V roce 2026 o 131% více nahlášených CVE denně než loni.

Software pro soulad s CRA, který začíná ve vašem buildu

CRACI automatizuje významnou část přehledu o dodavatelském řetězci a důkazů, které potřebuje váš proces pro Cyber Resilience Act: SBOM zaznamenané z každého buildu, monitorování zranitelností po vydání, obsah oznámení podle CRA připravený k podání a údaje o původu. Posouzení rizik, posouzení shody a prohlášení o shodě zůstávají na vás jako výrobci.

Rezervujte si demo Co je CRA? →

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

SBOM zaznamenané z buildu

CRA požaduje softwarový kusovník ve strojově čitelném formátu. CRACI ho zaznamená během release buildu v GitHub Actions: každý balíček, který job stáhl, včetně balíčků obnovených z cache CI, exportovaný jako CycloneDX nebo SPDX s tranzitivními závislostmi a deklarovanou licencí každé komponenty. SBOM každého jobu nese stav úplnosti, takže víte, zda je záznam celý.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

Řešení zranitelností po vydání

Výrobci řeší zranitelnosti po celou dobu podpory. CRACI průběžně znovu vyhodnocuje SBOM toho, co jste vydali, vůči novým zranitelnostem, agreguje nálezy napříč buildy a repozitáři a umožňuje bezpečnostním týmům provést triáž a předat nálezy týmům, které mají opravu na starosti. Podporuje VEX, monitoruje SBOM dodavatelů vedle vašich vlastních buildů a jeho pohled na inventář ukazuje, které verze softwaru jsou nasazeny ve kterých produktech.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Oznámení podle CRA připravená za vás

Od 11. září 2026 spouští aktivně zneužívaná zranitelnost odpočet: včasné varování do 24 hodin, oznámení do 72 hodin a závěrečná zpráva do 14 dnů od opravy. CRACI připraví obsah těchto oznámení a podá je osoba ve vaší společnosti prostřednictvím Single Reporting Platform. Oznamovací povinnost zůstává na vás; CRACI ukazuje, které produkty a vydání jsou zasaženy.

CRA notifications, prepared for you When a vulnerability is actively exploited, the CRA sets deadlines: an early warning within 24 hours, a notification within 72 hours and a final report 14 days after a fix is available. CRACI prepares their content; a person at the manufacturer submits them through the CRA Single Reporting Platform to the CSIRT and ENISA. Actively exploited vulnerability found Aware 24 hours Early warning 72 hours Notification Fix + 14 days Final report CRACI prepares the notification content You submit it through the Single Reporting Platform to the CSIRT and ENISA and shows which products and releases are affected What stays with you The reporting obligation itself Informing affected users Severe incidents: final report within one month

Důkazy pro posouzení shody

CRACI neprovádí posouzení shody. Shromažďuje technické důkazy, které k němu potřebujete: SBOM z doby buildu, záznamy o zranitelnostech a nápravě, údaje o původu a síťové stopy. SBOM se exportují jako CycloneDX nebo SPDX a zbytek je dostupný přes API. Postup posouzení, EU prohlášení o shodě a případný oznámený subjekt zůstávají procesem výrobce.

Evidence for the conformity assessment CRACI supplies technical evidence: build-time SBOMs, vulnerability and remediation records, provenance and network traces, with SBOMs exported as CycloneDX or SPDX and the rest returned by the API. The manufacturer uses it in the technical documentation, runs the conformity assessment, by self-assessment or with a notified body, draws up the EU declaration of conformity and applies the CE marking. CRACI supplies the evidence Build-time SBOMs Vulnerability records Provenance Network traces The manufacturer's process Technical documentation Conformity assessment: self-assessment or notified body EU declaration of conformity CE marking CRACI does not assess, certify or manage the assessment

Pro které povinnosti podle CRA dodává CRACI důkazy

Oznamovací povinnosti podle CRA platí od 11. září 2026, i pro produkty, které už jsou na trhu, a zbytek nařízení se použije od 11. prosince 2027. Zde je, co CRACI dělá u každé povinnosti, která se týká softwarového dodavatelského řetězce, a co zůstává procesem výrobce.

