Srovnání nástrojů pro soulad s CRA

Pro koho je tato stránka

Vyrábíte produkt s digitálními prvky a uvádíte ho na trh EU. Cyber Resilience Act, nařízení (EU) 2024/2847, se na vás vztahuje postupně: jeho oznamovací povinnosti od 11. září 2026 a hlavní ustanovení od 11. prosince 2027. Vybíráte nástroje pro technické části této práce. CRACI vyvíjíme my, berte to tedy v úvahu. Každý nástroj popisujeme podle jeho vlastní dokumentace a říkáme, kde se hodí lépe jiný nástroj.

Celou stránkou se táhne jedno pravidlo. Soulad je proces, který vede výrobce, s posouzením rizik, dokumentací a posouzením shody. Nástroje vytvářejí důkazy a automatizují části práce. Žádný z níže uvedených nástrojů sám o sobě produkt do souladu nedostane.

Co CRA požaduje

Pro softwarový dodavatelský řetězec odvádí většinu práce pět požadavků.

1. SBOM. Výrobci identifikují a dokumentují komponenty produktu, „mj. na základě vypracování softwarového kusovníku (SBOM) v běžně používaném strojově čitelném formátu, který obsahuje přinejmenším nejdůležitější závislosti produktu“ (příloha I, část II). Příloha VII ho řadí do technické dokumentace, kterou si může vyžádat orgán dozoru nad trhem.
2. Řešení zranitelností. Řešit a odstraňovat zranitelnosti bez zbytečného odkladu, mimo jiné prostřednictvím bezpečnostních aktualizací, pravidelně testovat a uplatňovat politiku koordinovaného zveřejňování zranitelností (příloha I, část II).
3. Oznamování. Oznamovat aktivně zneužívané zranitelnosti a závažné incidenty vašemu CSIRT a agentuře ENISA prostřednictvím Single Reporting Platform (jednotné platformy pro podávání zpráv) podle CRA: včasné varování do 24 hodin, oznámení do 72 hodin a závěrečná zpráva nejpozději 14 dní poté, co je pro zranitelnost k dispozici oprava nebo zmírňující opatření, nebo do jednoho měsíce u závažného incidentu (článek 14).
4. Důkazy. Technická dokumentace, posouzení shody a EU prohlášení o shodě (články 28, 31 a 32, příloha VII), které musí být orgánům k dispozici nejméně 10 let po uvedení produktu na trh nebo po dobu podpory, podle toho, co je delší (článek 13).
5. Doba podpory. Doba, která odráží, jak dlouho se očekává používání produktu, nejméně pět let, pokud očekávané používání není kratší, během níž se zranitelnosti účinně řeší (článek 13).

Jak vybírat

• S kterou polovinou práce potřebujete pomoct? Technické nástroje vytvářejí SBOM, záznamy o zranitelnostech a důkazy z buildu. Platformy pro řízení souladu mapují požadavky na kontroly, připravují návrhy politik a hlídají proces. Většina nástrojů je silná v jedné polovině, takže se rozhodněte, která mezera je větší.
• Software sestavujete, nebo integrujete? Pokud velká část produktu přichází od výrobců čipů a dodavatelů jako binárky, binární analýza je způsob, jak do ní nahlédnout. Pokud ho sestavujete sami, je build nejpřímějším zdrojem důkazů.
• Odkud pochází vaše SBOM a jak víte, že je úplná? Skenery, dotazy na nástroje pro build a záznam buildu mohou pro stejné vydání dát různé odpovědi.
• Dokážete dotčená vydání najít během hodin? Včasné varování do 24 hodin závisí na inventáři pro každé vydání, kterému věříte.
• Potřebujete evidenční systém? Při mnoha produktech a dodavatelích se správa SBOM s VEX a sdílením stává samostatnou prací.

Přehled

Dvě tabulky: nejdřív nástroje SBOM, SCA a pro správu SBOM, potom nástroje určené pro firmware a zařízení. Řádky odpovídají požadavkům výše. „Neuvedeno“ znamená, že stránky dodavatelů, které citujeme, to neuvádějí ani jedním směrem.

