CRA-vaatimustenmukaisuuden työkalut vertailussa

Kenelle tämä sivu on

Valmistat digitaalisia elementtejä sisältävää tuotetta ja saatat sen EU:n markkinoille. EU:n kyberkestävyyssäädöstä (Cyber Resilience Act, CRA), asetusta (EU) 2024/2847, sovelletaan sinuun vaiheittain: sen raportointivelvoitteita 11.9.2026 alkaen ja sen pääsäännöksiä 11.12.2027 alkaen. Valitset työkaluja tämän työn teknisiin osiin. Me rakennamme CRACI:ta, joten ota se huomioon. Kuvaamme jokaisen työkalun sen omien dokumenttien perusteella ja kerromme, missä jokin muu työkalu sopii paremmin.

Yksi periaate kulkee läpi koko sivun. Vaatimustenmukaisuus on valmistajan hoitama prosessi, johon kuuluvat riskinarviointi, dokumentointi ja vaatimustenmukaisuuden arviointi. Työkalut tuottavat näyttöä ja automatisoivat osan työstä. Mikään alla olevista työkaluista ei yksinään tee tuotteesta vaatimusten mukaista.

Mitä CRA edellyttää

Ohjelmistotoimitusketjun osalta viisi vaatimusta tekee suurimman osan työstä.

1. SBOM. Valmistajat tunnistavat ja dokumentoivat tuotteen komponentit "muun muassa laatimalla ohjelmistojen materiaaliluettelon yleisesti käytetyssä ja koneluettavassa muodossa, joka kattaa vähintään tuotteiden ylimmän tason riippuvuudet" (liite I, osa II). Liite VII sijoittaa sen tekniseen dokumentaatioon, jota markkinavalvontaviranomainen voi pyytää.
2. Haavoittuvuuksien käsittely. Haavoittuvuudet on käsiteltävä ja korjattava viipymättä, muun muassa tietoturvapäivityksillä, tuotetta on testattava säännöllisesti, ja käytössä on oltava koordinoidun haavoittuvuuksien julkistamisen käytäntö (liite I, osa II).
3. Raportointi. Aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista on ilmoitettava CSIRT-yksikölle ja ENISAlle CRA:n keskitetyn raportointialustan kautta: ennakkovaroitus 24 tunnin kuluessa, ilmoitus 72 tunnin kuluessa ja loppuraportti viimeistään 14 päivää sen jälkeen, kun haavoittuvuuteen on saatavilla korjaus tai lieventävä toimenpide, tai vakavan poikkeaman osalta kuukauden kuluessa (14 artikla).
4. Näyttö. Tekninen dokumentaatio, vaatimustenmukaisuuden arviointi ja EU-vaatimustenmukaisuusvakuutus (28, 31 ja 32 artikla, liite VII), jotka pidetään viranomaisten saatavilla vähintään 10 vuoden ajan tuotteen markkinoille saattamisesta tai tukiajan, sen mukaan kumpi on pidempi (13 artikla).
5. Tukiaika. Ajanjakso, joka vastaa sitä, kuinka kauan tuotteen odotetaan olevan käytössä, vähintään viisi vuotta, ellei odotettu käyttöaika ole lyhyempi, ja jonka aikana haavoittuvuudet käsitellään tehokkaasti (13 artikla).

Miten valita

• Kumpaan puoliskoon työstä tarvitset apua? Tekniset työkalut tuottavat SBOM:n, haavoittuvuustiedot ja buildin näytön. Vaatimustenmukaisuuden hallinta-alustat yhdistävät vaatimukset hallintakeinoihin, laativat käytäntöluonnoksia ja seuraavat prosessia. Useimmat työkalut ovat vahvoja toisessa puoliskossa, joten päätä, kumpi aukko on suurempi.
• Rakennatko ohjelmiston itse vai integroitko sen? Jos suuri osa tuotteesta tulee piirivalmistajilta ja toimittajilta binääreinä, binäärianalyysi on tapa nähdä sen sisään. Jos rakennat sen itse, buildi on suorin näytön lähde.
• Mistä SBOM:si tulee, ja mistä tiedät, että se on kattava? Skannerit, build-työkalujen kyselyt ja buildin tallennus voivat antaa samasta julkaisusta eri vastauksia.
• Löydätkö haavoittuvat julkaisut tunneissa? 24 tunnin ennakkovaroitus edellyttää julkaisukohtaista inventaariota, johon luotat.
• Tarvitsetko keskitetyn rekisterin? Kun tuotteita ja toimittajia on paljon, SBOM-hallinnasta VEX:n ja jakamisen kanssa tulee oma työnsä.

