Software für CRA-Konformität, die in Ihrem Build beginnt
CRACI automatisiert einen wesentlichen Teil der Transparenz über die Lieferkette und der Nachweise, die Ihr Prozess für den Cyber Resilience Act braucht: SBOMs aus jedem Build, Schwachstellenüberwachung nach der Auslieferung, in Ihrem Namen übermittelte CRA-Meldungen und Provenienzdaten. Risikobewertung, Konformitätsbewertung und Konformitätserklärung bleiben bei Ihnen als Hersteller.
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
SBOMs, aus dem Build aufgezeichnet
Der CRA verlangt eine Software-Stückliste in einem maschinenlesbaren Format. CRACI zeichnet sie auf, während Ihr Release-Build in GitHub Actions läuft: jedes Paket, das der Job geladen hat, auch Pakete aus CI-Caches, exportiert als CycloneDX oder SPDX mit transitiven Abhängigkeiten und der deklarierten Lizenz jeder Komponente. Die SBOM jedes Jobs trägt einen Vollständigkeitsstatus, sodass Sie wissen, ob die Aufzeichnung lückenlos ist.
Schwachstellenbehandlung nach der Auslieferung
Hersteller behandeln Schwachstellen über den gesamten Unterstützungszeitraum. CRACI bewertet die SBOMs dessen, was Sie ausgeliefert haben, laufend gegen neue Schwachstellen, führt Befunde über Builds und Repositories hinweg zusammen und lässt Sicherheitsteams sie sichten und an die zuständigen Teams weitergeben. CRACI unterstützt VEX, überwacht Lieferanten-SBOMs zusammen mit Ihren eigenen Builds, und die Inventaransicht zeigt, welche Softwareversionen in welchen Produkten eingesetzt sind.
CRA-Meldungen, für Sie übermittelt
Seit dem 11. September 2026 setzt eine aktiv ausgenutzte Schwachstelle eine Frist in Gang: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen nach einem Fix. CRACI übermittelt diese Meldungen in Ihrem Namen an die Behörden. Die Meldepflicht bleibt bei Ihnen; CRACI übernimmt die Übermittlung und zeigt, welche Produkte und Releases betroffen sind.
Nachweise für die Konformitätsbewertung
CRACI führt keine Konformitätsbewertungen durch. Es sammelt die technischen Nachweise, die dafür nötig sind: Build-Time-SBOMs, Datensätze zu Schwachstellen und deren Behebung, Provenienzdaten und Netzwerk-Traces. SBOMs lassen sich als CycloneDX oder SPDX exportieren, der Rest kommt über die API. Der Bewertungsweg, die Konformitätserklärung und eine etwaige benannte Stelle bleiben Sache des Herstellers.
Für welche CRA-Pflichten CRACI Nachweise liefert
Die Meldepflichten des CRA gelten seit dem 11. September 2026, auch für Produkte, die bereits auf dem Markt sind; der Rest der Verordnung gilt ab dem 11. Dezember 2027. Hier sehen Sie, was CRACI für jede Pflicht leistet, die die Software-Lieferkette berührt, und was Sache des Herstellers bleibt.
| Pflicht | Fundstelle im CRA | Was CRACI liefert | Was bei Ihnen bleibt |
|---|---|---|---|
| Software-Stückliste (SBOM) | Anhang I Teil II Nr. 1; Anhang VII | Eine SBOM aus jedem Build-Job, als CycloneDX oder SPDX, mit transitiven Abhängigkeiten, deklarierten Lizenzen und einem Vollständigkeitsstatus. | Sie in der technischen Dokumentation zu führen und einer Marktüberwachungsbehörde auf Verlangen vorzulegen. |
| Schwachstellenbehandlung während des Unterstützungszeitraums | Artikel 13 Absatz 8; Anhang I Teil II | Laufende Überwachung ausgelieferter SBOMs, Triage und Weitergabe an die zuständigen Teams, VEX sowie Lieferanten-SBOMs, die zusammen mit Ihren Builds überwacht werden. | Den Unterstützungszeitraum festzulegen, Sicherheitsupdates zu entwickeln und auszuliefern und eine Strategie zur koordinierten Offenlegung von Schwachstellen zu betreiben. |
| Meldung ausgenutzter Schwachstellen und schwerwiegender Vorfälle | Artikel 14 | Übermittelt Frühwarnung, Meldung und Abschlussbericht in Ihrem Namen und zeigt, welche Produkte und Releases betroffen sind. | Die Pflicht selbst und die Information betroffener Nutzer. |
| Sorgfaltspflicht bei Komponenten von Drittanbietern | Artikel 13 Absatz 5 | Eine Aufzeichnung jedes Pakets, das jeder Build geladen hat, eine Egress-Richtlinie im Build-Netzwerk und die Überwachung von Lieferanten-SBOMs. | Die Auswahl von Komponenten und Lieferanten und das Handeln auf Basis der Aufzeichnung. |
| Technische Dokumentation und Rückverfolgbarkeit | Artikel 31; Artikel 13 Absatz 13; Anhang VII | SBOMs, Netzwerk-Traces und Provenienzdaten über die API sowie SBOM-Export als CycloneDX oder SPDX. Daten werden standardmäßig 180 Tage aufbewahrt, mit individueller Aufbewahrungsdauer im Enterprise-Plan. | Die technische Dokumentation selbst, aufbewahrt für mindestens 10 Jahre oder den Unterstützungszeitraum, je nachdem, welcher Zeitraum länger ist. |
| Risikobewertung und Sicherheitsanforderungen an das Produkt | Artikel 13 Absatz 2; Anhang I Teil I | Nicht abgedeckt. | Die Cybersicherheitsrisikobewertung und ein sicheres Design, etwa sichere Standardeinstellungen, Zugriffskontrolle und Datenschutz. |
| Konformitätsbewertung, Konformitätserklärung, CE-Kennzeichnung | Artikel 28, 30 und 32 | Nur Nachweise. CRACI bewertet nicht, zertifiziert nicht und steuert die Bewertung nicht. | Die Durchführung der Bewertung, mit einer benannten Stelle, wo die Produktklasse eine verlangt, und die Unterzeichnung der Erklärung. |
CRACI führt Ihre GitHub-Actions-Jobs auf eigenen Runnern aus und kann den Build deshalb aufzeichnen, statt ihn nachträglich zu scannen. Weitere CI-Systeme sind auf der Roadmap.
