AB CRA olay bildirimi 11 Eylül 2026'da başladı; uyum çalışması SBOM'un ötesinde başlıyor

Geçiş süresi olmayan bir bildirim saati

ROSH Company Labs'ın dev.to'da yayımladığı bir yazıya göre, AB Siber Dayanıklılık Yasası'nın (Cyber Resilience Act, Tüzük (AB) 2024/2847) bildirim yükümlülükleri 11 Eylül 2026'da yürürlüğe girdi. Yazılımı AB pazarına sunan herkes artık 14. Madde kapsamında: aktif olarak istismar edilen bir zafiyet ya da ciddi bir olay, tek bir bildirim platformu üzerinden ulusal bir CSIRT'ye ve ENISA'ya iletilmek zorunda. Yazının aktardığı takvim şöyle: 24 saat içinde erken uyarı, 72 saat içinde daha kapsamlı bir bildirim ve ardından nihai rapor. Yazar, bu yükümlülüklerin geçiş süresi olmadığını ve ürünün söz konusu tarihten önce yayımlanmış olup olmamasına bakılmaksızın geçerli olduğunu vurguluyor.

Rejimin geri kalanı — temel gereksinimler, SBOM, teknik dokümantasyon, AB Uygunluk Beyanı ve CE işareti — 11 Aralık 2027'den itibaren uygulanacak. Yazıya göre on dört ay nefes payı gibi görünse de, çoğu ekibin henüz başlamadığı bir iş için oldukça dar bir süre. Yine de ekiplerin içgüdüsel olarak ilk ele aldığı parça, SBOM, fiilen çoktan çözülmüş olan tek kısım.

SBOM üretimi metalaşmış bir adım

Ek I, Bölüm II(1), en azından üst düzey bağımlılıkları kapsayan, yaygın kullanılan bir formatta, makine tarafından okunabilir bir malzeme listesi istiyor ve tüzük tercih edilen bir format belirtmiyor. Yazının da işaret ettiği gibi npm sbom, cyclonedx-npm ve syft'ın her biri tek bir komutla bir CycloneDX ya da SPDX belgesi üretiyor. Dosyayı üretmenin bir maliyeti yok ve üreticiler pazarı şimdiden kalabalık.

Tüzüğün dosyadan gerçekte istediği şey

Yazının merkezindeki iddia şu: CRA yalnızca bir belge istemiyor — belgeyi işleme sokmanızı istiyor ve hazır araçların bittiği yer tam da burası. Sırasıyla okunduğunda Ek I, SBOM'u hiçbir üreticinin sizin yerinize yerine getiremeyeceği birkaç yükümlülüğe girdi haline getiriyor:

• Derinliğin gerekçelendirilmesi. "En azından üst düzey" bir taban; daha derin tarama, açıklayabilmeniz gereken risk temelli bir tercihtir.
• Sürümün bilinen istismar edilebilir zafiyet taşımadığı yönünde bir değerlendirme. Bir tarayıcı "bilinen zafiyet yok" diyebilir; istismar edilebilir ile edilemez ayrımı, bir insanın kaydettiği, tipik olarak bir VEX beyanı biçimindeki erişilebilirlik (reachability) kararısıdır.
• Eşgüdümlü açıklama (coordinated disclosure) politikası ve tek bir ilgili kişi içeren bir zafiyet yönetim süreci (Ek I Bölüm II, artı Ek II'nin iletişim bilgisi gereksinimi).
• Taslak bir AB Uygunluk Beyanı. "Varsayılan" bir ürün için bu, Modül A dahili öz değerlendirme anlamına gelir; ama yine de var olması ve karşılanan gereksinimlere atıfta bulunması gerekir.
• İhtiyaç doğmadan önce karara bağlanmış, işler durumda bir 14. Madde akışı: 24 saatlik erken uyarıyı kimin dolduracağı, 72 saatinde kimin bildireceği, nihai raporu kimin yazacağı.

Çevresindeki evrak için bir CLI

Analizin yanı sıra ROSH Company Labs, bir depoya karşı npx @roshcompanylabs/cra-kit şeklinde çalıştırılan, sıfır bağımlılıklı bir Node CLI olan cra-kit'i yayımladı. package.json ve lockfile'dan CycloneDX 1.6 SBOM'unun yanı sıra ücretsiz üreticilerin dışarıda bıraktığı kanıtları da üretiyor: derinlik gerekçesi, erişilemediğinde olumsuz sonuçlanan (fail closed) bir OSV zafiyet eşleştirmesi — erişilemeyen bir sorgu, sessizce "bulunamadı" dönmek yerine eksik olarak raporlanıyor — ilgili kişili bir CVD politikası ve 14. Madde adım listesi, taslak bir Uygunluk Beyanı ve bir Ek I hazırlık kontrol listesi. Araç şu an yalnızca npm lockfile'larını okuyor, taslakları kullanıcının doldurup sahiplenmesi gereken boşluklar içeriyor ve yazar, aracın belgeleri maddelere eşlediğini ama kimseyi uyumlu hale getirmediğini açıkça söylüyor. CVD şablonu hayali değil: yazıya göre yazar bu ay süreci kendi kütüphanesinde koşturmuş, gerçek bir bypass bulmuş, düzeltmeyi yayımlamış, danışma belgesini (advisory) yayınlamış ve CVE talep etmiş.

Bilinmeye değer sınırlar

Yazarın işaret ettiği iki uyarı. Birincisi, CRA için Resmî Gazete'de henüz uyumlaştırılmış bir standarda atıf yapılmış değil — EN 40000 serisi hâlâ geliştirilmekte — dolayısıyla şu anda kimse standart temelli bir uygunluk karinesinden söz edemez. İkincisi, SBOM herkese açık bir çıktı değil: teknik dokümantasyon içinde yer alıyor, saklanıyor ve talep hâlinde piyasa gözetim otoritelerine gösteriliyor. Yazı ayrıca bunun hukuki tavsiye olmadığını ve bağlayıcı metnin EUR-Lex'te yayımlanan tüzük olduğunu belirtiyor.

Neden önemli

1. Madde, AB pazarı için zafiyet açıklamayı topluluk normundan zamanlanmış bir düzenleyici sürece dönüştürüyor ve nerede olurlarsa olsunlar üreticilere ulaşıyor. Hazırlığı bir SBOM üreticisi çalıştırmakla eş gören ekipler, gerçek yükümlülüklerle — erişilebilirlik değerlendirmeleri, bir açıklama politikası, adı konmuş bir ilgili kişi, atanmış bir bildirim zinciri — en kötü anda karşılaşacak: yayında bir istismar varken ve 24 saat çoktan işlemeye başlamışken. Rejimin tamamı Aralık 2027'de geldiğinde, önemli olan hazırlık, hiçbir aracın basmadığı yarımdır.