurulan dolaylı bağlantılar da kapsam değerlendirmesinde dikkate alınıyor. Bu nedenle USB, SD kart veya servis bağlantıları üzerinden veri aktarabilen kontrol sistemlerinin durumu da bağlantının niteliğine ve ürünün kullanım amacına göre incelenmeli. Buna karşılık, tüzüğün tanımladığı türde bir veri bağlantısı bulunmayan ürünler kapsam dışında kalabiliyor. Dolayısıyla bütün ağaç işleme makinelerinin otomatik olarak aynı CRA yükümlülüklerine tabi olduğu söylenemiyor.

Üreticilere hangi siber güvenlik yükümlülükleri getiriliyor?

CRA’nın 13. maddesi ile Ek I hükümleri, kapsamındaki ürünlerin siber güvenliğine yönelik temel gereklilikleri ve üreticilerin sorumluluklarını düzenliyor. Ana hükümler uygulanmaya başladığında üreticilerin, ürünlerine ilişkin siber güvenlik risk değerlendirmesi yapması ve bu değerlendirmenin sonuçlarını tasarım, geliştirme, üretim, teslimat ve bakım süreçlerinde dikkate alması gerekecek. Tüzük, ürünlerin risklerine uygun bir siber güvenlik düzeyinde tasarlanmasını ve üretilmesini, bilinen istismar edilebilir güvenlik açıkları bulunmadan piyasaya arz edilmesini ve risk değerlendirmesi doğrultusunda uygulanabilir güvenlik önlemlerinin alınmasını öngörüyor.

Ek I’de yer alan gereklilikler arasında güvenli varsayılan yapılandırmalar, yetkisiz erişime karşı koruma, veri ve komut bütünlüğünün korunması, saldırı yüzeyinin sınırlandırılması ve güvenlik güncellemelerinin güvenli şekilde sağlanması bulunuyor. Gerekliliklerin uygulanması, ilgili hükümlerin kapsamı ve ürünün siber güvenlik risk değerlendirmesi doğrultusunda belirleniyor.

Üreticilerin ayrıca teknik dokümantasyonu hazırlaması, ürünlerine uygulanabilir uygunluk değerlendirme prosedürlerini yerine getirmesi ve ilgili AB uygunluk beyanı ile CE işaretleme gerekliliklerini karşılaması gerekiyor. Uygunluk değerlendirme prosedürü, ürünün CRA kapsamında hangi kategoriye girdiğine göre değişebiliyor.

Yeni Makine Tüzüğü ile siber güvenlik gereklilikleri birlikte değerlendirilecek

Bir diğer düzenleme, genel uygulaması 20 Ocak 2027 tarihinde başlayacak olan (AB) 2023/1230 sayılı Makine Tüzüğü. Makine Tüzüğü, makinelerin sağlık ve güvenliğine ilişkin temel gereklilikleri belirlerken dijital sistemlerden kaynaklanabilecek güvenlik risklerini de ele alıyor. CRA ise dijital unsurlu ürünlerin siber güvenliğini daha geniş bir çerçevede düzenliyor.

CRA’nın 53. gerekçesinde, iki düzenleme arasındaki ilişkiye açıklık getiriliyor. Buna göre CRA’nın temel siber güvenlik gerekliliklerine uyum, Makine Tüzüğü’nün Ek III bölümündeki 1.1.9 ve 1.2.1 hükümlerinde yer alan ilgili gerekliliklerin karşılanmasına katkı sağlayabiliyor. Ancak bu ilişkinin üretici tarafından gösterilmesi ve her iki tüzüğün uygulanabilir uygunluk değerlendirme prosedürlerinin yerine getirilmesi gerekiyor.

Makineleri doğrudan ilgilendiren hükümler

Bozulmaya karşı koruma – Ek III, 1.1.9

Makine Tüzüğü’nün 1.1.9 bölümü, makineye başka bir cihazın bağlanmasının tehlikeli bir duruma yol açmamasını öngörüyor.

Bölüm, ilgili temel sağlık ve güvenlik gerekliliklerine uygunluk açısından kritik yazılımlara bağlantı veya erişim için kullanılan sinyal ya da veri ileten donanım bileşenlerinin kazara veya kasıtlı bozulmalara karşı uygun şekilde korunmasını gerektiriyor. Ayrıca bu bileşenlere yapılan meşru veya gayrimeşru müdahalelere ilişkin kanıtların toplanmasını düzenliyor.

