Software til CRA-overholdelse, der starter i dit build
CRACI automatiserer en væsentlig del af den synlighed i forsyningskæden og den dokumentation, din proces for Cyber Resilience Act har brug for: SBOM'er registreret fra hvert build, sårbarhedsovervågning efter levering, CRA-underretninger indsendt på dine vegne og provenance-data. Risikovurderingen, overensstemmelsesvurderingen og overensstemmelseserklæringen forbliver hos dig som producent.
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
SBOM'er registreret fra buildet
CRA kræver en softwarestykliste i et maskinlæsbart format. CRACI registrerer en, mens dit release-build i GitHub Actions kører: hver pakke, jobbet hentede, inklusive pakker gendannet fra CI-caches, eksporteret som CycloneDX eller SPDX med transitive afhængigheder og hver komponents deklarerede licens. Hvert jobs SBOM har en fuldstændighedsstatus, så du ved, om registreringen er komplet.
Håndtering af sårbarheder efter levering
Producenter håndterer sårbarheder i hele supportperioden. CRACI genvurderer løbende SBOM'erne for det, du har leveret, mod nye sårbarheder, samler fund på tværs af builds og repositories og lader sikkerhedsteams triagere dem og sende dem videre til de teams, der ejer rettelsen. Det understøtter VEX, overvåger leverandørers SBOM'er side om side med dine egne builds, og inventarvisningen viser, hvilke softwareversioner der er udrullet på hvilke produkter.
CRA-underretninger, indsendt for dig
Siden 11. september 2026 sætter en aktivt udnyttet sårbarhed et ur i gang: en tidlig varsling inden for 24 timer, en underretning inden for 72 timer og en endelig rapport inden for 14 dage efter en rettelse. CRACI indsender disse underretninger til myndighederne på dine vegne. Rapporteringsforpligtelsen forbliver din; CRACI står for indsendelsen og viser, hvilke produkter og releases der er ramt.
Dokumentation til overensstemmelsesvurdering
CRACI udfører ikke overensstemmelsesvurderinger. Det indsamler den tekniske dokumentation, der skal bruges: build-time SBOM'er, registreringer af sårbarheder og afhjælpning, provenance og netværkstraces. SBOM'er eksporteres som CycloneDX eller SPDX, og resten kommer via API'et. Vurderingsproceduren, overensstemmelseserklæringen og et eventuelt bemyndiget organ forbliver producentens proces.
De CRA-forpligtelser, CRACI leverer dokumentation til
CRA's rapporteringsforpligtelser har gældt siden 11. september 2026, også for produkter, der allerede er på markedet, og resten af forordningen gælder fra 11. december 2027. Her kan du se, hvad CRACI gør for hver forpligtelse, der berører softwareforsyningskæden, og hvad der forbliver producentens proces.
| Forpligtelse | Hvor i CRA | Det leverer CRACI | Det forbliver hos dig |
|---|---|---|---|
| Softwarestykliste | Bilag I, del II, nr. 1; bilag VII | En SBOM fra hvert build-job i CycloneDX eller SPDX med transitive afhængigheder, deklarerede licenser og en fuldstændighedsstatus. | At have den med i den tekniske dokumentation og udlevere den til en markedsovervågningsmyndighed efter anmodning. |
| Håndtering af sårbarheder i supportperioden | Artikel 13, stk. 8; bilag I, del II | Løbende overvågning af leverede SBOM'er, triage og videresendelse til de ansvarlige teams, VEX og leverandørers SBOM'er overvåget side om side med dine builds. | At fastsætte supportperioden, rette og levere sikkerhedsopdateringer og have en politik for koordineret offentliggørelse af sårbarheder. |
| Indberetning af udnyttede sårbarheder og alvorlige hændelser | Artikel 14 | Indsender den tidlige varsling, underretningen og den endelige rapport på dine vegne og viser, hvilke produkter og releases der er ramt. | Selve forpligtelsen og at informere de berørte brugere. |
| Due diligence for tredjepartskomponenter | Artikel 13, stk. 5 | En registrering af hver pakke, hvert build hentede, en egress-politik på buildnetværket og overvågning af leverandørers SBOM'er. | At vælge komponenter og leverandører og handle på det, registreringen viser. |
| Teknisk dokumentation og sporbarhed | Artikel 31; artikel 13, stk. 13; bilag VII | SBOM'er, netværkstraces og provenance-data via API'et samt SBOM-eksport som CycloneDX eller SPDX. Data opbevares som standard i 180 dage med tilpasset opbevaringsperiode på Enterprise. | Selve den tekniske dokumentation, opbevaret i mindst 10 år eller supportperioden, alt efter hvad der er længst. |
| Risikovurdering og sikkerhedskrav til produktet | Artikel 13, stk. 2; bilag I, del I | Ikke dækket. | Cybersikkerhedsrisikovurderingen og sikkert design, som sikre standardindstillinger, adgangskontrol og databeskyttelse. |
| Overensstemmelsesvurdering, overensstemmelseserklæring, CE-mærkning | Artikel 28, 30 og 32 | Kun dokumentation. CRACI vurderer, certificerer eller styrer ikke vurderingen. | At gennemføre vurderingen, med et bemyndiget organ, hvor produktklassen kræver det, og underskrive erklæringen. |
CRACI kører dine GitHub Actions-jobs på sine egne runnere, og derfor kan det registrere buildet i stedet for at scanne det bagefter. Andre CI-systemer er på roadmappen.
