Cyber Resilience Act
El Cyber Resilience Act para tu Linux embebido en un informe
El Cyber Resilience Act europeo exige gestionar vulnerabilidades, SBOM y actualizaciones en productos con elementos digitales. Con un comando Yocman produce evidencias de CVE, secretos, SBOM y refuerzo.
Los plazos se acercan
11 sep 2026
Comienza la notificación de vulnerabilidades explotadas activamente e incidentes graves.
11 dic 2027
Todos los requisitos esenciales se aplican a los productos introducidos en el mercado de la UE.
Qué exige el CRA
El CRA (Reglamento (UE) 2024/2847) abarca casi todos los productos con elementos digitales vendidos en la UE, incluidos embebidos e IoT. Los fabricantes deben distribuir sin vulnerabilidades explotables conocidas, mantener un SBOM, ofrecer actualizaciones y gestionar y divulgar vulnerabilidades durante la vida del producto.
- Sin vulnerabilidades explotables conocidas al distribuir
- Una lista de materiales de software (SBOM)
- Actualizaciones, configuración segura por defecto y superficie de ataque mínima
- Gestión de vulnerabilidades, divulgación coordinada y documentación
Cada requisito relacionado con evidencias de tu compilación
yocman cra report reutiliza análisis y organiza hallazgos por área CRA con estado, evidencias y comando asociado.
| Requisito CRA (Anexo I) | Qué demuestra Yocman de tu compilación | Comando |
|---|---|---|
| Vulnerabilidades conocidas | CVE sin corregir en la imagen distribuida, por CVSS | yocman cve |
| Lista de materiales de software | SBOM SPDX presente y coherente con la imagen | yocman sbom |
| Confidencialidad de los datos | Sin claves privadas, tokens ni contraseñas en el rootfs | yocman secrets |
| Superficie de ataque mínima | Sin servicios inseguros, contraseñas vacías ni cuentas root adicionales | yocman services · users |
| Refuerzo de seguridad | La .config del kernel frente a una lista de refuerzo | yocman kernel-audit |
| Documentación de componentes | Licencias y obligaciones de código fuente de la imagen | yocman licenses |
Qué no afirma Yocman
Yocman proporciona evidencias, no certifica la conformidad. Algunas obligaciones CRA no se pueden demostrar desde una compilación y el informe las señala claramente.
- Evidencias para una auditoría, no una evaluación de conformidad ni marcado CE
- Tu mecanismo de actualización (firma, reversión y distribución) sigue siendo tu responsabilidad
- La política de divulgación, contacto y documentación de usuario te corresponden
Genera tu informe de evidencias CRA
Plan gratuito incluido, sin tarjeta. Indica tu compilación y obtén un informe Markdown para adjuntar al expediente — hasta 5 comandos de seguridad al mes.
Preguntas sobre el Cyber Resilience Act
- ¿A quién se aplica el Cyber Resilience Act?
- A fabricantes, importadores y distribuidores que introducen productos con elementos digitales en la UE: hardware y software conectables, incluidos la mayoría de productos embebidos e IoT.
- ¿Cuándo entra en vigor el CRA?
- Entró en vigor en 2024. La notificación se aplica desde el 11 de septiembre de 2026 y todos los requisitos esenciales desde el 11 de diciembre de 2027.
- ¿El CRA exige un SBOM?
- Sí. Los fabricantes deben documentar componentes en una lista de materiales de software. sbom comprueba el SBOM SPDX de Yocto y cra report lo incluye.
- ¿Yocman hace que mi producto cumpla el CRA?
- No. La conformidad exige una evaluación legal de todo el producto y los procesos. Yocman genera evidencias de CVE, SBOM, secretos y refuerzo y señala lo que queda fuera de la compilación.
- ¿El CRA se aplica al software de código abierto?
- El software de código abierto ajeno a una actividad comercial queda en gran parte excluido. Los fabricantes siguen siendo responsables de productos con componentes abiertos. Usar Yocto Project no cambia tus obligaciones.
Referencias oficiales
Información general, no asesoramiento legal. Yocman es independiente y no está afiliado ni respaldado por la UE, ENISA, Yocto Project ni The Linux Foundation. Yocto Project® es una marca de The Linux Foundation.