SBOM, SCA a správa SBOM

Firmware a zařízení

CRACI

CRACI je runner pro GitHub Actions. U softwaru, který sestavujete, zaznamenává, co každý job stáhl, včetně balíčků obnovených z cache CI, a vytváří SBOM ve formátu CycloneDX nebo SPDX se stavem úplnosti pro každý job a každou cache. Průběžně znovu vyhodnocuje SBOM toho, co bylo dodáno, podporuje VEX a připravuje obsah oznámení podle CRA, který pak podáváte vy, když je třeba oznámit aktivně zneužívanou zranitelnost. U Yocta zaznamenává to, co vynechává vlastní výstup SPDX z Yocta. Pomáhá s: generováním SBOM, řešením zranitelností, oznámeními podle CRA, důkazy. Pozor: neanalyzuje binárky, které jste nesestavili, nemá mapování kontrol ani správu politik a dnes podporuje GitHub Actions (GitLab CI a Jenkins jsou v plánu vývoje). Soulad s CRA s CRACI

Správa SBOM

Cybeats

Cybeats SBOM Studio o sobě říká, že je „evidenčním systémem pro SBOM“. Ukládá SBOM vašich produktů a dodavatelů ve formátech SPDX 2.2 až 3.0.1 a CycloneDX 1.2 až 1.7, před importem je ověřuje pomocí Quality Score, páruje každou komponentu s daty o zranitelnostech, vydává VEX a sdílí SBOM se zákazníky, mimo jiné přes Transparency Exchange API. Jeho průvodce předpisy popisuje harmonogram CRA s lhůtami 24 hodin, 72 hodin a 14 dní. Pomáhá s: správou SBOM, řešením zranitelností, důkazy. Pozor: pro generování odkazuje na dodavatele ve svém Marketplace, takže samotná SBOM pochází z jiného nástroje. CRACI vs Cybeats a Alternativy ke Cybeats

FOSSA

FOSSA začínala u souladu s licencemi a dnes pokrývá celý životní cyklus SBOM. Generuje SBOM ve formátech SPDX a CycloneDX, volitelně s prohlášeními VDR nebo VEX, importuje SBOM od dodavatelů s politikami pro minimální prvky NTIA a FDA, monitoruje je na zranitelnosti a v plánu Enterprise je sdílí přes SBOM Portal. K září 2026 má bezplatný plán a Business stojí $20 za projekt měsíčně při ročním účtování. Pomáhá s: SBOM, sdílením s úřady, licencemi. Pozor: FOSSA CLI analyzuje projekt přes jeho nástroj pro build nebo odvozuje ze zdrojového kódu, místo aby build zaznamenávalo. CRACI vs FOSSA

Anchore

Anchore Enterprise staví na open source nástrojích Syft a Grype. Skenuje image kontejnerů, souborové systémy a importované SBOM, znovu skenuje uložené SBOM bez původního artefaktu, uplatňuje balíčky politik jako FedRAMP a NIST a lze ho provozovat u sebe, včetně prostředí air-gapped. Jeho materiály k CRA pokrývají správu SBOM, monitorování proti zdrojům včetně CISA KEV, podporu 24hodinové a 72hodinové lhůty, anotace VEX a auditní stopy. Pomáhá s: SBOM, řešením zranitelností, důkazy. Pozor: jeho SBOM popisují, co skener najde v image nebo adresáři, ne co build stáhl a zase zahodil. CRACI vs Anchore

Sady SCA

Black Duck

Black Duck SCA kombinuje skenování správců balíčků, signatur, snippetů a binárek, takže najde open source, který nikdo nedeklaroval, a jeho KnowledgeBase sleduje více než 2 750 licencí. Binary Analysis zkoumá firmware bez zdrojového kódu, Coverity poskytuje SAST s volbou checkerů sladěných s CRA ohlášenou v červenci 2026 a Defensics provádí fuzz testování. Black Duck tvrdí, že CRA vyžaduje vrstvy testování, ne jen SCA. Pomáhá s: SBOM, řešením zranitelností v komponentách i ve vašem vlastním kódu, testováním. Pozor: cena je na vyžádání a každá technika zkoumá kód nebo výstup, ne build. CRACI vs Black Duck

Sonatype

Sonatype Lifecycle uplatňuje politiky pro open source s daty o dosažitelnosti a aktualizacích a otevírá Golden Pull Requests. Repository Firewall dává do karantény komponenty, které nesplní politiku, ještě než se dostanou do vašich repozitářů. SBOM Manager importuje, monitoruje a sdílí SBOM s workflow pro VEX a Sonatype ho staví jako svůj produkt pro CRA; jeho průvodce také odkazuje na Nexus Repository jako místo pro distribuci bezpečnostních aktualizací. Pomáhá s: řešením zranitelností, správou SBOM, udržením špatných komponent venku. Pozor: nabídka se mění (noví zákazníci kupují Sonatype Guide) a Lifecycle analyzuje, co build vytvořil, ne co stáhl. CRACI vs Sonatype

