Software de cumplimiento del CRA que empieza en su build
CRACI automatiza una parte importante de la visibilidad de la cadena de suministro y de las evidencias que necesita su proceso del Cyber Resilience Act: SBOM registradas en cada build, monitorización de vulnerabilidades después del lanzamiento, notificaciones del CRA presentadas en su nombre y datos de procedencia. La evaluación de riesgos, la evaluación de la conformidad y la declaración de conformidad siguen siendo responsabilidad suya, como fabricante.
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
SBOM registradas a partir del build
El CRA exige una lista de materiales de software en un formato legible por máquina. CRACI la registra mientras se ejecuta su build de lanzamiento en GitHub Actions: cada paquete que descargó el job, incluidos los restaurados desde cachés de CI, exportado en CycloneDX o SPDX con las dependencias transitivas y la licencia declarada de cada componente. La SBOM de cada job incluye un estado de completitud, para que sepa si el registro está completo.
Gestión de vulnerabilidades después del lanzamiento
Los fabricantes gestionan las vulnerabilidades durante todo el periodo de soporte. CRACI reevalúa de forma continua las SBOM de lo que ha distribuido frente a las nuevas vulnerabilidades, agrega los hallazgos de todos los builds y repositorios, y permite a los equipos de seguridad clasificarlos y enviarlos a los equipos responsables de la corrección. Es compatible con VEX, monitoriza las SBOM de los proveedores junto con sus propios builds, y su vista de inventario muestra qué versiones de software están desplegadas en qué productos.
Notificaciones del CRA, presentadas en su nombre
Desde el 11 de septiembre de 2026, una vulnerabilidad explotada activamente pone en marcha un plazo: una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en los 14 días siguientes a una corrección. CRACI presenta estas notificaciones a las autoridades en su nombre. La obligación de notificar sigue siendo suya; CRACI se encarga de la presentación y muestra qué productos y versiones están afectados.
Evidencias para la evaluación de la conformidad
CRACI no realiza evaluaciones de la conformidad. Recopila las evidencias técnicas que una evaluación necesita: SBOM generadas durante el build, registros de vulnerabilidades y de su corrección, datos de procedencia y trazas de red. Las SBOM se exportan en CycloneDX o SPDX y el resto se obtiene a través de la API. La vía de evaluación, la declaración de conformidad y, en su caso, el organismo notificado siguen formando parte del proceso del fabricante.
Para qué obligaciones del CRA aporta CRACI evidencias
Las obligaciones de notificación del CRA se aplican desde el 11 de septiembre de 2026, también a los productos que ya están en el mercado, y el resto del reglamento se aplica desde el 11 de diciembre de 2027. Esto es lo que hace CRACI en cada obligación que afecta a la cadena de suministro de software, y lo que sigue formando parte del proceso del fabricante.
| Obligación | Dónde figura en el CRA | Lo que aporta CRACI | Lo que sigue a su cargo |
|---|---|---|---|
| Lista de materiales de software | Anexo I, parte II (1); anexo VII | Una SBOM de cada job de build, en CycloneDX o SPDX, con dependencias transitivas, licencias declaradas y un estado de completitud. | Conservarla en la documentación técnica y facilitarla a la autoridad de vigilancia del mercado cuando la solicite. |
| Gestión de vulnerabilidades durante el periodo de soporte | Artículo 13, apartado 8; anexo I, parte II | Monitorización continua de las SBOM distribuidas, clasificación y asignación a los equipos responsables, VEX, y SBOM de proveedores monitorizadas junto con sus builds. | Fijar el periodo de soporte, corregir y distribuir actualizaciones de seguridad, y aplicar una política de divulgación coordinada de vulnerabilidades. |
| Notificación de vulnerabilidades explotadas e incidentes graves | Artículo 14 | Presenta en su nombre la alerta temprana, la notificación y el informe final, y muestra qué productos y versiones están afectados. | La propia obligación, y la información a los usuarios afectados. |
| Diligencia debida con los componentes de terceros | Artículo 13, apartado 5 | Un registro de cada paquete que descargó cada build, una política de salida en la red del build y la monitorización de las SBOM de los proveedores. | Elegir los componentes y los proveedores, y actuar según lo que muestre el registro. |
| Documentación técnica y trazabilidad | Artículo 31; artículo 13, apartado 13; anexo VII | SBOM, trazas de red y datos de procedencia a través de la API, y exportación de SBOM en CycloneDX o SPDX. Los datos se conservan 180 días por defecto, con retención personalizada en Enterprise. | El propio expediente técnico, conservado durante al menos 10 años o durante el periodo de soporte, si este es más largo. |
| Evaluación de riesgos y requisitos de seguridad del producto | Artículo 13, apartado 2; anexo I, parte I | No cubierto. | La evaluación de riesgos de ciberseguridad y el diseño seguro, como la configuración segura por defecto, el control de acceso y la protección de datos. |
| Evaluación de la conformidad, declaración de conformidad, marcado CE | Artículos 28, 30 y 32 | Solo evidencias. CRACI no evalúa, no certifica ni gestiona la evaluación. | Llevar a cabo la evaluación, con un organismo notificado cuando la clase de producto lo exija, y firmar la declaración. |
CRACI ejecuta sus jobs de GitHub Actions en sus propios runners, y por eso puede registrar el build en lugar de escanearlo después. Otros sistemas de CI están en la hoja de ruta.