Yhdellä silmäyksellä

Kaksi taulukkoa: ensin SBOM-, SCA- ja SBOM-hallintatyökalut, sitten laiteohjelmistoille ja laitteille tehdyt työkalut. Rivit seuraavat yllä olevia vaatimuksia. "Ei ilmoitettu" tarkoittaa, etteivät lähteinä käyttämämme toimittajan sivut kerro asiasta suuntaan tai toiseen.

SBOM, SCA ja SBOM-hallinta

Laiteohjelmistot ja laitteet

CRACI

CRACI on GitHub Actions -runneri. Itse buildaamasi ohjelmiston osalta se tallentaa, mitä kukin jobi haki, mukaan lukien CI-välimuisteista palautetut paketit, ja tuottaa CycloneDX- tai SPDX-muotoisen SBOM:n kattavuustiloineen jobi- ja välimuistikohtaisesti. Se arvioi toimitettujen ohjelmistojen SBOM:eja jatkuvasti uudelleen, tukee VEX:iä ja valmistelee CRA-ilmoitusten sisällön lähetettäväksesi, kun aktiivisesti hyödynnetystä haavoittuvuudesta on ilmoitettava. Yocton osalta se tallentaa sen, mitä Yocton oma SPDX-tuloste jättää pois. Auttaa: SBOM-generoinnissa, haavoittuvuuksien käsittelyssä, CRA-ilmoituksissa ja näytössä. Huomaa: se ei analysoi binäärejä, joita et itse buildannut, siinä ei ole hallintakeinojen kartoitusta eikä käytäntöjen hallintaa, ja se tukee tällä hetkellä GitHub Actionsia (GitLab CI ja Jenkins ovat tiekartalla). CRA-vaatimustenmukaisuus CRACI:lla

SBOM-hallinta

Cybeats

Cybeats SBOM Studio kutsuu itseään "SBOM:ien keskitetyksi rekisteriksi". Se säilyttää tuotteidesi ja toimittajiesi SBOM:it SPDX 2.2–3.0.1- ja CycloneDX 1.2–1.7-muodoissa, validoi ne Quality Scorella ennen tuontia, vertaa jokaista komponenttia haavoittuvuustietoon, laatii VEX-dokumentteja ja jakaa SBOM:eja asiakkaille, myös Transparency Exchange API:n kautta. Sen sääntelyopas esittelee CRA:n 24 tunnin, 72 tunnin ja 14 päivän aikataulun. Auttaa: SBOM-hallinnassa, haavoittuvuuksien käsittelyssä ja näytössä. Huomaa: generointiin se ohjaa Marketplacensa toimittajille, joten itse SBOM tulee toisesta työkalusta. CRACI vs. Cybeats ja vaihtoehdot Cybeatsille

FOSSA

FOSSA aloitti lisenssien noudattamisesta ja kattaa nyt SBOM:n elinkaaren. Se generoi SPDX- ja CycloneDX-SBOM:eja, halutessa VDR- tai VEX-lausuntojen kanssa, tuo toimittajien SBOM:eja NTIA:n ja FDA:n vähimmäistietokäytännöillä, valvoo niiden haavoittuvuuksia ja jakaa niitä Enterprise-tilauksessa SBOM Portalin kautta. Syyskuussa 2026 sillä on ilmainen tilaus, ja Business maksaa $20 projektilta kuukaudessa vuosilaskutuksella. Auttaa: SBOM:ssa, jakamisessa viranomaisille ja lisensseissä. Huomaa: FOSSA CLI analysoi projektin sen build-työkalun kautta tai päättelee lähdekoodista eikä tallenna buildia. CRACI vs. FOSSA

Anchore

Anchore Enterprise rakentuu avoimen lähdekoodin Syftin ja Grypen päälle. Se skannaa konttikuvia, tiedostojärjestelmiä ja tuotuja SBOM:eja, skannaa tallennetut SBOM:it uudelleen ilman alkuperäistä artefaktia, soveltaa käytäntöpaketteja, kuten FedRAMP ja NIST, ja toimii itse ylläpidettynä, myös air-gapped-ympäristössä. Sen CRA-materiaali kattaa SBOM-hallinnan, valvonnan esimerkiksi CISA KEV -lähdettä vasten, 24 ja 72 tunnin määräaikojen tuen, VEX-merkinnät ja audit-lokit. Auttaa: SBOM:ssa, haavoittuvuuksien käsittelyssä ja näytössä. Huomaa: sen SBOM:t kuvaavat sitä, mitä skanneri löytää kuvasta tai hakemistosta, eivät sitä, mitä buildi haki ja jätti jälkeensä. CRACI vs. Anchore

