Ihr erster CRA-Bericht

Der Cyber Resilience Act (Verordnung 2024/2847) verlangt Schwachstellenmanagement, SBOM, Sicherheitsupdates und Softwaredokumentation. yocman cra report sammelt Build-Nachweise, zertifiziert aber keine Konformität.

Im Verzeichnis eines fertigen Builds:

yocman cra report

Die Analysen cve, secrets, sbom, licenses, services, users, perms und kernel-audit werden nach CRA-Anforderungsbereichen geordnet. Status: Keine Lücke, Prüfen, Lücke, Keine Nachweise bei fehlender Datenquelle oder Manuell, wenn ein Build keinen Nachweis ermöglicht.

Bericht für Ihre Unterlagen

yocman cra report --format md -o cra.md
yocman cra report --format json -o cra.json
yocman cra report --fail-on high

Markdown für Ihre Unterlagen, JSON für CI. Der letzte Befehl liefert Exitcode 1 bei hohen oder kritischen Lücken.

Grenzen der Nachweise

Zwei Bereiche sind immer Manuell:

• Sicherheitsupdates: Signierung, Rollback und Verteilung. OTA-Frameworks wie SWUpdate, RAUC, OSTree oder Mender werden erkannt, ihr Betrieb muss aber dokumentiert werden.
• Offenlegungsrichtlinie, Kontaktstelle und Nutzerdokumentation.

Fehlende Daten

cve-check, create-spdx und buildhistory erzeugen benötigte Daten nur bei Aktivierung. yocman doctor zeigt fehlende Quellen und deren Einrichtung. Der Bericht enthält dieselben Lücken.