Yarı iletken sektörü, Avrupa Birliği'nin Siber Dayanıklılık Yasası'nın (CRA) yürürlüğe girmesiyle birlikte büyük bir düzenleyici dönüşümle karşı karşıya; güvenlik gereklilikleri artık sadece yazılımla sınırlı kalmayıp, modern dijital cihazların temelini oluşturan donanım bileşenlerini ve fikri mülkiyeti (IP) de kapsayacak şekilde genişledi.
CRA yasasının çerçevesi ve uygulama kapsamı
Ekim 2024'te kabul edilen yasa, Avrupa Birliği pazarında satılan dijital ürünler için asgari güvenlik gereklilikleri belirlemeyi amaçlıyor. Bu kurallar, ürünleri Avrupalı tüketicilere ulaştığı sürece, merkezlerinin bulunduğu yere bakılmaksızın tüm şirketler için geçerlidir. Kapsam, ayrı olarak satılan yarı iletkenleri doğrudan içerdiği gibi, güvenlik değerlendirme sonuçlarını sunmaları ve bileşenlerinin güvenli kullanım varsayımlarını açıklamaları istenebilecek fikri mülkiyet tedarikçilerini de kapsamaktadır.
Hedeflenen ürün listesi, aşağıdakiler de dahil olmak üzere geniş bir teknolojik ürün yelpazesini içermektedir:
- Mikroişlemciler (Microprocessors).
- Mikrodenetleyiciler (Microcontrollers).
- Uygulamaya özel entegre devreler (ASICs).
- Programlanabilir mantık kapısı dizileri (FPGAs).
Son tarihler ve düzenleyici yükümlülükler
Yasanın uygulanması, teknik geliştirme takvimleri üzerinde baskı oluşturan belirli aşamalardan geçmektedir:
- Eylül 2026: Üreticilerin aktif olarak istismar edilen güvenlik açıklarını keşfettiklerinde erken uyarıda bulunmaları ve ardından birleşik bildirim platformu aracılığıyla düzeltici önlemler hakkında ayrıntılı bir rapor sunmaları gereken zorunlu bildirim aşamasının başlangıcı.
- 11 Aralık 2027: Teknik dokümantasyon ve uygunluk değerlendirme gerekliliklerinin yürürlüğe gireceği ve CE işareti almanın ürünleri piyasaya sürmek için temel bir şart olacağı tam uyumluluk için son tarih.
Bu haber neden önemli?
Bu gelişme, tedarik zinciri genelinde siber güvenlik sorumluluğunda temel bir değişimi temsil etmektedir. Yükü tamamen nihai cihaz üreticilerine yüklemek yerine yasa, bileşen ve fikri mülkiyet tedarikçilerinin somut güvenlik kanıtları sunmasını zorunlu kılmaktadır. Bu, çip tasarımcılarının şifreleme anahtarları ve hata ayıklama durumları (Debug states) gibi hassas varlıkların sadece harici yazılımlarla değil, tasarımın kendisi içinde korunduğunu kanıtlamaları gerektiği anlamına gelmektedir.
Donanım güvenliğine hazırlık ve doğrulama
Bu zorluklara yanıt olarak Arteris gibi uzman şirketler, tasarımcıların uyumluluğu sağlamasına yardımcı olmak için Donanım Hazırlık Kılavuzu (Hardware Readiness Guide) ve Radix gibi doğrulama araçları geliştirmeye başlamıştır. Bu araçlar, güvenlik gerekliliklerini simülasyon ve emülasyon aşamalarında test edilebilir kurallara dönüştürmeyi amaçlamakta, böylece ürün nihai üretim aşamasına ulaşmadan önce tasarımdaki zayıf noktaların belirlenmesine olanak tanımaktadır.