FedRAMP Nedir? 2026 FedRAMP 20x Class A, B, C ve Federal Bulut Rehberi

FedRAMP tam olarak nedir?

Federal Risk and Authorization Management Program, ABD federal kurumlarının bulut hizmetlerini güvenli ve tekrar kullanılabilir bir güvence modeliyle değerlendirmesine yardımcı olur. IaaS, PaaS ve SaaS gibi cloud service offerings federal veriyi veya federal iş yüklerini desteklediğinde program gündeme gelebilir.

Temel değer, her kurumun sıfırdan tamamen ayrı bir güvenlik değerlendirmesi yaptırması yerine ortak güvence artefaktları ve Marketplace görünürlüğü üzerinden yeniden kullanılabilirlik sağlamaktır. Ancak kurumun kendi risk ve kullanım kararı devam eder.

Hangi sistemler ve şirketler için FedRAMP anlamlıdır?

FedRAMP’ın amacı federal kurumların kullandığı bulut hizmetleridir. Dolayısıyla yalnız ABD’de sunucu barındırmak veya Amerikan müşteriye satış yapmak tek başına FedRAMP gerektirmez. Asıl soru, ürünün federal bir kurum tarafından cloud service offering olarak kullanılacak olup olmadığıdır.

SaaS, PaaS, IaaS ve yönetilen cloud çözümleri federal pazara girmek istiyorsa program stratejik hale gelebilir. Sadece ticari B2B pazarına hizmet veren ve federal kullanım hedeflemeyen bir ürün için SOC 2 veya ISO 27001 daha ilgili müşteri talepleri olabilir.

FedRAMP 20x nedir ve 2026’da ne değişti?

FedRAMP 20x, geleneksel belge ağırlıklı compliance yaklaşımını daha çok güvenlik sonucu, sürekli kanıt ve otomasyon odaklı assurance modeline dönüştürmek için geliştirildi. FedRAMP Haziran 2026’da Consolidated Rules for 2026’yı yayımlayarak 20x gereksinimlerini tek bir stabil kurallar setinde topladı.

Resmî takvime göre Marketplace girişleri Temmuz 2026’da açıldı, Class A pipeline 3 Ağustos 2026’da başladı; Class B ve C pipeline’ları 31 Ağustos 2026’da açılıyor. Consolidated Rules 1 Ocak 2027’de paydaşlar için zorunlu hale gelecek ve yeni Rev5 certification başvurularının kabulü 11 Haziran 2027’de sona erecek.

Class A, Class B, Class C ve Class D farkı nedir?

20x sınıfları hizmetin federal kullanım şekli ve beklenen güvence seviyesine göre farklı yollar tanımlar. Class A olgun ticari güvenlik/compliance programı olan ve federal Marketplace’e giriş yapmak isteyen cloud hizmetleri için başlangıç niteliğinde bir yoldur.

Class B daha küçük ölçekli veya hafif kullanım hizmetlerine; Class C kurum genelinde veya önemli federal işlerde kullanılabilecek yaygın enterprise hizmetlere yöneliktir. Class D, eski High bağlamına yakın daha yüksek güvence senaryoları için sonraki fazda geliştirilmektedir.

FedRAMP Low, Moderate, High isimleri ne oldu?

2026 geçişinde FedRAMP, assessment/certification kapsamlarını Class A-D etiketleriyle yeniden konumlandırıyor. Resmî açıklamalarda Class B eski Low/Li-SaaS yaklaşımıyla, Class C Moderate ile, Class D High ile ilişkilendirilen geçiş mantığını taşır; Class A ise yeni bir giriş sınıfıdır.

Bu yüzden 2026’da “FedRAMP Moderate almak istiyorum” araması hâlâ yaygın olsa da yeni proje planında 20x sınıf yapısı ve güncel transition kuralları incelenmelidir. Eski ve yeni terimleri karıştırmadan tarihi bağlam vermek gerekir.

FedRAMP Marketplace nedir?

FedRAMP Marketplace, cloud service offerings ve program durumları için resmî katalog rolü görür. Federal alıcılar bir ürünün programdaki durumunu ve mevcut güvence bilgisini burada kontrol edebilir.