Temel sağlık ve güvenlik gerekliliklerine uygunluk açısından kritik yazılımların ve verilerin belirlenmesi ve kazara veya kasıtlı bozulmalara karşı korunması da hüküm kapsamında bulunuyor. Makinenin güvenli çalışması için gerekli yazılımın tanımlanabilmesi ve bu bilginin her zaman kolay erişilebilir biçimde sunulabilmesi gerekiyor. Yazılıma veya yapılandırmasına yapılan değişiklikler ile müdahalelere ilişkin kanıtların toplanması da düzenlenen gereklilikler arasında yer alıyor.

Kontrol sistemlerinin güvenliği ve güvenilirliği – Ek III, 1.2.1

Makine Tüzüğü’nün 1.2.1 bölümü, kontrol sistemlerinin tehlikeli durumların ortaya çıkmasını önleyecek şekilde tasarlanmasını ve üretilmesini öngörüyor.

Bölümün 1.2.1(a) bendi, koşullara ve risklere uygun olarak kontrol sistemlerinin amaçlanan çalışma zorlanmalarına ve öngörülen ya da öngörülmeyen dış etkilere dayanıklı olmasını gerektiriyor. Tehlikeli bir duruma yol açabilecek, makul şekilde öngörülebilir kötü niyetli üçüncü taraf girişimleri de bu dış etkiler arasında sayılıyor.

Aynı bölümün 1.2.1(f) bendi ise makinenin piyasaya arz edilmesinden veya hizmete alınmasından sonra gerçekleşen müdahalelere ilişkin verilerin ve yüklenen güvenlik yazılımı sürümlerinin izleme kayıtlarına yönelik özel bir gereklilik içeriyor. Bu kayıtların, ilgili yazılımın yüklenmesinden itibaren beş yıl boyunca etkin tutulması ve yalnızca yetkili ulusal makamın gerekçeli talebi üzerine makinenin Ek III’e uygunluğunu göstermek amacıyla kullanılması öngörülüyor.

Ağaç işleme makinesi üreticileri teknik açıdan nelere dikkat etmeli?

Bu hükümler, dijital bağlantıların ve kontrol yazılımlarının makinelerin fiziksel güvenliği üzerindeki etkilerinin değerlendirilmesini önemli hale getiriyor.

Ağaç işleme makineleri açısından üreticilerin ürün özellikleri ve risk değerlendirmeleri doğrultusunda inceleyebileceği teknik konular arasında şunlar bulunuyor:

  • Kontrol yazılımlarının korunması: CNC kontrolörleri, insan-makine arayüzleri ve güvenlikle ilişkili yazılımlara yönelik yetkisiz müdahale risklerinin belirlenmesi.
  • Erişim yönetimi: Operatör, bakım personeli ve uzaktan servis kullanıcılarının erişim yetkilerinin değerlendirilmesi.
  • Veri ve komut bütünlüğü: Kesim programları, çalışma parametreleri ve güvenlikle ilgili yapılandırmaların yetkisiz değişikliklere karşı korunması.
  • Bağlantı güvenliği: Ağ, USB ve servis bağlantılarından kaynaklanabilecek risklerin belirlenmesi ve uygun koruma önlemlerinin değerlendirilmesi.
  • Yazılım güncellemeleri: Güncellemelerin güvenli biçimde gerçekleştirilmesi ve makinenin güvenli çalışması üzerindeki etkilerinin incelenmesi.
  • Kontrol sistemlerinin dayanıklılığı: Siber güvenlik olaylarının makine kontrolü ve güvenlikle ilgili işlevler üzerindeki olası etkilerinin değerlendirilmesi.

Bu başlıklar, mevzuattaki risk temelli gerekliliklerin ağaç işleme makinelerine yönelik teknik uygulama örneklerini oluşturuyor. Her önlemin bütün makine türlerinde aynı biçimde uygulanması gerektiği anlamına gelmiyor. Alınacak önlemler, ilgili mevzuat hükümleri ve ürünün özellikleri ile risk değerlendirmesi doğrultusunda belirlenmeli.

Güvenlik güncellemeleri ve destek süreleri nasıl düzenleniyor?

