Her bağlantılı cihaz için tek CRA platformu

Ürünün CRA sınıfını belirleyen bir test, Madde 32'deki uygunluk değerlendirme yolları ve risk değerlendirmesi. Ek I'deki 22 temel şartın her biri için kararınızı ve kanıtınızı kaydedersiniz. Ürün başına bir hazırlık yolu sıradaki adımı gösterir.

• Ek III ve IV'e göre ürün sınıfı testi, Madde 32'ye göre uygunluk değerlendirme yolları
• Tehditler ve kalan riskle birlikte risk değerlendirmesi
• Ek I'in 22 şartı (Bölüm I'de 14, Bölüm II'de 8) için karar ve kanıt
• Ürün başına adım adım CRA hazırlık yolu

Kaynak kodu gerekmez. Firmware imajıyla, derleme sırasında üretilen SBOM'la, tedarikçinin SBOM'uyla ya da Excel/CSV bileşen listesiyle başlarsınız. Bileşenler NVD, OSV, CVE Program kayıtları ve üretici bültenleriyle (Espressif, Mbed TLS) eşleştirilir; CISA KEV ve EPSS ile önceliklendirilir. ENISA EUVD, aktif istismar kanıtı ve kaynak bağlantısı için kullanılır. Kaynaklar her gün güncellenir.

• Firmware imajı analizi; Intel HEX, S-record ve ELF dosyaları dahil (Linux ELF'leri, ESP32 ve Arm Cortex-M ELF/AXF)
• SBOM içe aktarma: CycloneDX 1.4–1.7 (JSON, XML), SPDX 2.2–2.3 (JSON, tag-value) ve SPDX 3.0.1 (JSON-LD)
• Debian ve Ubuntu LTS paketleri, dağıtımın kendi güvenlik verisi ve kaynak paket adıyla eşleştirilir
• Her bulgu kaynak kaydına bağlanır; NVD'nin henüz işlemediği kayıtlar incelemeye işaretlenir
• CVE'si olmayan, kendi kodunuzdaki açıklar için iç kimlikli kayıt; Madde 14 bildirimi bu kayıtla da başlatılabilir
• Dışarıdan gelen açık bildirimleri için form ve gelen kutusu
• CSAF 2.0 ve OpenVEX formatında VEX; son kararı analistiniz verir

Teknik dosya ve AB uygunluk beyanı ürünün kayıtlarından hazırlanır. Madde 14 bildirimleri ENISA'nın Tek Raporlama Platformu (SRP) formundaki alan sırasıyla taslağa dönüşür; gönderimi ENISA portalından siz yaparsınız.

• Teknik dosya (Ek VII) ve AB uygunluk beyanı (Ek V ve basitleştirilmiş Ek VI), PDF ve Word
• Herkese açık, sürümlü kullanıcı bilgileri sayfası (Ek II)
• SBOM çıktısı: CycloneDX 1.6, SPDX 2.3 ve 3.0.1; BSI TR-03183-2 alan raporu
• Madde 14: SRP alan sırasıyla taslaklar, 24 saat, 72 saat ve nihai rapor süre takibi
• Gönderilen bildirimler için imzalı ve RFC 3161 zaman damgalı arşiv
• AB dışı üreticiler için yetkili temsilci, ithalatçı ve dağıtıcı kayıtları; Madde 14(7)'ye göre koordinatör CSIRT önerisi

İsteğe bağlı. Bağlı bir cihaz filonuz varsa cihazlarınız imzalı telemetri gönderir ve güncellemeleri imzalı olarak alır: cihaz imzayı doğrular, güncellemeyi A/B bölümüne yazar, yeni sürüm açılamazsa öncekine döner. Cihazın donanım güvenlik özellikleri Ek I kanıtı olarak kayda geçer; filo olmadan bu özellikler elle de beyan edilebilir.

• Her cihazın kendi anahtarıyla imzalanan telemetri; kurcalama ve bellek bozulması olayları
• Kritik cihaz olayları otomatik olarak bir değerlendirme kaydı açar; bildirime tabi olup olmadığına ekibiniz karar verir
• İmzalı OTA: ECDSA P-256 imzalı bildirim, sürüm düşürme koruması, A/B bölüm ve başarısız açılışta önceki sürüme dönüş
• Güvenli önyükleme gibi donanım özelliklerinin Ek I kanıtı olarak kaydı

Cihaz SDK'sı: ESP32 hazır; NXP portu geliştiriliyor; STM32 ve gömülü Linux yol haritasında. Kartınızı söyleyin, pilot programında birlikte uyarlayalım.