SCA-kokonaisuudet

Black Duck

Black Duck SCA yhdistää paketinhallinnan, allekirjoitusten, snippettien ja binäärien skannauksen, joten se löytää avoimen lähdekoodin, jota kukaan ei ilmoittanut, ja sen KnowledgeBase seuraa yli 2 750 lisenssiä. Binary Analysis tutkii laiteohjelmistoja ilman lähdekoodia, Coverity tarjoaa SAST-analyysin ja heinäkuussa 2026 julkistetun CRA:n mukaisen tarkistusvaihtoehdon, ja Defensics tekee fuzz-testausta. Black Duck katsoo, että CRA edellyttää testauksen kerroksia eikä pelkkää SCA:ta. Auttaa: SBOM:ssa, komponenttien ja oman koodin haavoittuvuuksien käsittelyssä ja testauksessa. Huomaa: hinnoittelu tarjouksen mukaan, ja jokainen tekniikka tutkii koodia tai lopputulosta eikä buildia. CRACI vs. Black Duck

Sonatype

Sonatype Lifecycle soveltaa avoimen lähdekoodin käytäntöjä reachability- ja päivitystietojen avulla ja avaa Golden Pull Requesteja. Repository Firewall asettaa käytäntöjä rikkovat komponentit karanteeniin ennen kuin ne päätyvät repositorioihisi. SBOM Manager tuo, valvoo ja jakaa SBOM:eja VEX-työnkululla, ja Sonatype asemoi sen CRA-tuotteekseen; sen opas mainitsee myös Nexus Repositoryn tietoturvapäivitysten jakelupaikkana. Auttaa: haavoittuvuuksien käsittelyssä, SBOM-hallinnassa ja huonojen komponenttien torjunnassa. Huomaa: paketointi on muuttumassa (uudet asiakkaat ostavat Sonatype Guiden), ja Lifecycle analysoi sen, mitä buildi tuotti, eikä sitä, mitä se haki. CRACI vs. Sonatype

Laiteohjelmistot ja laitteet

ONEKEY

ONEKEY analysoi käännettyä laiteohjelmistoa "ilman lähdekoodia tai verkkoyhteyttä." Se generoi SBOM:n binääristä, tuo toimittajien SBOM:eja, etsii todennäköisiä nollapäivähaavoittuvuuksia, kuten kovakoodattuja tunnuksia, ja analysoi laiteohjelmiston uudelleen päivittäin. Sen Compliance Wizard opastaa tiimit CRA:n, IEC 62443-4-2:n, ETSI EN 303 645:n ja radiolaitedirektiivin vaatimusten läpi. Auttaa: SBOM:ssa laiteohjelmistolle, jota et buildannut, haavoittuvuuksien käsittelyssä ja ohjatuissa tarkistuksissa. Huomaa: se käsittelee kuvaa buildin jälkeen, joten se ei tallenna, mitä buildi haki. CRACI vs. ONEKEY ja vaihtoehdot ONEKEYlle

Finite State

Finite State analysoi laiteohjelmistoja, binäärejä, lähdekoodia ja toimittajien SBOM:eja, tukee yli 50 binäärien käskykanta-arkkitehtuuria ja kokoaa ne yhteen tuotetietueeseen. Se järjestää löydökset reachability-analyysin ja hyödyntämistiedon mukaan, kirjaa VEX-päätökset, ja sen vaatimustenmukaisuustyönkulku kattaa CRA-hallintakeinojen kartoituksen ja auditointivalmiit raportit SBOM- ja VEX-artefakteineen. Auttaa: toimittajat kattavassa SBOM:ssa, haavoittuvuuksien triagessa ja näytössä. Huomaa: se lähtee artefakteista, joten sen hallinta, mihin oma buildisi pystyi yhdistämään, on sen ulkopuolella. CRACI vs. Finite State ja vaihtoehdot Finite Statelle