CRA’nın 13. maddesinin 8. fıkrası, üreticilerin ürünün beklenen kullanım süresini yansıtan bir destek süresi belirlemesini öngörüyor. Bu süre kural olarak en az beş yıl olarak belirleniyor. Ancak ürünün beklenen kullanım süresinin beş yıldan kısa olması halinde destek süresi bu kullanım süresine karşılık geliyor. Tüzüğün 60. gerekçesinde, endüstriyel kontrol sistemleri gibi endüstriyel ortamlarda kullanılan dijital unsurlu ürünlerin çoğu zaman daha uzun süreler boyunca kullanıldığına dikkat çekiliyor.

CRA’nın 13. maddesinin 9. fıkrasına göre, destek süresi boyunca kullanıcıların erişimine sunulan güvenlik güncellemelerinin yayımlandıkları tarihten itibaren en az 10 yıl veya destek süresinin kalan kısmı boyunca, hangisi daha uzunsa, erişilebilir tutulması gerekiyor.

Ek I, Kısım II’nin 8. bendi ise belirlenen güvenlik sorunlarını gidermeye yönelik güncellemelerin gecikmeden dağıtılmasını ve ilgili bilgilendirmelerle birlikte ücretsiz sunulmasını öngörüyor. Bunun istisnası, belirli bir ticari kullanıcı için özel olarak hazırlanmış dijital unsurlu ürünlerde üretici ile ticari kullanıcı arasında farklı koşulların kararlaştırılmış olması. Düzenleme ayrıca güvenlik açıklarının belirlenmesi, belgelenmesi ve giderilmesine yönelik süreçlerin oluşturulmasını gerektiriyor. Ek I’in ikinci bölümünde, yazılım bileşenlerinin ve en azından üst düzey bağımlılıklarının belirlenmesini sağlayan yazılım malzeme listesi (Software Bill of Materials – SBOM) hazırlanmasına ilişkin gereklilik de bulunuyor.

Siber güvenlik bildirim yükümlülükleri 11 Eylül 2026’da başladı

CRA’nın 14. maddesinde düzenlenen bildirim yükümlülükleri, 11 Eylül 2026 tarihinde uygulanmaya başladı. Bu hükümler, üreticilerin dijital unsurlu ürünlerde aktif olarak istismar edilen güvenlik açıklarını ve ürünün güvenliğini etkileyen ciddi olayları bildirmesini gerektiriyor. Üreticilerin bildirim gerektiren durumdan haberdar olmalarının ardından gecikmeksizin ve en geç 24 saat içinde erken uyarı, en geç 72 saat içinde ise daha ayrıntılı bildirim yapması gerekiyor. Aktif olarak istismar edilen güvenlik açıklarında nihai raporun, düzeltici veya hafifletici önlemin mevcut hale gelmesinden itibaren en geç 14 gün içinde sunulması öngörülüyor. Ürünün güvenliğini etkileyen ciddi olaylarda ise nihai rapor, 72 saatlik bildirimin sunulmasını takip eden en geç bir ay içinde iletiliyor. Bildirimler, Avrupa Birliği Siber Güvenlik Ajansı ENISA tarafından oluşturulan CRA Tek Raporlama Platformu üzerinden gerçekleştiriliyor. Bildirimler, tüzüğün 14. maddesinde belirlenen yetki kurallarına göre ilgili koordinatör siber güvenlik olaylarına müdahale ekibine (CSIRT) yönlendiriliyor. Bilgiler, tüzükte öngörülen usuller ve istisnalar çerçevesinde ENISA ile ilgili diğer üye devletlerin CSIRT’leriyle paylaşılıyor.

Önemli bir diğer nokta, bildirim yükümlülüklerinin yalnızca 2027 sonrasında piyasaya arz edilecek ürünlerle sınırlı olmaması. CRA’nın 69. maddesinin 3. fıkrası uyarınca, söz konusu yükümlülükler 11 Aralık 2027’den önce AB pazarına arz edilmiş kapsamdaki dijital unsurlu ürünler için de geçerli.

Mevcut makinelerde modernizasyon ve önemli değişiklik konusu

CRA’nın 69. maddesinin 2. fıkrasına göre, 11 Aralık 2027’den önce piyasaya arz edilmiş dijital unsurlu ürünler, bu tarihten itibaren önemli değişikliğe uğramadıkları sürece tüzüğün ana ürün uygunluğu hükümlerine genel olarak tabi tutulmuyor. Bununla birlikte, 14. maddede düzenlenen bildirim yükümlülükleri söz konusu geçiş kuralının dışında bulunuyor.

