CRA-k eskatzen du jakitea zerez eginda dagoen zure produktua.
Elementu digitalak dituzten produktuak fabrikatzen, inportatzen edo integratzen dituenarentzat: HodeiShield-ek hornitzaileen edo aktibo propio baten SBOM-a jasotzen du, CVE-ekin gurutzatzen du eta osagaiko alertak ematen dizkizu. Ez du zure dokumentazio teknikoa ez zure jakinarazpena ordezkatzen.
- SBOM JSON formatuan bakarrik (CycloneDX edo SPDX), autentifikatutako igoerarekin
- Datuak EBn (OVH, Gravelines); Cloudflare (AEB) eskaeraren bidean
Zer eskatzen duen CRA-k, laburki
CRA-k elementu digitalak dituzten produktuentzako ziberseguritate-eskakizunak finkatzen ditu bizi-ziklo osoan.
Laburpen informatiboa, ez aholku juridikoa. Zure produktua eremuan sartzen den eta zein kategoriatan, testu ofizialaren mende dago.
- Zerez eginda dagoen jakitea
- Fabrikatzaileak produktuaren ahultasunak eta osagaiak identifikatzen eta dokumentatzen ditu, software-materialen zerrenda (SBOM) barne, ohiko erabilerako eta makinak irakur dezakeen formatu batean (I. eranskina, II. zatia).
- Hirugarrenen osagaiekiko arreta
- Hirugarrenen osagaiak integratzen dituenak behar bezalako arretaz jardun behar du osagaiek produktuaren ziberseguritatea arriskuan jar ez dezaten (13. artikulua).
- Zuzendu eta jakinarazi
- Ahultasunak atzerapenik gabe zuzentzen dira, segurtasun-eguneratzeen bidez ere (I. eranskina, II. zatia). Aktiboki ustiatutako ahultasunak eta produktuaren segurtasunari eragiten dioten gertakari larriak aldi berean jakinarazten zaizkie CSIRT koordinatzaileari eta ENISA-ri, jakinarazpen-plataforma bakarraren bidez, 24 orduko alerta goiztiarrarekin (14. artikulua).
- Dokumentatu eta markatu
- Dokumentazio teknikoa, bat-etortzearen ebaluazioa eta CE markatzea produktuaren kategoriaren arabera. Hodei-zerbitzu bat bere kabuz (SaaS), printzipioz, bere eremutik kanpo geratzen da, baina produktu batek funtzionatzeko behar duen urruneko prozesamendua produktu horren parte da (3. artikuluaren 2. puntua, eta 11. eta 12. kontsiderandoak).
SBOM-etik osagaien ebidentziara
Plataformak estaltzen dituen urratsak eta zureak izaten jarraitzen dutenak.
1
Ez du estaltzenSBOM-a lortzea
Zure build-ak sortzen du edo hornitzaileak ematen dizu. HodeiShield-ek ez du kodetik sortzen.
2
ZuzenaAutentifikatutako igoera
CycloneDX edo SPDX JSON SBOM-a, hornitzaile bati edo aktibo propio bati lotuta.
3
ZuzenaCVE-ekin gurutzatzea
Osagaiak OSV.dev-ekin eta CVE eta CISA KEV-en eguneroko sinkronizazioarekin alderatzen dira.
4
ZuzenaOsagaiko alerta
Osagai bati eragiten dion CVE-a hornitzaileari lotutako alerta bihurtzen da, zure helmugetara bideratuta.
5
ZuzenaInbentarioa eta deskarga
Osagaiak eta CVE-ekiko duten egoera hornitzaileko kontsultagarri geratzen dira, eta jatorrizko SBOM-a deskarga daiteke.
6
Ez du estaltzenZure aldean geratzen dena
Dokumentazio teknikoa eta CRA jakinarazpena: zuzendu, ENISA-ri edo CSIRT-ari jakinarazi eta espedientea mantendu.
SBOM-a ez da egiaztatzen: Trust Center-ek ez du haren edukia sinatzen.
CRA-ren betebehar bakoitzetik HodeiShield-en gaitasun batera
Zikloaren fasearekin eta bakoitzaren benetako irismenarekin.
Zuzena: plataformak egiten du. Partziala: ebidentzia edo zati bat ematen du, gainerakoa zurea da. Ez du estaltzen: HodeiShield-etik kanpo geratzen da.
- Betebeharra:
Osagaiak identifikatzea eta dokumentatzea, SBOM bat barne
I. eranskina, II. zatia
Zer egiten duen HodeiShield-ek:Hornitzaile baten edo aktibo propio baten SBOM-a jasotzen eta aztertzen du. Ez du iturburu-kodetik sortzen.
Dokumentazioa · SBOM katea, CVE eta alerta (fitxa berri batean irekitzen da)FaseaSENSEIrismenaPartziala - Betebeharra:
Ahultasunak atzerapenik gabe jorratzea
I. eranskina, II. zatia
Zer egiten duen HodeiShield-ek:Osagaiko alertak CVE-rekin, KEV-ekin, ustiatzeko probabilitatearekin (EPSS) eta eragin-erradioarekin. Alertak 9 helmugara bideratzen dira eta zure arauaren arabera jakinarazi edo tiket bat sortzen dute zure sisteman. Ez da konponketa.
