CRA-compliance-værktøjer sammenlignet

Hvem siden er til

Du fremstiller et produkt med digitale elementer og bringer det i omsætning på EU-markedet. Cyber Resilience Act, forordning (EU) 2024/2847, gælder for dig i etaper: rapporteringsforpligtelserne fra 11. september 2026 og hovedbestemmelserne fra 11. december 2027. Du er ved at vælge værktøjer til de tekniske dele af arbejdet. Vi bygger CRACI, så tag højde for det. Vi beskriver hvert værktøj ud fra dets egen dokumentation og siger, hvor et andet værktøj passer bedre.

Én regel går igen på hele siden. Compliance er en proces, som producenten driver, med risikovurdering, dokumentation og overensstemmelsesvurdering. Værktøjer producerer dokumentation og automatiserer dele af arbejdet. Ingen af værktøjerne nedenfor gør et produkt compliant alene.

Hvad CRA kræver

For softwareforsyningskæden står fem krav for det meste af arbejdet.

1. En SBOM. Producenter identificerer og dokumenterer komponenterne i produktet, "herunder ved at udarbejde en softwarestykliste i et almindeligt anvendt og maskinlæsbart format, der som minimum dækker produkternes afhængigheder på øverste niveau" (bilag I, del II). Bilag VII placerer den i den tekniske dokumentation, som en markedsovervågningsmyndighed kan anmode om.
2. Sårbarhedshåndtering. Håndtér og afhjælp sårbarheder uden forsinkelse, herunder gennem sikkerhedsopdateringer, test regelmæssigt, og hav en politik for koordineret offentliggørelse af sårbarheder (bilag I, del II).
3. Rapportering. Underret dit CSIRT og ENISA om aktivt udnyttede sårbarheder og alvorlige hændelser via CRA Single Reporting Platform: en tidlig varsling inden for 24 timer, en underretning inden for 72 timer og en endelig rapport senest 14 dage efter, at en rettelse eller afhjælpende foranstaltning er tilgængelig for en sårbarhed, eller inden for en måned for en alvorlig hændelse (artikel 14).
4. Dokumentation. Teknisk dokumentation, en overensstemmelsesvurdering og en EU-overensstemmelseserklæring (artikel 28, 31 og 32, bilag VII), som holdes tilgængelig for myndighederne i mindst 10 år efter, at produktet er bragt i omsætning, eller i supportperioden, hvis den er længere (artikel 13).
5. En supportperiode. En periode, der afspejler, hvor længe produktet forventes at være i brug, og som er mindst fem år, medmindre den forventede brug er kortere, og hvor sårbarheder håndteres effektivt (artikel 13).

Sådan vælger du

• Hvilken halvdel af arbejdet har du brug for hjælp til? Tekniske værktøjer producerer SBOM'en, sårbarhedsregistreringerne og dokumentationen fra buildet. Platforme til compliance management kobler krav til kontroller, udarbejder udkast til politikker og holder styr på processen. De fleste værktøjer er stærke i den ene halvdel, så afgør, hvilket hul der er størst.
• Bygger du softwaren selv, eller integrerer du den? Kommer meget af produktet fra chipleverandører og andre leverandører som binærfiler, er binæranalyse måden at se ind i det på. Bygger du det selv, er buildet den mest direkte kilde til dokumentation.
• Hvor kommer din SBOM fra, og hvordan ved du, at den er komplet? Scannere, forespørgsler til build-værktøjer og registrering af buildet kan give forskellige svar for den samme release.
• Kan du finde berørte releases på få timer? En tidlig varsling inden for 24 timer afhænger af et inventar pr. release, som du stoler på.
• Har du brug for et system of record? Med mange produkter og leverandører bliver SBOM-administration med VEX og deling en opgave i sig selv.

Overblik

To tabeller: først SBOM-, SCA- og SBOM-administrationsværktøjer, derefter værktøjer bygget til firmware og enheder. Rækkerne følger kravene ovenfor. "Ikke oplyst" betyder, at de leverandørsider, vi henviser til, ikke siger noget om det.

