Ağ bağlantısı, telsizi ya da uygulaması olan bir makine AB hukukunda genellikle iki şeydir: (AB) 2023/1230 sayılı Tüzük kapsamında makine ve (AB) 2024/2847 sayılı Siber Dayanıklılık Tüzüğü kapsamında dijital unsurlar içeren ürün. İkisi paralel uygulanır. Birini karşılamak, diğerini karşıladığınızı göstermez.
Tarihler yan yana
| Tarih | Ne uygulanıyor |
|---|---|
| 11 Eylül 2026 | Aktif olarak istismar edilen zafiyetler ve ciddi olaylar için CRA bildirim yükümlülükleri |
| 20 Ocak 2027 | Ek III 1.1.9 ve 1.2.1 dahil Makine Tüzüğü |
| 11 Aralık 2027 | CRA'nın tamamı. Aynı gün Telsiz Ekipmanları Direktifi kapsamında internete bağlı telsiz ekipmanlarına yönelik siber güvenlik gereksinimleri uygulanmaz hâle geliyor |
Yani bağlantılı bir makine, Makine Tüzüğü uygulanmaya başlamadan önce CRA bildirimleriyle, on bir ay sonra da CRA'nın tamamıyla karşılaşıyor.
Farklı amaçlar
Makine Tüzüğü insanları tehlikelere karşı korur. Siber güvenlik önlemleri, ürünün güvenliğini koruyan ölçüyle sınırlıdır (gerekçe 25). CRA ise ürünü, verilerini ve bağlandığı ağları korur: gizlilik, bütünlük, erişilebilirlik, zafiyet yönetimi ve destek süresi boyunca güvenlik güncellemeleri.
CRA'nın 53. gerekçesi ilişkiyi açıkça ortaya koyuyor: dijital unsurlar içeren ürün olan bir makine, iki temel gereksinim dizisini de karşılamalı. CRA'yı karşılamak 1.1.9 ve 1.2.1'i karşılamayı kolaylaştırabilir, ama örtüşmeyi üretici göstermeli ve iki uygunluk değerlendirme prosedürü de uygulanır. Makine tarafında 1.1.9 ve 1.2.1 için tek uygunluk varsayımı, (AB) 2019/881 sayılı Tüzük kapsamındaki bir siber güvenlik sertifikasyon şemasına göre verilmiş bir sertifika veya uygunluk beyanından, kapsadığı ölçüde gelir (Madde 20(9)).
Örtüştükleri yerler
İşin büyük kısmı ikisine birden hizmet eder: tehdit senaryolarını kapsayan bir risk değerlendirmesi, güvenli açılış ve imzalı güncellemeler, kimlik doğrulamalı arayüzler, küçültülmüş saldırı yüzeyi, bütünlüğün korunması. Belgeleriniz bunu söylüyorsa tek bir gereksinim, tek bir test ve tek bir kanıt iki tüzük için de sayılabilir.
Ayrıştıkları yerler
| Konu | CRA | Makine Tüzüğü | Savunulabilir bir tutum |
|---|---|---|---|
| Güncellemeler | Varsayılan olarak otomatik güncelleme, vazgeçme seçeneğiyle | Uzak cihazdan tehlike yok; güvenlik yazılımı değişiklikleri kaydedilir | Otomatik indirme, etkinleştirme yalnızca güvenli durumda ve operatör onayıyla |
| İzleme | Kullanıcı izlemeden vazgeçebilir | Müdahale kanıtı kullanıcıya bağlı olamaz | Kanıt kaydı için vazgeçme yok; diğer veriler için vazgeçme var |
| Silme | Kullanıcı verileri ve ayarları kaldırabilir | İzleme kaydı her yüklemeden sonra beş yıl tutulur | Kullanıcı eşleştirmeleri, ayarları ve istatistikleri siler; kanıt kaydı kalır |
| Erişilebilirlik | Temel işlevler erişilebilir kalır | Önce güvenlik | Bir güvenlik işlevi gerektiriyorsa güvenli durdurma önceliklidir |
Her gerilime bir kez, yazılı olarak karar verin ve ona dayanan her belgeyi bu karara yönlendirin.
Tek dosya, tek beyan
Birden fazla mevzuat teknik dosya istediğinde CRA tek bir dosyaya izin verir (CRA Madde 31(3)). Makine Tüzüğü, uygulanan tüm mevzuatı kapsayan tek bir AB uygunluk beyanı ister (Madde 21(3)). Tek bir risk değerlendirmesi, ikisine de hizmet eden bir siber güvenlik bölümü olan tek bir teknik dosya ve iki tüzüğü de anan tek bir beyan oluşturun.
İki yönde okunan bir harita
Pratik araç, iki yönlü bir haritadır: her CRA gereksinimini karşıladığı makine yükümlülükleriyle, her makine yükümlülüğünü de geri CRA'yla eşleştirin. Yalnızca tek yönde var olan bir bağlantı genellikle bir hatadır. Bir tarafta boş kalan satırlar sizin eksiklerinizdir.
Bu makale (AB) 2023/1230 ve (AB) 2024/2847 sayılı Tüzükleri sade bir dille açıklar. Hukuki danışmanlık değildir.