EU Cyber Resilience Act requirements for containers and Kubernetes

La Ley de Re­si­lien­cia Ci­ber­né­ti­ca de la Unión Eu­ro­pea (CRA) es un re­gla­men­to que es­ta­ble­ce exi­gen­cias obli­ga­to­rias de ci­ber­se­gu­ri­dad para los pro­duc­tos con ele­men­tos di­gi­ta­les co­mer­cia­li­za­dos en los mer­ca­dos de la Unión Eu­ro­pea. Su ám­bi­to de apli­ca­ción en en­tor­nos na­ti­vos de la nube abar­ca imá­ge­nes de con­te­ne­do­res, ope­ra­do­res de Ku­ber­ne­tes y grá­fi­cos Helm que cuen­ten con so­por­te co­mer­cial y estén ac­ce­si­bles para los clien­tes de la re­gión, sin im­por­tar dónde se ubi­que la en­ti­dad que los dis­tri­bu­ya, afec­tan­do tam­bién a pro­yec­tos de có­di­go abier­to con res­pal­do co­mer­cial y exi­gien­do una ca­de­na de cum­pli­mien­to en toda la ca­de­na de su­mi­nis­tro.

Para los equi­pos de con­te­ne­do­res, la nor­ma­ti­va in­tro­du­ce exi­gen­cias es­pe­cí­fi­cas como la se­gu­ri­dad desde el di­se­ño y por de­fec­to, lo que im­pli­ca con­tar con imá­ge­nes base re­for­za­das y su­per­fi­cies de ata­que re­du­ci­das. Asi­mis­mo, se de­man­da una ges­tión de vul­ne­ra­bi­li­da­des que in­clu­ye el uso de datos de la Lista de Ma­te­ria­les de Soft­wa­re (SBOM), mo­ni­to­reo con­ti­nuo y la obli­ga­ción de no­ti­fi­car a la Agen­cia de la Unión Eu­ro­pea para la Ci­ber­se­gu­ri­dad (ENISA) den­tro de las vein­ti­cua­tro horas en casos de vul­ne­ra­bi­li­da­des ex­plo­ta­das ac­ti­va­men­te, con un aviso com­ple­to pos­te­rior. Tam­bién se es­ta­ble­ce la ne­ce­si­dad de brin­dar se­gu­ri­dad a largo plazo, obli­gan­do a ofre­cer ac­tua­li­za­cio­nes de se­gu­ri­dad du­ran­te un mí­ni­mo de cinco años o du­ran­te la vida útil es­pe­ra­da del pro­duc­to.