CRA’nın 3. maddesinde tanımlanan önemli değişiklik kavramı, ürün piyasaya arz edildikten sonra yapılan ve ürünün Ek I, Kısım I’deki temel siber güvenlik gerekliliklerine uygunluğunu etkileyen veya ürünün değerlendirilmiş kullanım amacını değiştiren müdahalelerle ilişkilendiriliyor. Bu nedenle mevcut makinelere yeni kontrolör, bağlantı modülü veya uzaktan erişim sistemi eklenmesi gibi modernizasyon işlemlerinin, gerçekleştirilen değişikliğin niteliği ve ilgili siber güvenlik gereklilikleri bakımından değerlendirilmesi gerekiyor.

Tüzüğün 22. maddesi, dijital unsurlu bir üründe önemli değişiklik gerçekleştiren gerçek veya tüzel kişilere üretici yükümlülüklerinin hangi koşullarda uygulanacağını düzenliyor. Her bakım, onarım veya yazılım güncellemesi ise kendiliğinden önemli değişiklik anlamına gelmiyor.

Tedarik edilen yazılım ve bileşenler de önem taşıyor

Ağaç işleme makinelerinde kullanılan kontrolörler, insan-makine arayüzleri, ağ ekipmanları, işletim sistemleri ve diğer yazılım bileşenleri, ürünün siber güvenlik değerlendirmesinde önem taşıyor. CRA’nın 13. maddesinin 5. fıkrası, üreticilerin üçüncü taraflardan temin ettikleri bileşenleri ürünlerine entegre ederken bunların ürünün siber güvenliğini tehlikeye atmaması için gerekli özeni göstermesini öngörüyor. Bu kapsamda, ürünlere entegre edilen bileşenlerin güvenlik açıklarının, güncelleme imkânlarının ve destek sürelerinin değerlendirilmesi önem taşıyor. Tedarikçilerden alınan teknik bilgilerin ve güvenlik güncelleme süreçlerinin izlenmesi de üreticilerin uyum hazırlıkları kapsamında ele alınabilecek konular arasında bulunuyor.

Avrupa Komisyonu uygulama rehberini yayımladı

Avrupa Komisyonu, 27 Temmuz 2026 tarihinde Siber Dayanıklılık Tüzüğü’nün uygulanmasına ilişkin rehber yayımladı. Rehberde ürün kapsamı, önemli değişiklikler, destek süreleri, risk değerlendirmeleri ve bildirim yükümlülüklerine ilişkin açıklamalar bulunuyor. Mikro, küçük ve orta ölçekli işletmelerin uygulamada karşılaşabileceği durumlara yönelik örneklere de yer veriliyor.Avrupa Komisyonu, rehberin hukuken bağlayıcı olmadığını belirtiyor. Bu nedenle üreticilerin ilgili tüzük hükümlerini esas alması, rehberi ise uygulamaya yönelik açıklayıcı bir kaynak olarak değerlendirmesi gerekiyor.

Üreticiler için yeni uyum takvimi

Ağaç işleme makine üreticilerini ilgilendiren düzenlemeler açısından iki önemli tarih öne çıkıyor. Yeni Makine Tüzüğü’nün genel uygulaması 20 Ocak 2027’de başlayacak. Siber Dayanıklılık Tüzüğü’nün ana yükümlülükleri ise 11 Aralık 2027 tarihinde uygulanacak. Bununla birlikte, CRA kapsamında aktif olarak istismar edilen güvenlik açıkları ve ürün güvenliğini etkileyen ciddi olaylara ilişkin bildirim yükümlülükleri 11 Eylül 2026’dan bu yana geçerli. Bu takvim, AB pazarına makine sunan üreticilerin ürünlerinin düzenleme kapsamını, kontrol sistemlerinin güvenliğini, yazılım bileşenlerini, risk değerlendirmelerini, teknik dokümantasyonlarını ve bildirim süreçlerini ilgili mevzuat hükümleri çerçevesinde gözden geçirmesini önemli hale getiriyor. CRA, kapsamındaki dijital unsurlu ürünler açısından siber güvenliği ürün tasarımı, uygunluk değerlendirmesi ve satış sonrası destek süreçleriyle ilişkilendiriyor. Ağaç işleme makine üreticileri için yeni dönemde temel konu, her ürünün teknik özelliklerini ve kullanım koşullarını esas alarak uygulanabilir mevzuat gerekliliklerine uygunluğunu değerlendirmek olacak.