Bugün, 11 Eylül 2026, Avrupa Birliği’nin Cyber Resilience Act (CRA) düzenlemesi açısından önemli bir eşik. Çünkü düzenlemenin tamamı 11 Aralık 2027’de uygulanmaya başlayacak olsa da, üreticilerin aktif olarak istismar edilen güvenlik açıklarını ve ciddi güvenlik olaylarını bildirmesine ilişkin Article 14 hükümleri bugün itibarıyla uygulanmaya başlıyor. CRA böylece kademeli geçiş döneminden fiilî yükümlülük dönemine geçmiş oluyor.
CRA, internete bağlanan veya dijital bileşen içeren ürünlerin daha güvenli tasarlanmasını ve güvenliklerinin ürünün yaşam döngüsü boyunca korunmasını amaçlıyor. Düzenleme, yalnızca bir güvenlik açığı ortaya çıktığında müdahale edilmesini değil; ürünlerin baştan itibaren güvenli geliştirilmesini, açıkların izlenmesini, güvenlik güncellemelerinin sağlanmasını ve yetkisiz erişime karşı korunmasını zorunlu hale getiriyor. Article 14 kapsamında üreticinin farkına vardığı aktif olarak istismar edilen bir güvenlik açığı için ilk bildirimi en geç 24 saat, daha ayrıntılı bildirimi ise en geç 72 saat içinde yapması gerekiyor.
Bu çerçevede PAM (Privileged Access Management – Ayrıcalıklı Erişim Yönetimi) özel bir önem taşıyor. PAM; administrator, root, sistem yöneticisi ve benzeri yüksek yetkili hesapların kim tarafından, ne zaman ve hangi koşullarda kullanılabileceğini kontrol ediyor. CRA da saldırganların görece daha düşük kritik kabul edilen bir yazılım veya donanım üzerinden sisteme sızarak “privileged access” elde edebileceğini ve buradan diğer sistemlere “lateral movement” gerçekleştirebileceğini açıkça vurguluyor.
Üstelik artık ayrıcalıklı erişim konusu yalnızca insan kullanıcılarla sınırlı değil. Kurumlar hızla AI agent’ları devreye alıyor; bu agent’lar uygulamalara bağlanabiliyor, veri okuyabiliyor, işlem gerçekleştirebiliyor ve kendilerine verilen yetkiler çerçevesinde insan müdahalesi olmadan hareket edebiliyor. 2026 Identity Security Landscape araştırmasına göre kuruluşlarda her bir insan kimliğine karşı ortalama 109 makine kimliği bulunuyor; AI agent’lar bu grubun en hızlı büyüyen bölümünü oluşturuyor ve kuruluşlar AI agent sayısında önümüzdeki 12 ay için %85 artış bekliyor. Bu nedenle geleceğin erişim güvenliği problemi yalnızca “hangi kişi hangi sisteme erişebilir?” sorusu değil; giderek daha fazla “hangi AI agent hangi sisteme, hangi yetkiyle, ne kadar süreyle ve kimin adına erişebilir?” sorusu haline geliyor.
Bu gelişme PAM’in önemini daha da artırıyor. Bir AI agent’a API anahtarı, servis hesabı, veritabanı erişimi veya yönetim yetkisi verildiğinde o agent fiilen bir “non-human identity” haline geliyor. Dolayısıyla least privilege, yetkinin süreyle sınırlandırılması, kimlik bilgilerinin güvenli saklanması, erişimlerin kaydedilmesi ve gerektiğinde yetkinin anında kaldırılması yalnızca insanlar için değil AI agent’lar için de uygulanmak zorunda. PwC’nin 2026 değerlendirmesi de her AI agent’ın doğrulanmış bir kimliğe, tanımlanmış role, göreve özgü yetkilere ve denetlenebilir faaliyet kayıtlarına sahip olması gerektiğine dikkat çekiyor.
CRA’nın yaklaşımı da bu nedenle dikkat çekici. Düzenleme PAM’i yalnızca yararlı bir güvenlik uygulaması olarak görmüyor. Annex III’te “identity management systems and privileged access management software and hardware” doğrudan “Important Product with Digital Elements – Class I” kapsamında sayılıyor. Başka bir ifadeyle PAM, CRA’nın özellikle önem atfettiği ve daha yüksek güvenlik ve uygunluk beklentisine tabi tuttuğu bir ürün sınıfı.
Türkiye açısından burada ayrıca dikkat çekici bir teknoloji şirketi bulunuyor: Kron Teknoloji. Türkiye’de geliştirilen Kron PAM, ayrıcalıklı erişim yönetimi alanında uluslararası pazara sunulan yerli bir siber güvenlik ürünü. Kron’un 2025 faaliyet raporuna göre şirket 6 kıtada 35 ülkede faaliyet gösteriyor, 400’ün üzerinde müşteriye ulaşıyor ve Ar-Ge çalışmalarını Türkiye’deki üç Ar-Ge merkezinde yürütüyor. Kron PAM ayrıca Gartner, Forrester ve KuppingerCole gibi uluslararası araştırma kuruluşlarının değerlendirmelerinde yer almış durumda. Şirketin kendi verilerine göre Kron, PAM alanında KuppingerCole tarafından küresel ölçekte önde gelen üreticiler arasında gösterilen tek Türk şirketi konumunda. Bu yönüyle CRA’nın özel olarak “önemli ürün” olarak tanımladığı bir teknolojinin Türkiye’de geliştirilip uluslararası pazarlara satılıyor olması ayrıca önemli.
CRA’nın takvimi de dönüşümün kademeli olduğunu gösteriyor: düzenleme 20 Kasım 2024’te yayımlandı ve 20 gün sonra yürürlüğe girdi; uygunluk değerlendirme kuruluşlarına ilişkin Chapter IV hükümleri 11 Haziran 2026’da uygulanmaya başladı; bugün, 11 Eylül 2026’da Article 14 devreye girdi; genel uygulama ise 11 Aralık 2027’de başlayacak.
Dolayısıyla 11 Eylül 2026 yalnızca CRA takvimindeki bir ara tarih değil. Siber güvenliğin ürün tasarımından güvenlik açığı yönetimine, insan hesaplarından AI agent’lara kadar uzanan yeni bir kimlik ve erişim güvenliği dönemine girdiğimiz bir eşik. AI agent sayısı arttıkça “ayrıcalıklı erişim” alanı da büyüyor; PAM ise bu yeni yapıda yalnızca administrator hesaplarını koruyan bir araç olmaktan çıkarak insan ve makine kimliklerinin kritik sistemlere erişimini yöneten temel güvenlik katmanlarından biri haline geliyor.