No sabes cuántas CVEs tiene tu firmware
Nadie ha generado nunca un inventario de componentes. La respuesta honesta a "¿estáis afectados por esta vulnerabilidad?" es "no lo sabemos".
Reglamento (UE) 2024/2847, Cyber Resilience Act
Tu producto tiene que cumplir el CRA. Te ayudamos a preparar el firmware y la evidencia.
SBOM, gestión de vulnerabilidades, secure boot y actualizaciones seguras para dispositivos con Linux embebido. Precio cerrado, sin sorpresas.
Desde el 11 de septiembre de 2026 es obligatorio notificar vulnerabilidades explotadas. El 11 de diciembre de 2027 aplica el reglamento completo.
Quick Scangateway-fw-2.4.1.wic
| Paquetes en el SBOM | 1.284 |
| CVEs encontradas | 137 |
| Explotables en este dispositivo | 6 |
| Secure boot | no verificado |
| Servicios expuestos | sshd, dropbear, httpd (puerto 80) |
| Claves privadas en la imagen | 2 encontradas |
Informe entregado en 31 h laborablesPriorizadas por EPSS y CISA KEV, no solo por CVSS
Para fabricantes que ya tienen el producto en la calle
Empresas europeas de 20 a 200 personas que fabrican dispositivos con Linux embebido y no tienen un equipo de seguridad. Si te suena alguna de estas tres frases, hablamos.
Tu BSP lleva años sin actualizar
El kernel y U-Boot son los que trajo el fabricante del módulo. Actualizar da miedo porque no hay pipeline ni pruebas que lo cubran.
Nadie sabe qué contestar cuando lo pide un cliente
Un cliente grande, un distribuidor alemán o una autoridad piden "evidencia de cumplimiento CRA" y la petición se queda en un buzón.
CRA
Cuatro pasos, cada uno con precio cerrado
Empiezas por donde estés. Cada paso se puede contratar solo; ninguno te obliga al siguiente.
CRA Quick Scan
1.900 €
Informe en 48 horas laborables
Nos envías la imagen de firmware o los artefactos de Yocto por un enlace cifrado. Recibes un informe con lo que de verdad importa.
Incluye
- SBOM completo (SPDX y CycloneDX)
- CVEs con su explotabilidad en tu dispositivo concreto: servicios expuestos, configuración, si el componente se usa de verdad
- Hallazgos de configuración: secure boot, servicios, credenciales y claves en la imagen
- Una página final con los huecos frente al CRA que el scan no cubre
- 30 minutos de revisión con el ingeniero
No incluye
- Corrección de los hallazgos
- Documentación para el marcado CE
Se descuenta al 100 % de la auditoría si la contratas en 30 días.
Pedir Quick ScanPago con tarjeta. Al pagar aceptas las condiciones del Quick Scan.
Auditoría CRA-Readiness
9.500 €
2 a 3 semanas
Dónde está tu producto frente a cada requisito esencial del CRA, y un plan priorizado para llegar.
Incluye
- Gap analysis contra los requisitos esenciales del anexo I
- Revisión de arquitectura: secure boot, OTA, gestión de vulnerabilidades, logging
- SBOM y escaneo de vulnerabilidades
- Roadmap priorizado con esfuerzo estimado
- Documentación técnica base
No incluye
- Implementación de las medidas
Remediación
20.000 a 60.000 €
Por fases, pagos 40/30/30 por hitos
Implementamos lo que la auditoría ha señalado, dentro de tu CI y tu proceso.
Incluye
- Pipeline SBOM + CVE integrado en tu CI
- Firma de imágenes y secure boot
- Actualizaciones OTA seguras
- Hardening del sistema
- Documentación para el expediente técnico
No incluye
- Certificación por terceros (la preparamos, no la emitimos)
Compliance continuo
2.500 a 4.000 € al mes
Mensual, por adelantado
El CRA no se cumple una vez: hay que vigilar y notificar. Nosotros lo hacemos por ti.
Incluye
- Monitorización de CVEs sobre tu SBOM
- Alertas y parches priorizados
- Informe mensual
- Soporte en las notificaciones a autoridades
- +300 a 500 € al mes por producto adicional
Precios sin IVA.
Quick Scan
Cómo funciona el Quick Scan
Envías la imagen
Por un enlace cifrado te subimos la imagen (.wic, .img, rootfs) o los artefactos de Yocto: manifest, buildhistory, license.manifest. Firmado un NDA si lo necesitas.
Analizamos sin ejecutar nada
Extracción en un contenedor aislado sin red. SBOM con Syft, vulnerabilidades con Grype y OSV, prioridad por EPSS y CISA KEV. Después, un ingeniero revisa el contexto del dispositivo.
