normakte / CRA per firmware
Per il CRA il firmware non è un tema a sé, ma parte del dispositivo. La responsabilità è del fabbricante del dispositivo, anche per librerie e moduli acquistati.
| Tema | Cosa si aspetta il CRA |
|---|---|
| Componenti di terzi | diligenza nella scelta, SBOM, correzione delle vulnerabilità |
| Aggiornamenti | canale di distribuzione protetto, verifica prima dell'installazione, gratuiti |
| Impostazioni predefinite | configurazione sicura di fabbrica, nessuna password predefinita uguale per tutti |
| Durata | periodo di supporto pari alla durata d'uso prevista |
Sistema operativo, bootloader, stack di protocollo e librerie di terzi fanno parte del prodotto. Il fabbricante li valuta con diligenza, li censisce nella SBOM e corregge le vulnerabilità anche quando provengono da un componente acquistato.
Gli aggiornamenti arrivano tramite un canale protetto e vengono verificati prima dell'installazione, per esempio con firmware firmato. Dove opportuno, gli aggiornamenti di sicurezza sono automatici, con un modo semplice per disattivarli.
I dispositivi embedded restano spesso in campo per molti anni. Il periodo di supporto deve riflettere questa durata d'uso prevista, e il canale di aggiornamento deve funzionare per tutto il tempo.
Registro, classificazione, SBOM, segnalazioni con scadenze e pagina per gli utilizzatori: un fascicolo di prova gratis fino al 20.01.2027.
Fonte. Regolamento (UE) 2024/2847, GU L, 2024/2847 del 20.11.2024. Riassunto; fa fede il testo ufficiale. normakte non sostituisce una consulenza legale.