SBOM, SCA og SBOM-administration

Firmware og enheder

CRACI

CRACI er en GitHub Actions-runner. For software, du bygger, registrerer den, hvad hvert job hentede, inklusive pakker gendannet fra CI-caches, og producerer en CycloneDX- eller SPDX-SBOM med en fuldstændighedsstatus pr. job og pr. cache. Den genvurderer løbende SBOM'erne for det, der er leveret, understøtter VEX og indsender CRA-underretningerne på dine vegne, når en aktivt udnyttet sårbarhed skal rapporteres. For Yocto registrerer den det, som Yoctos eget SPDX-output udelader. Hjælper med: SBOM-generering, sårbarhedshåndtering, CRA-underretninger, dokumentation. Vær opmærksom på: Den analyserer ikke binærfiler, du ikke selv har bygget, har ingen kobling til kontroller eller politikstyring og understøtter GitHub Actions i dag (GitLab CI og Jenkins er på roadmappen). CRA-compliance med CRACI

SBOM-administration

Cybeats

Cybeats SBOM Studio kalder sig selv "the SBOM system of record". Det opbevarer SBOM'er fra dine produkter og leverandører i SPDX 2.2 til 3.0.1 og CycloneDX 1.2 til 1.7, validerer dem med en Quality Score før import, matcher hver komponent mod sårbarhedsdata, udsteder VEX og deler SBOM'er med kunder, herunder via Transparency Exchange API. Dets vejledning om regulering beskriver CRA's tidslinje med 24 timer, 72 timer og 14 dage. Hjælper med: SBOM-administration, sårbarhedshåndtering, dokumentation. Vær opmærksom på: Til generering henviser det til leverandører i sin Marketplace, så selve SBOM'en kommer fra et andet værktøj. CRACI vs. Cybeats og alternativer til Cybeats

FOSSA

FOSSA begyndte med licens-compliance og dækker nu hele SBOM-livscyklussen. Det genererer SPDX- og CycloneDX-SBOM'er, eventuelt med VDR- eller VEX-erklæringer, importerer leverandørers SBOM'er med politikker for NTIA's og FDA's minimumselementer, overvåger dem for sårbarheder og deler dem via en SBOM Portal på Enterprise. Pr. september 2026 har det en gratis plan, og Business koster $20 pr. projekt om måneden ved årlig fakturering. Hjælper med: SBOM, deling med myndigheder, licenser. Vær opmærksom på: FOSSA CLI analyserer projektet via dets build-værktøj eller udleder fra kildekoden i stedet for at registrere buildet. CRACI vs. FOSSA

Anchore

Anchore Enterprise bygger på open source-værktøjerne Syft og Grype. Det scanner container-images, filsystemer og importerede SBOM'er, genscanner gemte SBOM'er uden det oprindelige artefakt, anvender politikpakker som FedRAMP og NIST og kører self-hosted, også air-gapped. Dets CRA-materiale dækker SBOM-administration, overvågning mod kilder som CISA KEV, understøttelse af vinduerne på 24 og 72 timer, VEX-annotationer og audit trails. Hjælper med: SBOM, sårbarhedshåndtering, dokumentation. Vær opmærksom på: Dets SBOM'er beskriver, hvad en scanner finder i et image eller en mappe, ikke hvad buildet hentede og efterlod. CRACI vs. Anchore

SCA-suiter

Black Duck

Black Duck SCA kombinerer scanning af pakkehåndtering, signaturer, snippets og binærfiler, så det finder open source, som ingen har deklareret, og dets KnowledgeBase følger mere end 2.750 licenser. Binary Analysis undersøger firmware uden kildekode, Coverity leverer SAST med en CRA-tilpasset checker-mulighed, der blev annonceret i juli 2026, og Defensics udfører fuzz-testing. Black Duck argumenterer for, at CRA kræver flere lag af test, ikke kun SCA. Hjælper med: SBOM, sårbarhedshåndtering for komponenter og din egen kode, test. Vær opmærksom på: Prisen er efter tilbud, og alle teknikker inspicerer kode eller output frem for buildet. CRACI vs. Black Duck

Sonatype

Sonatype Lifecycle anvender open source-politik med data om reachability og opgraderinger og åbner Golden Pull Requests. Repository Firewall sætter komponenter, der ikke overholder politikken, i karantæne, før de kommer ind i dine repositories. SBOM Manager importerer, overvåger og deler SBOM'er med et VEX-workflow, og Sonatype positionerer det som sit CRA-produkt; dets guide peger også på Nexus Repository som opdateringssted for sikkerhedsopdateringer. Hjælper med: sårbarhedshåndtering, SBOM-administration, at holde dårlige komponenter ude. Vær opmærksom på: Produktpakkerne er ved at ændre sig (nye kunder køber Sonatype Guide), og Lifecycle analyserer det, buildet producerede, frem for det, det hentede. CRACI vs. Sonatype

