normakte / CRA para firmware
Para el CRA el firmware no es un tema aparte, sino parte del dispositivo. El fabricante del dispositivo es responsable, también de las bibliotecas y módulos que compra.
| Tema | Qué espera el CRA |
|---|---|
| Componentes de terceros | diligencia en la selección, SBOM, corrección de vulnerabilidades |
| Actualizaciones | canal de entrega protegido, verificación antes de instalar, gratuitas |
| Configuración predeterminada | configuración segura de fábrica, sin contraseñas predeterminadas iguales para todos |
| Vida útil | periodo de soporte acorde con la vida útil prevista |
Sistema operativo, gestor de arranque, pilas de protocolos y bibliotecas de terceros forman parte del producto. El fabricante los evalúa con diligencia, los registra en la SBOM y corrige las vulnerabilidades aunque procedan de un componente comprado.
Las actualizaciones se entregan por un canal protegido y se verifican antes de instalarlas, por ejemplo mediante firmware firmado. Cuando proceda, las actualizaciones de seguridad son automáticas, con una forma sencilla de desactivarlas.
Los dispositivos embebidos suelen permanecer muchos años en uso. El periodo de soporte debe reflejar esa vida útil prevista, y el canal de actualización debe funcionar durante todo ese tiempo.
Registro, clasificación, SBOM, notificaciones con plazos y página para los usuarios: un expediente de prueba gratis hasta el 20.01.2027.
Fuente. Reglamento (UE) 2024/2847, DO L, 2024/2847 de 20.11.2024. Resumido; solo da fe el texto oficial. normakte no sustituye el asesoramiento jurídico.