Für international tätige Unternehmen in Europa.
Die CE-Kennzeichnung erfasst mit dem Cyber Resilience Act bald auch Softwareprodukte: Jeder Softwarehersteller muss vor dem Verkauf in der EU eine Konformitätsbewertung bestehen. CRACI bereitet Sie darauf vor, ohne Ihre Entwicklung auszubremsen.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
CRA-Konformität: Antworten
Was der Cyber Resilience Act von Herstellern verlangt und wo CRACI ansetzt
Was bedeutet CRA-Konformität?
CRA-Konformität bedeutet, dass ein Produkt mit digitalen Elementen den EU Cyber Resilience Act, Verordnung (EU) 2024/2847, erfüllt, wenn es auf dem EU-Markt bereitgestellt wird, und während seines gesamten Unterstützungszeitraums. Für Hersteller umfasst das eine Cybersicherheitsrisikobewertung, die grundlegenden Anforderungen aus Anhang I, die Schwachstellenbehandlung einschließlich einer SBOM, die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle, die technische Dokumentation, eine Konformitätsbewertung, eine EU-Konformitätserklärung und die CE-Kennzeichnung.
Macht CRACI mein Produkt CRA-konform?
Das kann kein Tool. Konformität ist ein Prozess, den der Hersteller betreibt. CRACI automatisiert einen wesentlichen Teil der Transparenz über die Lieferkette und der Nachweise, die Ihr CRA-Prozess braucht: Build-Time-SBOMs, Schwachstellenüberwachung, in Ihrem Namen übermittelte CRA-Meldungen, Provenienzdaten und exportierbare Nachweise.
Was muss Software für die CRA-Konformität leisten?
Auf technischer Seite: für jedes Release eine vertrauenswürdige SBOM erstellen, sie über den gesamten Unterstützungszeitraum auf neue Schwachstellen überwachen, betroffene Produkte schnell genug für die Frühwarnung binnen 24 Stunden finden und Nachweise vorhalten, die Sie einer Behörde übergeben können. Auf Governance-Seite: Anforderungen auf Kontrollen abbilden und Risikobewertung sowie Konformitätsbewertung verfolgen. CRACI deckt die technische Seite für Software ab, die Sie mit GitHub Actions bauen.
Verlangt der CRA eine SBOM?
Ja. Anhang I Teil II Nummer 1 verpflichtet Hersteller, eine Software-Stückliste in einem gängigen, maschinenlesbaren Format zu erstellen, die mindestens die obersten Abhängigkeiten des Produkts erfasst. Sie gehört in die technische Dokumentation, die eine Marktüberwachungsbehörde anfordern kann. Veröffentlichen müssen Sie sie nach dem CRA nicht.
Ab wann gelten die Meldepflichten des CRA?
Ab dem 11. September 2026, und sie gelten auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Der Rest der Verordnung gilt ab dem 11. Dezember 2027.
Führt CRACI die Konformitätsbewertung durch?
Nein. CRACI führt keine Konformitätsbewertungen durch, steuert den Bewertungsprozess nicht, stellt keine Zertifikate aus und ist keine benannte Stelle. Es liefert die technischen Nachweise, die die Bewertung verlangt.
Mit welchen CI-Systemen arbeitet CRACI?
Heute mit GitHub Actions. Sie stellen einen Workflow mit runs-on: craci auf CRACI um, und die Läufe erscheinen weiterhin in GitHub. Weitere CI-Systeme, zuerst GitLab CI und Jenkins, sind auf der Roadmap.
Sehen Sie die CRA-Nachweise aus einem Ihrer Builds
Buchen Sie eine Demo, und wir zeigen Ihnen SBOM, Überwachung und Meldungen, die CRACI aus einem Release-Build in GitHub Actions erzeugt
Demo buchen