G. Kwetsbaarheden en updates (CRA)
G-08 Doorlopende bewaking van nieuwe kwetsbaarheden in afhankelijkheden via de SBOM
Waarom
De CRA verplicht fabrikanten om kwetsbaarheden te melden en updates te leveren. Daarvoor moet het proces er zijn.
Hoe we het controleren
Methode: scan
- Scan: volledig automatisch, met vaste regels. Dezelfde code geeft altijd dezelfde uitkomst.
Deze check zit in de open-source scanner. Bekijk de code van deze check (aiscan/checks/ci.py).
Zo los je een bevinding op
Zet Dependabot of Renovate aan, of plan een wekelijkse scan van afhankelijkheden in de pipeline.
Op welk niveau
| Niveau 1 · Basisscan | ● verplicht |
|---|---|
| Niveau 2 · Gekeurd | ● verplicht |
| Niveau 3 · Gekeurd Plus | ● verplicht |
| Niveau 4 · Kritiek | ● verplicht |
Norm of wet
CRA I deel II (1), (3)
Standaardernst
Middel Een keurder mag hiervan afwijken, met een motivatie in het rapport.