AB'nin Cyber Resilience Act'i PLC Üreticisine Ne Yükümlülük Getirdi? Sahadan Bir Okuma

NIS2’yi biliyorsunuz: 2024’te yürürlüğe giren, işletmelere siber güvenlik yükümlülüğü getiren AB direktifi. Ben de NIS2’nin sahadaki karşılığını yazmıştım — “bütçenin %19’u güvenliğe gidiyor” demiştim.

Şimdi yeni bir şey var: Cyber Resilience Act (CRA). CRA, NIS2’den farklı: NIS2 işletmeye yükümlülük getirir; CRA ürünün kendisine. Yani CRA, “fabrika güvenli mi?” diye sormaz; “bu PLC, güvenlik açığı kapatılmış mı, firmware güncellemesi veriyor mu, açık kaynak bileşenleri listelenmiş mi?” diye sorar.

2026’da yürürlüğe giriyor. Ve PLC üreticileri için somut yükümlülükler getiriyor.

CRA’nın PLC üreticisine getirdiği 3 yükümlülük

1. Güvenlik açığı bildirimi: Üretici, bilinen bir güvenlik açığını, 24 saat içinde AB’ye bildirmek zorunda. Yani “açık var, 6 ay sonra yamayı çıkarırız” dönemi bitti. 24 saat.

2. Firmware güncelleme vaadi: Ürün, en az 5 yıl firmware güncellemesi almalı. Yani 2026’da satılan bir PLC, 2031’e kadar güvenlik yaması almalı. Bu, “ürün ömrü bitti, yama yok” döneminin sonu.

3. Açık kaynak bileşen listesi (SBOM): Üretici, ürünün içindeki tüm açık kaynak bileşenleri listelemeli. Yani “bu PLC’de hangi kütüphaneler var, sürümleri ne, bilinen açık var mı?” sorusunun cevabı, üreticinin yükümlülüğü.

Sahadaki mühendis için ne anlama geliyor

CRA, üreticiye yükümlülük getirir. Ama sahadaki mühendis, alıcıdır. Yani CRA’nın sahadaki karşılığı şu:

• Yeni PLC alırken: Üreticinin CRA uyumluluğunu sorun. “24 saat içinde açık bildirimi yapıyor musunuz?”, “5 yıl firmware güncellemesi veriyor musunuz?”, “SBOM’unuz var mı?”. Bu üç sorunun cevabı, teklif masasında alınmalı, saha testinde değil.

• Mevcut PLC’de: CRA, mevcut ürünü geriye dönük etkilemez. Ama mevcut PLC’nin firmware güncellemesi alıp almadığını sorun. “Son firmware ne zaman?” sorusunun cevabı, 2023 öncesi ise, risk var.

• Açık kaynak bileşen: Mevcut PLC’nin içindeki açık kaynak bileşenleri, üreticinin SBOM’undan öğrenin. SBOM yoksa, üretici CRA uyumlu değil demektir — ve bu, gelecekteki bir risk.

NIS2 ile CRA arasındaki fark

NIS2, “fabrika güvenli mi?” der. CRA, “PLC güvenli mi?” der. İkisi aynı anda çalışır:

• NIS2, fabrikanın siber güvenlik politikasını belirler: zone segmentasyonu, erişim kontrolü, loglama.
• CRA, fabrikanın kullandığı PLC’nin güvenliğini belirler: firmware güncellemesi, açık bildirimi, SBOM.

Yani NIS2, çerçeve; CRA, ürün. Çerçeve olmadan ürün güvenliği anlamsız; ürün güvenliği olmadan çerçeve boş. İkisi birlikte, fabrikanın siber güvenliğini oluşturur.

“Bunu üretici mi, ben mi çözerim?”

CRA’nın yükümlülüğü üreticide. Yani “PLC’nin firmware’sini güncellemek”, üreticinin işi. Ama “PLC’nin firmware’sini güncelleyip güncellemediğini kontrol etmek”, sahadaki mühendisin işi.

Yani CRA, mühendisin işini azaltmaz; değiştirir. Eskiden “PLC’yi kur, çalışsın” derdik. Şimdi “PLC’yi kur, çalışsın, ve firmware’si güncel mi, açık bildirimi yapılıyor mu, SBOM’u var mı?” diyoruz.

Bir sonraki PLC alımında, teklif masasında 3 soru: “24 saat içinde açık bildirimi yapıyor musunuz?”, “5 yıl firmware güncellemesi veriyor musunuz?”, “SBOM’unuz var mı?”. Üç sorunun cevabı, CRA uyumluluğunun özetidir. Ve üç soru, 5 dakika. O 5 dakika, 2031’de “yama yok” demenin önüne geçer.