Dokumentazioa · Konektoreak (fitxa berri batean irekitzen da)FaseaPREDICTACTIrismenaPartziala - Betebeharra:
Ahultasun bat aktiboki ustiatzen den jakitea
14. art.
Zer egiten duen HodeiShield-ek:CISA KEV katalogoan CVE bat duten osagaiak markatzen ditu. ENISA-ri eta CSIRT-ari jakinarazpena zurea da.
Dokumentazioa · Arrisku Motorra (fitxa berri batean irekitzen da)FaseaSENSEIrismenaPartziala - Betebeharra:
Hirugarrenen osagaiekiko arreta zorrotza
13. art.
Zer egiten duen HodeiShield-ek:Hornitzaileentzako galdetegiak, aldizkako kanpo-eskaneatzea eta SBOM-a adierazitako mendekotasun-grafo berean.
Dokumentazioa · SBOM katea, CVE eta alerta (fitxa berri batean irekitzen da)FaseaSENSEPREDICTIrismenaPartziala - Betebeharra:
Osagaien ebidentzia biltzea
VII. eranskina
Zer egiten duen HodeiShield-ek:SBOM bakoitzeko osagaien inbentarioa, CVE-ekiko egoerarekin, eta jatorrizko SBOM-aren deskarga. Ez da dokumentazio teknikoa ez EBko bat-etortze-adierazpena.
Dokumentazioa · SBOM katea, CVE eta alerta (fitxa berri batean irekitzen da)FaseaSENSEIrismenaPartziala - Betebeharra:
Ahultasunen dibulgazio koordinatuaren politika
I. eranskina, II. zatia
Zer egiten duen HodeiShield-ek:HodeiShield-etik kanpo.
FaseaZikloaz kanpoIrismenaEz du estaltzen - Betebeharra:
Bat-etortzearen ebaluazioa, EBko adierazpena eta CE markatzea
III. kap.
Zer egiten duen HodeiShield-ek:HodeiShield-etik kanpo.
FaseaZikloaz kanpoIrismenaEz du estaltzen
HodeiShield-ek CRA-rekin egiten ez duena
Zer espero eta zer ez.
Ez du zure SBOM-a sortzen
CycloneDX edo SPDX JSON SBOM-ak jasotzen ditu. Ez ditu zure biltegitik ez zure konpilaziotik eraikitzen.
Ez dio ENISA-ri ez CSIRT-ari jakinarazten
Zer osagaik duten CVE-a eta zein dauden KEV-en esaten dizu. Ustiatutako ahultasunen eta gertakari larrien jakinarazpena zuk egiten duzu.
Ez du dokumentazio teknikoa ez CE markatzea ordezkatzen
Inbentarioak osagaien ebidentzia biltzen du. Bat-etortzearen ebaluazioa eta EBko adierazpena fabrikatzailearenak izaten jarraitzen dute.
Ez du etengabe monitorizatzen
CVE-en sinkronizazioa egunerokoa da eta gurutzatzea zuk igotako SBOM-arekin egiten da. SBOM zaharkitu batek emaitza zaharkitua ematen du.
CRA-ri buruzko galderak
Fabrikatzaileentzat, inportatzaileentzat eta integratzaileentzat.
HodeiShield-ek nire produktuaren SBOM-a sortzen du?
Ez. Zuk igotzen duzun edo hornitzaile batek ematen dizun CycloneDX edo SPDX JSON SBOM-ak jasotzen ditu, CVE-ekin gurutzatzen ditu eta osagaiko abisatzen du.
Zer osagai-ebidentzia ematen du?
SBOM bakoitzeko osagaien inbentarioa, CVE-ekiko egoerarekin, eta jatorrizko SBOM-aren deskarga. Ez da zure dokumentazio teknikoa ez EBko bat-etortze-adierazpena.
Noiz aplikatzen da CRA?
(EB) 2024/2847 Erregelamendua 2024ko abenduaren 10ean sartu zen indarrean. Bat-etortze-ebaluazioko erakundeei buruzko arauak (IV. kapitulua) 2026ko ekainaren 11tik aplikatzen dira, fabrikatzailearen jakinarazpen-betebeharrak (14. artikulua) 2026ko irailaren 11tik, 2027ko abenduaren 11 baino lehen merkaturatutako produktuei ere, eta gainerakoak 2027ko abenduaren 11tik (69. eta 71. artikuluak).
Hirugarrenen softwarea bakarrik erabiltzen dut. Eragiten dit?
CRA elementu digitalak dituzten produktuen fabrikatzaileei, inportatzaileei eta banatzaileei zuzenduta dago. Softwarea bakarrik erabiltzen baduzu, zure hornitzaileen bidez eta zure hornidura-katearen betebeharren bidez iristen zaizu, adibidez NIS2-n.
SBOM-a egiaztatzen da?
Ez. SBOM-a CVE-ak detektatzeko eta alertak emateko erabiltzen da, baina Trust Center-ek ez du haren edukia sinatzen.
Lotutako irtenbideak
Igo SBOM bat eta ikusi zein osagaik uzten zaituzten agerian
Demoan adibide-SBOM bat jasotzen dugu, CVE-ekin gurutzatzen dugu eta osagaien inbentariora iristen gara.
Konpromisorik gabe. Adibide-datuak.