Für wen gilt der Cyber Resilience Act?

Für Hersteller, Importeure und Händler, die Produkte mit digitalen Elementen in der EU auf den Markt bringen: vernetzbare Hardware und Software, einschließlich der meisten Embedded- und IoT-Produkte.

Wann tritt der CRA in Kraft?

Er trat 2024 in Kraft. Die Meldepflichten gelten ab dem 11. September 2026, alle wesentlichen Anforderungen ab dem 11. Dezember 2027.

Verlangt der CRA eine SBOM?

Ja. Hersteller müssen Komponenten in einer Software-Stückliste dokumentieren. Yocmans sbom prüft den vom Yocto-Build erzeugten SPDX-SBOM; cra report nimmt ihn auf.

Macht Yocman mein Produkt CRA-konform?

Nein. Konformität erfordert eine rechtliche Bewertung des gesamten Produkts und der Prozesse. Yocman erstellt dafür Build-Nachweise zu CVEs, SBOM, Geheimnissen und Härtung und kennzeichnet Bereiche außerhalb des Builds.

Gilt der CRA für Open-Source-Software?

Open-Source-Software außerhalb gewerblicher Tätigkeiten ist weitgehend ausgenommen. Hersteller bleiben für Produkte mit Open-Source-Komponenten verantwortlich. Die Verwendung des Yocto Project ändert Ihre Pflichten nicht.

Cyber Resilience Act

Der Cyber Resilience Act für Ihr Embedded Linux in einem Bericht

Der EU Cyber Resilience Act verlangt Schwachstellenmanagement, SBOM und Sicherheitsupdates für Produkte mit digitalen Elementen. Yocman erstellt die Build-Nachweise zu ungepatchten CVEs, Geheimnissen, SBOM und Härtung mit einem Befehl.

Kostenlos starten Anleitung zu cra report lesen

Die Fristen rücken näher

11. Sept. 2026
Beginn der Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle.
11. Dez. 2027
Alle wesentlichen Anforderungen gelten für auf dem EU-Markt bereitgestellte Produkte.

yocman cra report

$ yocman cra report --format md -o cra.md

Build-side readiness 4/6 provable areas with no gap, 1 gap, 1 to review

Gap Known vulnerabilities CVE-2099-0101 (CVSS 9.8) in openssl

Review SBOM SPDX present, 2 components unmatched

No gap Confidentiality no embedded secret

No gap Minimal attack surface no telnet, no empty password

Manual Update mechanism · Disclosure document your policy (out of build scope)

✓ wrote cra.md

Demo-Build; CVE-Kennungen sind fiktiv.

Was der CRA verlangt

Der CRA (Verordnung (EU) 2024/2847) betrifft nahezu alle in der EU verkauften Produkte mit digitalen Elementen, auch Embedded- und IoT-Geräte. Hersteller müssen ohne bekannte ausnutzbare Schwachstellen ausliefern, eine SBOM führen, Sicherheitsupdates liefern und Schwachstellen während der Produktlebensdauer behandeln und offenlegen.

Keine bekannten ausnutzbaren Schwachstellen bei Auslieferung
Eine Software-Stückliste (SBOM)
Sicherheitsupdates, sichere Voreinstellungen, minimale Angriffsfläche
Schwachstellenmanagement, koordinierte Offenlegung und Dokumentation

Jede Anforderung mit Build-Nachweisen verknüpft

yocman cra report nutzt vorhandene Analysen und ordnet Befunde nach CRA-Anforderungsbereichen mit Status, Nachweisen und zugehörigem Befehl.

CRA-Anforderung (Anhang I)	Was Yocman aus Ihrem Build nachweist	Befehl
Bekannte Schwachstellen	Ungepatchte CVEs im ausgelieferten Image nach CVSS	yocman cve
Software-Stückliste	SPDX-SBOM vorhanden und konsistent mit dem Image	yocman sbom
Vertraulichkeit der Daten	Keine privaten Schlüssel, Token oder Passwörter im rootfs	yocman secrets
Minimale Angriffsfläche	Keine unsicheren Dienste, leeren Passwörter oder zusätzlichen root-Konten	yocman services · users
Härtung	Kernel-.config anhand einer Härtungsliste prüfen	yocman kernel-audit
Komponentendokumentation	Lizenzen und Quellcodepflichten des Images	yocman licenses

Was Yocman nicht beansprucht

Yocman liefert Build-Nachweise, keine Konformitätszertifizierung. Manche CRA-Pflichten sind aus einem Build nicht nachweisbar; der Bericht kennzeichnet sie ausdrücklich.

Nachweise für ein Audit, keine Konformitätsbewertung oder CE-Kennzeichnung
Ihr Update-Verfahren (Signierung, Rollback, Verteilung) bleibt Ihre Verantwortung
Offenlegungsrichtlinie, Kontaktstelle und Nutzerdokumentation stellen Sie bereit

CRA-Nachweisbericht erstellen

Kostenloser Tarif inklusive, ohne Kreditkarte. Build auswählen und Markdown-Bericht für Ihre Unterlagen erstellen — bis zu 5 Sicherheitsbefehle pro Monat.

$pipx install yocman

Kostenlos starten

Fragen zum Cyber Resilience Act

Für wen gilt der Cyber Resilience Act?: Für Hersteller, Importeure und Händler, die Produkte mit digitalen Elementen in der EU auf den Markt bringen: vernetzbare Hardware und Software, einschließlich der meisten Embedded- und IoT-Produkte.
Wann tritt der CRA in Kraft?: Er trat 2024 in Kraft. Die Meldepflichten gelten ab dem 11. September 2026, alle wesentlichen Anforderungen ab dem 11. Dezember 2027.
Verlangt der CRA eine SBOM?: Ja. Hersteller müssen Komponenten in einer Software-Stückliste dokumentieren. Yocmans sbom prüft den vom Yocto-Build erzeugten SPDX-SBOM; cra report nimmt ihn auf.
Macht Yocman mein Produkt CRA-konform?: Nein. Konformität erfordert eine rechtliche Bewertung des gesamten Produkts und der Prozesse. Yocman erstellt dafür Build-Nachweise zu CVEs, SBOM, Geheimnissen und Härtung und kennzeichnet Bereiche außerhalb des Builds.
Gilt der CRA für Open-Source-Software?: Open-Source-Software außerhalb gewerblicher Tätigkeiten ist weitgehend ausgenommen. Hersteller bleiben für Produkte mit Open-Source-Komponenten verantwortlich. Die Verwendung des Yocto Project ändert Ihre Pflichten nicht.

Offizielle Referenzen

Allgemeine Informationen, keine Rechtsberatung. Yocman ist unabhängig und weder mit EU, ENISA, Yocto Project noch Linux Foundation verbunden oder von diesen unterstützt. Yocto Project® ist eine Marke der Linux Foundation.