Firmware a zařízení

ONEKEY

ONEKEY analyzuje kompilovaný firmware „bez potřeby zdrojového kódu nebo přístupu k síti“. Generuje SBOM z binárky, importuje SBOM od dodavatelů, hledá pravděpodobné zero-day zranitelnosti, například napevno zapsané přihlašovací údaje, a firmware denně znovu analyzuje. Jeho Compliance Wizard provádí týmy požadavky CRA, IEC 62443-4-2, ETSI EN 303 645 a směrnice o rádiových zařízeních. Pomáhá s: SBOM pro firmware, který jste nesestavili, řešením zranitelností, řízenými kontrolami. Pozor: pracuje s image až po buildu, takže nezaznamenává, co build stáhl. CRACI vs ONEKEY a Alternativy k ONEKEY

Finite State

Finite State analyzuje firmware, binárky, zdrojový kód a SBOM od dodavatelů s podporou více než 50 binárních architektur instrukčních sad a spojuje je do jednoho záznamu o produktu. Řadí nálezy podle dosažitelnosti a informací o exploitech, zaznamenává rozhodnutí VEX a jeho workflow pro soulad pokrývá mapování kontrol CRA a reporty připravené pro audit s artefakty SBOM a VEX. Pomáhá s: SBOM napříč dodavateli, triáží zranitelností, důkazy. Pozor: vychází z artefaktů, takže kontrola toho, kam se mohl dostat váš vlastní build, je mimo jeho záběr. CRACI vs Finite State a Alternativy k Finite State

Exein

Exein pracuje na zařízení. Exein Runtime pomocí eBPF monitoruje a blokuje škodlivé chování na embedded Linuxu a open source vrstva Yocto meta-exein vkládá jeho agenta Pulsar do vašeho image. Exein Analyzer skenuje firmware před vydáním, nebo vaši SBOM, když binárka není k dispozici, prioritizuje pomocí hodnocení dosažitelnosti a mapuje nálezy na požadavky CRA. Pomáhá s: řešením zranitelností v provozu, SBOM firmwaru, mapováním na CRA. Pozor: vrstva Yocto mění, co na zařízení běží; váš build nespouští ani nezaznamenává. CRACI vs Exein

Platformy pro řízení souladu

Tyto nástroje negenerují SBOM ani neskenují kód. Pracují na polovině týkající se řízení: mapují požadavky CRA na kontroly, připravují návrhy politik a hlídají termíny a schválení. Technické důkazy potřebují odjinud.

Venvera

Venvera je platforma pro soulad vyvinutá v EU, která pokrývá CRA vedle NIS2, DORA, ISO 27001 a SOC 2. U CRA hlídá 24hodinovou a 72hodinovou lhůtu pro oznamování, řešení zranitelností, SBOM jako udržovaný požadavek, cestu posouzení shody pro každou třídu produktu a technickou dokumentaci podle přílohy VII a EU prohlášení o shodě. Pomáhá s: mapováním kontrol, lhůtami pro oznamování, sledováním procesu posouzení shody. Pozor: sleduje, že SBOM existuje a je udržovaná; samotná SBOM pochází z jiného nástroje.

ZeroRisk

ZeroRisk je agentní platforma pro soulad, která pokrývá GDPR, ISO 27001, SOC 2, NIS2, DORA a CRA. U CRA její agent mapuje požadavky na vaši organizaci, předvyplní posouzení připravenosti, připraví návrhy chybějících kontrol a politik a monitoruje dodavatele ve vašich produktech, s novou kontrolou každých 24 hodin a se schválením každého závěru člověkem. Pomáhá s: připraveností, politikami, ověřováním dodavatelů. Pozor: její stránka o CRA nezmiňuje generování SBOM ani monitorování zranitelností vašich vlastních buildů.

Oznamování ve lhůtách

Článek 14 ukládá oznamování výrobci a platí od 11. září 2026, i pro produkty, které už jsou na trhu. Nástroje mohou zkrátit dobu mezi „tato zranitelnost je zneužívána“ a „víme, které produkty a vydání ji obsahují“. To závisí na inventářích pro každé vydání, kterým věříte, průběžném monitorování a propojení každého dodaného artefaktu s jeho komponentami. Anchore a Cybeats popisují lhůty pro oznamování ve svých materiálech k CRA, Venvera hlídá lhůty a binární analýza od ONEKEY, Finite State nebo Exein pokrývá kód dodavatelů, který nemůžete znovu sestavit. API CRACI vrací SBOM, síťové záznamy a údaje o původu a CRACI připravuje obsah včasného varování, oznámení a závěrečné zprávy, které pak podává výrobce.

