Cyber Resilience Act
Il Cyber Resilience Act per Linux embedded in un report
Il Cyber Resilience Act europeo rende obbligatori gestione delle vulnerabilità, SBOM e aggiornamenti per prodotti con elementi digitali. Con un comando Yocman produce evidenze di build su CVE, segreti, SBOM e hardening.
Le scadenze si avvicinano
11 set 2026
Inizia la segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi.
11 dic 2027
Tutti i requisiti essenziali si applicano ai prodotti immessi sul mercato UE.
Cosa richiede il CRA
Il CRA (Regolamento (UE) 2024/2847) riguarda quasi tutti i prodotti con elementi digitali venduti nell’UE, inclusi embedded e IoT. I produttori devono distribuire senza vulnerabilità sfruttabili note, mantenere uno SBOM, fornire aggiornamenti e gestire e divulgare vulnerabilità durante la vita del prodotto.
- Nessuna vulnerabilità sfruttabile nota al rilascio
- Una distinta software (SBOM)
- Aggiornamenti di sicurezza, impostazioni sicure, superficie d’attacco minima
- Gestione delle vulnerabilità, divulgazione coordinata e documentazione
Ogni requisito collegato a evidenze della build
yocman cra report riusa le analisi e organizza i rilievi per area di requisito CRA, con stato, evidenze e comando associato.
| Requisito CRA (Allegato I) | Cosa dimostra Yocman dalla build | Comando |
|---|---|---|
| Vulnerabilità note | CVE non corrette nell’immagine distribuita, per CVSS | yocman cve |
| Distinta software | SBOM SPDX presente e coerente con l’immagine | yocman sbom |
| Riservatezza dei dati | Nessuna chiave privata, token o password nel rootfs | yocman secrets |
| Superficie d’attacco minima | Nessun servizio non sicuro, password vuota o account root aggiuntivo | yocman services · users |
| Hardening | La .config del kernel rispetto a una checklist di hardening | yocman kernel-audit |
| Documentazione dei componenti | Licenze e obblighi sui sorgenti dell’immagine | yocman licenses |
Cosa Yocman non dichiara
Yocman fornisce evidenze di build, non certifica la conformità. Alcuni obblighi CRA non sono dimostrabili da una build: il report li segnala chiaramente.
- Evidenze per un audit, non una valutazione di conformità o marcatura CE
- Il meccanismo di aggiornamento (firma, rollback, distribuzione) resta tua responsabilità
- Politica di divulgazione, contatto e documentazione utente restano a tuo carico
Genera il report di evidenze CRA
Piano gratuito incluso, senza carta di credito. Indica la build e ottieni un report Markdown da allegare al fascicolo — fino a 5 comandi di sicurezza al mese.
Domande sul Cyber Resilience Act
- A chi si applica il Cyber Resilience Act?
- A produttori, importatori e distributori che immettono sul mercato UE prodotti con elementi digitali: hardware e software collegabili, inclusi gran parte dei prodotti embedded e IoT.
- Quando entra in vigore il CRA?
- È entrato in vigore nel 2024. Gli obblighi di segnalazione si applicano dall’11 settembre 2026 e tutti i requisiti essenziali dall’11 dicembre 2027.
- Il CRA richiede uno SBOM?
- Sì. I produttori devono documentare i componenti in una distinta software. sbom verifica lo SBOM SPDX prodotto dalla build Yocto e cra report lo include.
- Yocman rende il mio prodotto conforme al CRA?
- No. La conformità richiede una valutazione legale dell’intero prodotto e dei processi. Yocman produce evidenze su CVE, SBOM, segreti e hardening e segnala ciò che non rientra nella build.
- Il CRA si applica al software open source?
- Il software open source fuori da attività commerciali è in gran parte escluso. I produttori restano responsabili dei prodotti con componenti open source. Usare lo Yocto Project non cambia gli obblighi.
Riferimenti ufficiali
Informazioni generali, non consulenza legale. Yocman è indipendente e non affiliato né approvato da UE, ENISA, Yocto Project o Linux Foundation. Yocto Project® è un marchio della Linux Foundation.