Firmware og enheder

ONEKEY

ONEKEY analyserer kompileret firmware "uden behov for kildekode eller netværksadgang". Det genererer en SBOM ud fra binærfilen, importerer leverandørers SBOM'er, leder efter sandsynlige zero-days som hardcodede credentials og genanalyserer firmware dagligt. Dets Compliance Wizard guider teams gennem CRA, IEC 62443-4-2, ETSI EN 303 645 og Radio Equipment Directive. Hjælper med: SBOM for firmware, du ikke selv har bygget, sårbarhedshåndtering, guidede kontroller. Vær opmærksom på: Det arbejder på imaget efter buildet, så det registrerer ikke, hvad buildet hentede. CRACI vs. ONEKEY og alternativer til ONEKEY

Finite State

Finite State analyserer firmware, binærfiler, kildekode og leverandørers SBOM'er med understøttelse af mere end 50 binære instruktionssætarkitekturer og samler dem i én produktregistrering. Det rangerer fund efter reachability og exploit-data, registrerer VEX-beslutninger, og dets compliance-workflow dækker kobling af CRA-kontroller og revisionsklare rapporter med SBOM- og VEX-artefakter. Hjælper med: SBOM på tværs af leverandører, triage af sårbarheder, dokumentation. Vær opmærksom på: Det starter fra artefakter, så kontrol med, hvad dit eget build kunne nå, ligger uden for dets område. CRACI vs. Finite State og alternativer til Finite State

Exein

Exein arbejder på enheden. Exein Runtime bruger eBPF til at overvåge og blokere ondsindet adfærd på embedded Linux, og Yocto-laget meta-exein, der er open source, lægger dets Pulsar-agent ind i dit image. Exein Analyzer scanner firmware før release, eller din SBOM, når binærfilen ikke er tilgængelig, prioriterer med reachability-scoring og kobler fund til CRA-krav. Hjælper med: sårbarhedshåndtering i felten, firmware-SBOM, kobling til CRA. Vær opmærksom på: Yocto-laget ændrer, hvad der kører på enheden; det kører eller registrerer ikke dit build. CRACI vs. Exein

Platforme til compliance management

Disse værktøjer genererer ikke SBOM'er og scanner ikke kode. De arbejder på governance-halvdelen: at koble CRA's krav til kontroller, udarbejde udkast til politikker og holde styr på frister og godkendelser. De har brug for teknisk dokumentation fra andre steder.

Venvera

Venvera er en compliance-platform bygget i EU, der dækker CRA side om side med NIS2, DORA, ISO 27001 og SOC 2. For CRA holder den styr på rapporteringsfristerne på 24 og 72 timer, sårbarhedshåndtering, SBOM'en som et løbende vedligeholdt krav, vejen til overensstemmelsesvurdering pr. produktklasse og den tekniske dokumentation efter bilag VII samt EU-overensstemmelseserklæringen. Hjælper med: kobling til kontroller, rapporteringsfrister, opfølgning på overensstemmelsesprocessen. Vær opmærksom på: Den holder styr på, at en SBOM findes og vedligeholdes; selve SBOM'en kommer fra et andet værktøj.

ZeroRisk

ZeroRisk er en agentbaseret compliance-platform, der dækker GDPR, ISO 27001, SOC 2, NIS2, DORA og CRA. For CRA kobler dens agent kravene til din organisation, udfylder på forhånd en parathedsvurdering, udarbejder udkast til manglende kontroller og politikker og overvåger leverandørerne i dine produkter, kontrolleret igen hver 24. time, med menneskelig godkendelse af hver konklusion. Hjælper med: parathed, politikker, leverandørsikring. Vær opmærksom på: Dens CRA-side nævner ikke SBOM-generering eller sårbarhedsovervågning af dine egne builds.

Rapportering inden for fristerne

Artikel 14 lægger underretningen på producenten, og den har gældt siden 11. september 2026, også for produkter, der allerede er på markedet. Det, værktøjer kan gøre, er at forkorte tiden mellem "denne sårbarhed bliver udnyttet" og "vi ved, hvilke produkter og releases der indeholder den". Det afhænger af inventarer pr. release, som du stoler på, løbende overvågning og en kobling fra hvert leveret artefakt til dets komponenter. Anchore og Cybeats beskriver rapporteringsvinduerne i deres CRA-materiale, Venvera holder styr på fristerne, og binæranalyse fra ONEKEY, Finite State eller Exein dækker leverandørkode, du ikke kan genopbygge. CRACI's API returnerer SBOM'er, netværkstraces og provenance, og CRACI indsender den tidlige varsling, underretningen og den endelige rapport på producentens vegne.

