normakte / CRA für Firmware
Die Firmware ist für den CRA kein eigenes Thema, sondern Teil des Geräts. Der Hersteller des Geräts trägt die Verantwortung – auch für Bibliotheken und Module, die er zukauft.
| Thema | Was der CRA erwartet |
|---|---|
| Fremdkomponenten | Sorgfalt bei der Auswahl, Erfassung in der SBOM, Behebung von Schwachstellen |
| Updates | gesicherter Auslieferungsweg, Prüfung vor Installation, kostenlos |
| Voreinstellungen | sichere Grundkonfiguration ab Werk, keine einheitlichen Standardpasswörter |
| Lebensdauer | Unterstützungszeitraum entsprechend der erwarteten Nutzungsdauer |
Betriebssystem, Bootloader, Protokollstapel und Bibliotheken von Dritten gehören zum Produkt. Der Hersteller bewertet sie mit Sorgfalt, erfasst sie in der SBOM und behebt Schwachstellen auch dann, wenn sie aus einer zugekauften Komponente stammen.
Updates werden über einen gesicherten Weg ausgeliefert und vor der Installation geprüft, zum Beispiel über signierte Firmware. Wo es passt, laufen Sicherheitsupdates automatisch, mit einer einfachen Möglichkeit, das abzuschalten.
Embedded-Geräte bleiben oft viele Jahre im Feld. Der Unterstützungszeitraum muss diese erwartete Nutzungsdauer widerspiegeln, und der Updateweg muss über die ganze Zeit funktionieren.
Register, Einstufung, SBOM, Meldungen mit Fristen und Zielseite für die Nutzer – eine Testakte kostenlos bis 20.01.2027.
Quelle. Verordnung (EU) 2024/2847, ABl. L, 2024/2847 vom 20.11.2024. Sinngemäß wiedergegeben; maßgeblich ist der amtliche Wortlaut. normakte ersetzt keine Rechtsberatung.