Skabt til globale virksomheder, der opererer i Europa.
Med Cyber Resilience Act kommer CE-mærkningen snart til at omfatte softwareprodukter: Hver softwareproducent skal bestå en overensstemmelsesvurdering, før der kan sælges i EU. CRACI gør dig klar uden at sinke din udvikling.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
CRA-overholdelse: spørgsmål og svar
Hvad Cyber Resilience Act kræver af producenter, og hvor CRACI passer ind
Hvad er CRA-overholdelse?
CRA-overholdelse betyder, at et produkt med digitale elementer opfylder EU's Cyber Resilience Act, forordning (EU) 2024/2847, når det bringes i omsætning på EU-markedet og i hele dets supportperiode. For producenter omfatter det en cybersikkerhedsrisikovurdering, de væsentlige krav i bilag I, håndtering af sårbarheder inklusive en SBOM, indberetning af aktivt udnyttede sårbarheder og alvorlige hændelser, teknisk dokumentation, en overensstemmelsesvurdering, en EU-overensstemmelseserklæring og CE-mærkningen.
Gør CRACI mit produkt CRA-compliant?
Det gør intet værktøj. Overholdelse er en proces, som producenten driver. CRACI automatiserer en væsentlig del af den synlighed i forsyningskæden og den dokumentation, din CRA-proces har brug for: build-time SBOM'er, sårbarhedsovervågning, CRA-underretninger indsendt på dine vegne, provenance-data og dokumentation, der kan eksporteres.
Hvad skal software til CRA-overholdelse kunne?
På den tekniske side: producere en troværdig SBOM for hver release, overvåge den for nye sårbarheder i hele supportperioden, finde ramte produkter hurtigt nok til den tidlige varsling inden for 24 timer og opbevare dokumentation, du kan udlevere til en myndighed. På governance-siden: koble krav til kontroller og følge risikovurderingen og overensstemmelsesvurderingen. CRACI dækker den tekniske side for software, du bygger med GitHub Actions.
Kræver CRA en SBOM?
Ja. Bilag I, del II, nr. 1 kræver, at producenter udarbejder en softwarestykliste i et almindeligt anvendt og maskinlæsbart format, der som minimum dækker produktets afhængigheder på øverste niveau. Den hører til i den tekniske dokumentation, som en markedsovervågningsmyndighed kan anmode om. CRA kræver ikke, at du offentliggør den.
Hvornår gælder CRA's rapporteringsforpligtelser?
Fra 11. september 2026, og de omfatter også produkter, der er bragt i omsætning før 11. december 2027. Resten af forordningen gælder fra 11. december 2027.
Udfører CRACI overensstemmelsesvurderingen?
Nej. CRACI udfører ikke overensstemmelsesvurderinger, styrer ikke vurderingsprocessen, udsteder ikke certifikater og fungerer ikke som bemyndiget organ. Det leverer den tekniske dokumentation, vurderingen kræver.
Hvilke CI-systemer fungerer CRACI med?
GitHub Actions i dag. Du skifter et workflow til CRACI med runs-on: craci, og kørslerne vises stadig i GitHub. Andre CI-systemer, først GitLab CI og Jenkins, er på roadmappen.
Se CRA-dokumentationen fra et af dine builds
Book en demo, så gennemgår vi SBOM'en, overvågningen og rapporteringen, som CRACI producerer fra et release-build i GitHub Actions
Book en demo