Diseñado para empresas globales que operan en Europa.
Con el Cyber Resilience Act, el marcado CE pronto abarcará los productos de software: todo fabricante de software deberá superar una evaluación de la conformidad antes de vender en la UE. CRACI le prepara sin frenar su desarrollo.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Cumplimiento del CRA: respuestas
Qué exige el Cyber Resilience Act a los fabricantes y qué papel desempeña CRACI
¿Qué es el cumplimiento del CRA?
Cumplir el CRA significa que un producto con elementos digitales satisface el Cyber Resilience Act de la UE, el Reglamento (UE) 2024/2847, cuando se introduce en el mercado de la UE y durante todo su periodo de soporte. Para los fabricantes, eso abarca una evaluación de riesgos de ciberseguridad, los requisitos esenciales del anexo I, la gestión de vulnerabilidades, incluida una SBOM, la notificación de vulnerabilidades explotadas activamente e incidentes graves, la documentación técnica, una evaluación de la conformidad, una declaración UE de conformidad y el marcado CE.
¿Hace CRACI que mi producto cumpla el CRA?
Ninguna herramienta lo hace. El cumplimiento es un proceso que lleva a cabo el fabricante. CRACI automatiza una parte importante de la visibilidad de la cadena de suministro y de las evidencias que necesita su proceso del CRA: SBOM generadas durante el build, monitorización de vulnerabilidades, notificaciones del CRA presentadas en su nombre, datos de procedencia y evidencias exportables.
¿Qué debe hacer un software de cumplimiento del CRA?
En el plano técnico: generar una SBOM fiable para cada versión, monitorizarla en busca de nuevas vulnerabilidades durante todo el periodo de soporte, localizar los productos afectados con la rapidez suficiente para la alerta temprana de 24 horas y conservar evidencias que pueda entregar a una autoridad. En el plano de la gobernanza: relacionar los requisitos con los controles y hacer el seguimiento de la evaluación de riesgos y de la evaluación de la conformidad. CRACI cubre el plano técnico para el software que usted compila con GitHub Actions.
¿Exige el CRA una SBOM?
Sí. El anexo I, parte II, punto 1, obliga a los fabricantes a elaborar una lista de materiales de software en un formato de uso común y legible por máquina que abarque, como mínimo, las dependencias de primer nivel del producto. Forma parte de la documentación técnica, que una autoridad de vigilancia del mercado puede solicitar. El CRA no le obliga a publicarla.
¿Cuándo se aplican las obligaciones de notificación del CRA?
Desde el 11 de septiembre de 2026, y también abarcan los productos introducidos en el mercado antes del 11 de diciembre de 2027. El resto del reglamento se aplica desde el 11 de diciembre de 2027.
¿Realiza CRACI la evaluación de la conformidad?
No. CRACI no realiza evaluaciones de la conformidad, no gestiona el proceso de evaluación, no emite certificados ni actúa como organismo notificado. Aporta las evidencias técnicas que pide la evaluación.
¿Con qué sistemas de CI funciona CRACI?
Hoy, con GitHub Actions. Un workflow pasa a CRACI con runs-on: craci, y las ejecuciones siguen apareciendo en GitHub. Otros sistemas de CI, empezando por GitLab CI y Jenkins, están en la hoja de ruta.
Vea las evidencias del CRA de uno de sus builds
Reserve una demo y repasaremos juntos la SBOM, la monitorización y las notificaciones que CRACI genera a partir de un build de lanzamiento en GitHub Actions
Reservar una demo