Marketplace kaydı yalnız pazarlama rozeti değildir; certification package ve sürekli bakım yükümlülükleriyle ilişkilidir. 20x modelinde paketlerin durağan klasörlerden ziyade sürekli güncellenen veriler ve kanıtlar olarak ele alınması hedeflenir.

Türkiye’deki veya ABD dışındaki bir şirket FedRAMP yapabilir mi?

FedRAMP’ı “yalnız ABD’de kurulmuş şirketler başvurabilir” şeklinde tek cümleyle genellemek doğru değildir. Programın asıl uygunluk ekseni federal kullanım senaryosu, cloud service offering ve güncel program kurallarıdır. Kurumsal yapı, veri konumu, personel, sözleşme ve federal gereksinimler ayrıca kısıtlar doğurabilir.

Türkiye merkezli bir SaaS şirketi federal pazarı gerçekten hedefliyorsa önce FedRAMP’ın güncel scope/eligibility ve certification-path materyallerini incelemeli, federal müşteri/use case stratejisini netleştirmeli ve gerektiğinde ABD federal procurement uzmanlarından hukuki/ticari danışmanlık almalıdır.

Teknik olarak neye hazırlanmak gerekir?

FedRAMP 20x, otomasyon ve sürekli kanıt üretimini güçlendiren bir yön izliyor. Cloud mimarisi, asset envanteri, kimlik ve erişim, vulnerability management, logging, incident response, supply-chain bağımlılıkları, configuration management ve sürekli izleme gibi alanların API/otomasyon dostu biçimde yönetilmesi önem kazanıyor.

Olgun SOC 2 Type II veya benzer ticari güvenlik programları özellikle Class A başlangıcında faydalı bir temel olabilir; ancak bunlar FedRAMP certification yerine geçmez. Federal kullanım için ek gereksinimler ve FedRAMP’a özgü kanıtlar ayrıca gerekir.

FedRAMP’a girmek isteyen SaaS şirketi nereden başlamalı?

Önce ürünün federal pazarda gerçekten kullanılabilir bir cloud service offering olup olmadığı ve hedef Class belirlenir. Mevcut güvenlik/compliance olgunluğu ölçülür; FedRAMP 20x Consolidated Rules, submission requirements ve sürekli reporting beklentileriyle gap analizi yapılır.

Federal müşteri stratejisi ile teknik compliance çalışmasını birbirinden koparmamak gerekir. Ürün Marketplace’e girdiğinde satış otomatik oluşmaz; procurement, contract, agency mission fit, support modeli ve fiyatlandırma ayrıca yönetilir.

• Federal use case ve hedef müşteri tipini doğrula
• Cloud offering sınırlarını ve deployment modelini tanımla
• 20x Class A/B/C uygunluğunu değerlendir
• Mevcut SOC 2/ISO/NIST kanıtlarını haritala
• Sürekli kanıt ve otomasyon altyapısı kur
• FedRAMP’ın güncel submission ve Marketplace kurallarını izle
• Federal procurement/satış stratejisini paralel yürüt

FedRAMP neden pahalı ve uzun olabilir?

Maliyet yalnız bağımsız assessment ücretinden oluşmaz. Mühendislik, compliance, güvenlik operasyonu, sürekli izleme, dokümantasyon/kanıt otomasyonu, cloud mimarisi, personel ve satış/procurement eforu toplam yatırımın parçasıdır.

20x programının hedeflerinden biri süreci daha ölçeklenebilir ve kanıt odaklı hale getirmek olsa da federal pazar için güvenlik ve operasyon olgunluğu hâlâ ciddi yatırım gerektirir. Sabit bir “FedRAMP fiyatı” vermek bu yüzden yanıltıcıdır.

FedRAMP ile SOC 2, ISO 27001 ve PCI DSS arasındaki fark

FedRAMP ABD federal cloud kullanımı için programdır. SOC 2 B2B müşterilere hizmet kontrolleri hakkında rapor, ISO 27001 uluslararası bilgi güvenliği yönetim sistemi sertifikası, PCI DSS ödeme kartı veri güvenliği standardıdır. Bir federal SaaS sağlayıcısı bunların birden fazlasına aynı anda sahip olabilir.