Jak zapadá CRACI

CRACI je runner pro GitHub Actions. U softwaru, který sestavujete, zaznamenává, co každý job stáhl, včetně balíčků obnovených z cache CI, a vytváří SBOM ve formátu CycloneDX nebo SPDX se stavem úplnosti pro každý job a každou cache. Vynucuje politiku odchozího provozu u buildu, průběžně znovu vyhodnocuje SBOM toho, co bylo dodáno, podporuje VEX a exportuje SBOM ve formátu CycloneDX nebo SPDX včetně zranitelností pro vaše důkazy pro CRA. Když je třeba oznámit aktivně zneužívanou zranitelnost, CRACI připraví obsah oznámení podle CRA, který pak podáváte vy. U Yocta spouští BitBake na runnerech až s 32 vCPU a 96 GB RAM a zaznamenává to, co vynechává vlastní výstup SPDX z Yocta, například balíčky hostitele a package URL pro crates v Rustu. Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA.

Sám o sobě nestačí, pokud většina vašeho produktu přichází od dodavatelů jako binárky, nebo pokud potřebujete řízené kontroly podle norem, mapování kontrol a správu politik, ochranu na zařízení nebo jiné systémy CI než GitHub Actions už dnes (GitLab CI a Jenkins jsou v plánu vývoje). Pro buildy, které vlastníte, pokrývá CRACI SBOM, monitorování a oznámení podle CRA v jednom produktu; u firmwaru, který nemůžete znovu sestavit, vidí binární analýza to, co váš build nikdy neviděl. Viz co je CRA, soulad s CRA a průmyslový IoT.

Nástroje pro soulad s CRA: časté dotazy

Co software pro soulad s CRA dělá a co zůstává na výrobci

Co je software pro soulad s CRA?

Software, který výrobci pomáhá splnit Cyber Resilience Act. Existuje ve dvou podobách: technické nástroje, které vytvářejí SBOM, záznamy o zranitelnostech a důkazy z buildu, a platformy pro řízení souladu, které mapují požadavky na kontroly a hlídají lhůty pro oznamování, posouzení rizik a posouzení shody. Žádný z nich sám o sobě produkt do souladu nedostane.

Které povinnosti podle CRA může nástroj automatizovat?

Hlavně stránku řešení zranitelností: generování SBOM, její monitorování na nové zranitelnosti, hledání dotčených vydání, záznam triáže a rozhodnutí VEX, přípravu oznámení podle článku 14 a export důkazů pro technickou dokumentaci. Posouzení rizik, bezpečný návrh, posouzení shody a EU prohlášení o shodě zůstávají rozhodnutím výrobce.

Potřebuji jeden nástroj, nebo několik?

Obvykle víc než jeden. Technický nástroj vám dá SBOM a důkazy o zranitelnostech; platforma pro řízení souladu nebo konzultant pokryje kontroly, politiky a cestu posouzení shody. U firmwaru, který od dodavatelů dostáváte jako binárky, doplní binární analýza to, co váš vlastní build nevidí.

Jaká je lhůta pro oznamování podle CRA?

Článek 14 platí od 11. září 2026: včasné varování do 24 hodin od zjištění aktivně zneužívané zranitelnosti, oznámení do 72 hodin a závěrečná zpráva nejpozději 14 dní poté, co je k dispozici oprava nebo zmírňující opatření. Vztahuje se i na produkty, které už jsou na trhu. Zbytek CRA platí od 11. prosince 2027.

Vyřizuje CRACI oznámení podle CRA?

Připravuje je. CRACI připravuje obsah včasného varování, oznámení a závěrečné zprávy; podává je osoba na straně výrobce prostřednictvím Single Reporting Platform. Oznamovací povinnost zůstává na výrobci.

Provádí nějaký nástroj posouzení shody podle CRA?

Žádný softwarový nástroj ho nenahradí. Posouzení provádí výrobce, a to interní kontrolou, nebo u důležitých a kritických produktů s oznámeným subjektem či certifikačním schématem tam, kde to CRA vyžaduje. Nástroje dodávají důkazy, které posouzení využívá.