123% mehr gemeldete CVEs pro Tag in 2026 als im Vorjahr.

SBOM-Export und CRA-Nachweise aus jedem Build

Während des Builds aufgezeichnete SBOMs, die Build-Aufzeichnung über die API und Schwachstellenakten bis zum behobenen Release: die Nachweise, auf die sich Ihre technische Dokumentation stützt

Build-Time-SBOMs als CycloneDX oder SPDX

CRACI zeichnet die SBOM auf, während jeder Build auf seinem Runner läuft. Sie listet deshalb die Pakete, die der Job tatsächlich geladen hat, auch Pakete aus CI-Caches. Jede SBOM lässt sich als CycloneDX oder SPDX exportieren, mit transitiven Abhängigkeiten, den in ihren Komponenten gefundenen Schwachstellen und der deklarierten Lizenz jeder Komponente. Die SBOM jedes Jobs trägt außerdem einen Vollständigkeitsstatus.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOMs, Netzwerk-Traces und Provenienz über die API

Die öffentliche REST-API liefert die SBOM eines Jobs, seinen Netzwerk-Trace und Provenienzdaten, sodass die Build-Aufzeichnung in Ihre eigene Dokumentation und Ihre Tools einfließen kann. Die SBOM-API liefert CycloneDX 1.7 JSON.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Schwachstellenakten von der Sichtung bis zum behobenen Release

Überwachte SBOMs werden neu bewertet, sobald neue Schwachstellen veröffentlicht werden. Sicherheitsteams sichten jeden Befund und geben ihn an das Team weiter, das für die Behebung zuständig ist, und CRACI führt die Akte bis zum behobenen Release. Die Build-Historie zeigt jeden früheren Build mit seiner SBOM und welche Builds die verwundbare Abhängigkeit enthielten, direkt oder transitiv. So kennen Sie den Zeitraum, in dem Sie exponiert waren.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Policy-Gates, die bekannte Probleme draußen halten

Policy-Gates können einen Build in Echtzeit aufgrund von Befunden stoppen, auch Builds, die eine bestimmte CVE enthalten, und aufgrund von Lizenzen. Jeder Build läuft außerdem unter einer Egress-Richtlinie, die am Runner durchgesetzt, vor dem Start des Jobs geprüft wird und im Zweifel blockiert (fail closed), mit Warnmeldungen bei Richtlinienverstößen.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Nachweise für Ihre technische Dokumentation nach dem CRA

Nach dem Cyber Resilience Act erstellt der Hersteller die technische Dokumentation, führt die Konformitätsbewertung durch und stellt die EU-Konformitätserklärung aus. Diese Schritte übernimmt CRACI nicht. CRACI liefert die Nachweise, die aus dem Build hervorgehen: SBOMs, Schwachstellen- und Behebungsakten sowie Provenienzdaten. Außerdem reicht CRACI die Schwachstellenmeldungen nach dem CRA in Ihrem Namen ein: die Frühwarnung, die Meldung und den Abschlussbericht.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Submitted for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Sehen Sie die Nachweise, die Ihre Builds liefern

Buchen Sie eine Demo und sehen Sie SBOM-Export, API und Schwachstellenverfolgung in CRACI

Demo buchen