Informe en 48 h laborables
Resumen ejecutivo de una página, las 10 CVEs que importan y por qué, tabla completa en anexo, hallazgos de configuración y lo que el scan no cubre del CRA. Y 30 minutos para repasarlo juntos.
El plazo cuenta desde la recepción válida del firmware. Los ficheros se borran a los 30 días salvo contrato de compliance continuo.
Caso real
Así preparamos para el CRA un firmware que ya está en el mercado
Un ejemplo de cliente real: fabricante europeo de instrumentación de medición profesional. Producto sobre i.MX8M Plus con Yocto, en el mercado desde hace años, sin SBOM ni proceso de vulnerabilidades.
Evidencia técnica preparada y documentada desde dentro. Sin auditoría externa: para la mayoría de productos, el CRA prevé que el fabricante evalúe la conformidad por control interno (módulo A).
El nombre del cliente se publica cuando lo autorice.
- 01SBOM generado desde el build de Yocto y cruzado con el manifest
- 02Secure boot con HAB en el i.MX8MP, cadena de confianza hasta el rootfs
- 03TPM para claves de dispositivo y atestación
- 04Pipeline de CVEs en el CI, con criterio de prioridad documentado
- 05Logging tamper-evident para la trazabilidad que exige el reglamento
Por qué nosotros
Los que saben de compliance no saben de U-Boot. Los que saben de embedded huyen del papel. Aquí están las dos mitades.
Boottrace lo lleva Toni Quesada, ingeniero con más de quince años en Linux embebido: Yocto y BitBake, U-Boot, secure boot con HAB y CAAM, TPM, i.MX8 y STM32, seguridad de producto. Trabaja el CRA sobre productos reales en el mercado, no sobre presentaciones.
- Precio cerrado y visible antes de empezar
- Hablas con quien hace el trabajo, no con un comercial
- Entregables que tu equipo puede mantener: pipeline, documentación, nada propietario
Ingeniería Linux embebido
Para el mismo tipo de fabricante, sin la parte de compliance.
Mantenimiento de BSP
desde 1.500 € al mes
Kernel, U-Boot y capas de Yocto al día, con pruebas en tu hardware.
Secure boot y OTA
proyecto cerrado desde 12.000 €
Cadena de confianza completa y actualizaciones seguras con rollback.
Distribuciones a medida
por proyecto
Yocto o Buildroot ajustado a tu producto, reproducible y documentado.
Preguntas frecuentes
¿El CRA aplica a mi producto?
Si vendes en la UE un producto con elementos digitales que se conecta, directa o indirectamente, a otro dispositivo o a una red, casi seguro que sí. Hay excepciones (dispositivos médicos, automoción, aviación) porque ya tienen su propia regulación. En la llamada de 30 minutos te lo confirmamos.
¿Qué es un SBOM y por qué lo pide el CRA?
Un inventario legible por máquina de todos los componentes de software de tu producto, con versiones. El CRA lo exige para poder saber, cuando aparece una vulnerabilidad, si te afecta. Sin SBOM no puedes cumplir con la gestión de vulnerabilidades ni con las notificaciones.
¿Qué pasa si no cumplo?
Multas de hasta 15 millones de euros o el 2,5 % de la facturación mundial, retirada del producto del mercado y, en la práctica, perder clientes grandes que ya piden evidencia a sus proveedores.
Uso Buildroot o Debian, no Yocto. ¿Sirve?
Sí. El Quick Scan trabaja sobre la imagen final, sea de Yocto, Buildroot, Debian o Ubuntu Core. Con Yocto tenemos más contexto (manifest, buildhistory), pero no es imprescindible.
¿Cómo os envío el firmware?
Tras el pago recibes un enlace de subida cifrado y de un solo uso. Aceptamos .wic, .img, .ext4, .squashfs, rootfs en .tar y artefactos de Yocto. Nunca ejecutamos la imagen: solo la extraemos en un contenedor aislado.
¿Y el IVA si estoy fuera de España?
Empresas de la UE con número de IVA intracomunitario válido: inversión del sujeto pasivo, sin IVA en la factura. Fuera de la UE: sin IVA. En España: 21 %.
¿Firmáis un NDA?
Sí, el tuyo o el nuestro, antes de que nos envíes nada.
Cuéntanos tu producto
Dos líneas bastan. Te respondemos en menos de 24 horas laborables con una primera opinión: si el CRA te aplica, por dónde empezar y cuánto cuesta.
- Dónde
- Barcelona. Trabajamos en remoto con fabricantes de toda Europa.
- Idiomas
- Español e inglés.