Povinnost Kde v CRA Co poskytuje CRACI Co zůstává na vás
Softwarový kusovník (SBOM) Příloha I, část II bod 1; příloha VII SBOM z každého jobu buildu, v CycloneDX nebo SPDX, s tranzitivními závislostmi, deklarovanými licencemi a stavem úplnosti. Vést ho v technické dokumentaci a na žádost ho poskytnout orgánu dozoru nad trhem.
Řešení zranitelností po dobu podpory Článek 13 odst. 8; příloha I, část II Průběžné monitorování vydaných SBOM, triáž a předávání odpovědným týmům, VEX a SBOM dodavatelů monitorované vedle vašich buildů. Stanovit dobu podpory, opravovat a vydávat bezpečnostní aktualizace a uplatňovat politiku koordinovaného zveřejňování zranitelností.
Oznamování zneužívaných zranitelností a závažných incidentů Článek 14 Připraví obsah včasného varování, oznámení a závěrečné zprávy, které podáte vy, a ukáže, které produkty a vydání jsou zasaženy. Samotná povinnost a informování dotčených uživatelů.
Náležitá péče u komponent třetích stran Článek 13 odst. 5 Záznam každého balíčku, který každý build stáhl, egress policy v síti buildu a monitorování SBOM dodavatelů. Výběr komponent a dodavatelů a jednání podle toho, co záznam ukazuje.
Technická dokumentace a sledovatelnost Článek 31; článek 13 odst. 13; příloha VII SBOM, síťové stopy a údaje o původu přes API a export SBOM jako CycloneDX nebo SPDX. Data se standardně uchovávají 180 dní, v plánu Enterprise s vlastní dobou uchování. Samotná technická dokumentace, uchovávaná nejméně 10 let nebo po dobu podpory, podle toho, co je delší.
Posouzení rizik a bezpečnostní požadavky na produkt Článek 13 odst. 2; příloha I, část I Nepokrývá. Posouzení kybernetických rizik a bezpečný návrh, například bezpečné výchozí nastavení, řízení přístupu a ochrana dat.
Posouzení shody, EU prohlášení o shodě, označení CE Články 28, 30 a 32 Pouze důkazy. CRACI posouzení neprovádí, necertifikuje ani ho neřídí. Provedení posouzení, s oznámeným subjektem tam, kde to třída produktu vyžaduje, a podpis prohlášení.

CRACI spouští vaše joby GitHub Actions na vlastních runnerech, a proto může build zaznamenat, místo aby ho skenoval dodatečně. Další systémy CI jsou v plánu vývoje.

Pro globální firmy působící v Evropě.

Podle Cyber Resilience Act se označení CE brzy bude vztahovat i na softwarové produkty: každý výrobce softwaru bude muset před prodejem v EU projít posouzením shody. CRACI vám pomůže připravit se, aniž by zpomalilo váš vývoj.

Compliance that ships with your code

Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.

New build triggered
15workflows initiated
5jobs completed

From detection to disclosure in 24 hours

When vulnerabilities are detected, CRACI helps you triage and document them, and prepares the CRA notifications your team submits within the required timeframe. Automated workflows ensure nothing falls through the cracks.

One place for everything CRA

Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.

Soulad s CRA: odpovědi

Co Cyber Resilience Act požaduje po výrobcích a kam zapadá CRACI

Co je soulad s CRA?

Soulad s CRA znamená, že produkt s digitálními prvky splňuje evropský Cyber Resilience Act, nařízení (EU) 2024/2847, když je uveden na trh EU a po celou dobu podpory. Pro výrobce to zahrnuje posouzení kybernetických rizik, základní požadavky z přílohy I, řešení zranitelností včetně SBOM, oznamování aktivně zneužívaných zranitelností a závažných incidentů, technickou dokumentaci, posouzení shody, EU prohlášení o shodě a označení CE.

Zajistí CRACI, že můj produkt bude v souladu s CRA?

To nedokáže žádný nástroj. Soulad je proces, který vede výrobce. CRACI automatizuje významnou část přehledu o dodavatelském řetězci a důkazů, které váš proces CRA potřebuje: SBOM z doby buildu, monitorování zranitelností, obsah oznámení podle CRA připravený k podání, údaje o původu a exportovatelné důkazy.

Co musí software pro soulad s CRA umět?

Po technické stránce: vytvořit důvěryhodný SBOM pro každé vydání, monitorovat ho kvůli novým zranitelnostem po celou dobu podpory, najít zasažené produkty dost rychle pro včasné varování do 24 hodin a uchovávat důkazy, které můžete předat úřadu. Po stránce řízení: namapovat požadavky na kontroly a sledovat posouzení rizik a posouzení shody. CRACI pokrývá technickou stránku u softwaru, který sestavujete v GitHub Actions.

Vyžaduje CRA SBOM?

Ano. Příloha I, část II bod 1 ukládá výrobcům vypracovat softwarový kusovník v běžně používaném a strojově čitelném formátu, který obsahuje přinejmenším nejdůležitější závislosti produktu. Patří do technické dokumentace, kterou si může vyžádat orgán dozoru nad trhem. CRA nevyžaduje, abyste ho zveřejnili.

Odkdy platí oznamovací povinnosti podle CRA?

Od 11. září 2026 a vztahují se i na produkty uvedené na trh před 11. prosincem 2027. Zbytek nařízení se použije od 11. prosince 2027.

Provádí CRACI posouzení shody?

Ne. CRACI neprovádí posouzení shody, neřídí proces posouzení, nevydává certifikáty ani nepůsobí jako oznámený subjekt. Dodává technické důkazy, které posouzení vyžaduje.

S kterými systémy CI CRACI funguje?

Dnes s GitHub Actions. Workflow přepnete na CRACI pomocí runs-on: craci a běhy se dál zobrazují v GitHubu. Další systémy CI, počínaje GitLab CI a Jenkinsem, jsou v plánu vývoje.

Podívejte se na důkazy pro CRA z jednoho z vašich buildů

Rezervujte si demo a projdeme s vámi SBOM, monitorování a oznamování, které CRACI vytvoří z release buildu v GitHub Actions

Rezervujte si demo