Sådan passer CRACI ind

CRACI er en GitHub Actions-runner. For software, du bygger, registrerer den, hvad hvert job hentede, inklusive pakker gendannet fra CI-caches, og producerer en CycloneDX- eller SPDX-SBOM med en fuldstændighedsstatus pr. job og pr. cache. Den håndhæver en egress-politik på buildet, genvurderer løbende SBOM'erne for det, der er leveret, understøtter VEX og eksporterer SBOM'er i CycloneDX eller SPDX, inklusive sårbarheder, til din CRA-dokumentation. Når en aktivt udnyttet sårbarhed skal rapporteres, indsender CRACI CRA-underretningerne på dine vegne. Til Yocto kører den BitBake på runnere med op til 32 vCPU og 96 GB RAM og registrerer det, som Yoctos eget SPDX-output udelader, såsom værtspakker og package URLs for Rust-crates. CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces.

Det er ikke nok alene, hvis det meste af dit produkt kommer fra leverandører som binærfiler, eller hvis du har brug for guidede kontroller mod standarder, kobling til kontroller og politikstyring, beskyttelse på enheden eller andre CI-systemer end GitHub Actions i dag (GitLab CI og Jenkins er på roadmappen). For de builds, du ejer, dækker CRACI SBOM'en, overvågningen og CRA-underretningerne i ét produkt; for firmware, du ikke kan genopbygge, ser binæranalyse det, dit build aldrig så. Læs, hvad CRA er, og se CRA-compliance og industriel IoT.

CRA-compliance-værktøjer: ofte stillede spørgsmål

Hvad CRA-compliance-software gør, og hvad der forbliver producentens ansvar

Hvad er CRA-compliance-software?

Software, der hjælper en producent med at opfylde Cyber Resilience Act. Den findes i to slags: tekniske værktøjer, der producerer SBOM'en, sårbarhedsregistreringerne og dokumentationen fra buildet, og platforme til compliance management, der kobler kravene til kontroller og holder styr på rapporteringsfristerne, risikovurderingen og overensstemmelsesvurderingen. Ingen af dem gør et produkt compliant alene.

Hvilke CRA-forpligtelser kan et værktøj automatisere?

Primært sårbarhedshåndteringen: at generere SBOM'en, overvåge den for nye sårbarheder, finde berørte releases, registrere triage- og VEX-beslutninger, forberede og indsende underretningerne efter artikel 14 og eksportere dokumentation til den tekniske dokumentation. Risikovurderingen, det sikre design, overensstemmelsesvurderingen og overensstemmelseserklæringen forbliver producentens beslutninger.

Har jeg brug for ét værktøj eller flere?

Som regel mere end ét. Et teknisk værktøj giver dig SBOM'en og dokumentationen for sårbarheder; en platform til compliance management eller en konsulent dækker kontroller, politikker og vejen til overensstemmelse. For firmware, du modtager fra leverandører som binærfiler, tilføjer binæranalyse det, dit eget build ikke kan se.

Hvad er fristen for CRA-rapportering?

Artikel 14 har gældt siden 11. september 2026: en tidlig varsling senest 24 timer efter, at du er blevet opmærksom på en aktivt udnyttet sårbarhed, en underretning inden for 72 timer og en endelig rapport senest 14 dage efter, at en rettelse eller afhjælpende foranstaltning er tilgængelig. Den omfatter produkter, der allerede er på markedet. Resten af CRA gælder fra 11. december 2027.

Indsender CRACI CRA-underretninger?

Ja. CRACI indsender den tidlige varsling, underretningen og den endelige rapport på producentens vegne. Rapporteringsforpligtelsen forbliver hos producenten.

Udfører et værktøj CRA-overensstemmelsesvurderingen?

Intet softwareværktøj erstatter den. Producenten udfører vurderingen, ved intern kontrol eller, for vigtige og kritiske produkter, med et bemyndiget organ eller en certificeringsordning, hvor CRA kræver det. Værktøjer leverer den dokumentation, vurderingen bygger på.