Exein

Exein toimii laitteessa. Exein Runtime käyttää eBPF:ää haitallisen toiminnan valvontaan ja estämiseen sulautetussa Linuxissa, ja avoimen lähdekoodin meta-exein-Yocto-kerros tuo sen Pulsar-agentin kuvaasi. Exein Analyzer skannaa laiteohjelmiston ennen julkaisua, tai SBOM:si, kun binääri ei ole saatavilla, priorisoi reachability-analyysipisteytyksellä ja kytkee löydökset CRA:n vaatimuksiin. Auttaa: haavoittuvuuksien käsittelyssä kentällä, laiteohjelmiston SBOM:ssa ja CRA-kartoituksessa. Huomaa: Yocto-kerros muuttaa sitä, mitä laitteessa ajetaan; se ei aja eikä tallenna buildiasi. CRACI vs. Exein

Vaatimustenmukaisuuden hallinta-alustat

Nämä työkalut eivät generoi SBOM:eja eivätkä skannaa koodia. Ne hoitavat hallinnon puolta: CRA:n vaatimusten yhdistämistä hallintakeinoihin, käytäntöluonnosten laatimista sekä määräaikojen ja hyväksyntöjen seurantaa. Ne tarvitsevat teknisen näytön muualta.

Venvera

Venvera on EU:ssa rakennettu vaatimustenmukaisuusalusta, joka kattaa CRA:n NIS2:n, DORAn, ISO 27001:n ja SOC 2:n rinnalla. CRA:n osalta se seuraa 24 ja 72 tunnin raportointiaikoja, haavoittuvuuksien käsittelyä, SBOM:ia ylläpidettävänä vaatimuksena, vaatimustenmukaisuuden arviointimenettelyä tuoteluokittain sekä liitteen VII teknistä dokumentaatiota ja EU-vaatimustenmukaisuusvakuutusta. Auttaa: hallintakeinojen kartoituksessa, raportoinnin määräajoissa ja vaatimustenmukaisuusprosessin seurannassa. Huomaa: se seuraa, että SBOM on olemassa ja ylläpidetty; itse SBOM tulee toisesta työkalusta.

ZeroRisk

ZeroRisk on agenttipohjainen vaatimustenmukaisuusalusta, joka kattaa GDPR:n, ISO 27001:n, SOC 2:n, NIS2:n, DORAn ja CRA:n. CRA:n osalta sen agentti kytkee vaatimukset organisaatioosi, esitäyttää valmiusarvion, laatii puuttuvia hallintakeinoja ja käytäntöjä ja valvoo tuotteidesi sisältämiä toimittajia 24 tunnin välein tarkistaen, ja jokainen johtopäätös hyväksytetään ihmisellä. Auttaa: valmiudessa, käytännöissä ja toimittajavarmistuksessa. Huomaa: sen CRA-sivu ei mainitse SBOM-generointia eikä omien buildiesi haavoittuvuuksien valvontaa.

Raportointi määräajassa

14 artikla asettaa ilmoitusvelvollisuuden valmistajalle, ja sitä on sovellettu 11.9.2026 alkaen, myös jo markkinoilla oleviin tuotteisiin. Työkalut voivat lyhentää aikaa hetkestä "tätä haavoittuvuutta hyödynnetään" hetkeen "tiedämme, mitkä tuotteet ja julkaisut sisältävät sen". Se edellyttää julkaisukohtaisia inventaarioita, joihin luotat, jatkuvaa valvontaa ja linkkiä jokaisesta toimitetusta artefaktista sen komponentteihin. Anchore ja Cybeats kuvaavat raportointiaikoja CRA-materiaalissaan, Venvera seuraa määräaikoja, ja ONEKEYn, Finite Staten tai Exeinin binäärianalyysi kattaa toimittajakoodin, jota et voi buildata uudelleen. CRACI:n API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot, ja CRACI valmistelee ennakkovaroituksen, ilmoituksen ja loppuraportin sisällön valmistajan lähetettäväksi.

Mihin CRACI sopii

CRACI on GitHub Actions -runneri. Itse buildaamasi ohjelmiston osalta se tallentaa, mitä kukin jobi haki, mukaan lukien CI-välimuisteista palautetut paketit, ja tuottaa CycloneDX- tai SPDX-muotoisen SBOM:n kattavuustiloineen jobi- ja välimuistikohtaisesti. Se valvoo buildin egress-käytäntöä, arvioi jatkuvasti uudelleen toimitettujen ohjelmistojen SBOM:eja, tukee VEX:iä ja vie SBOM:t CycloneDX- tai SPDX-muodossa haavoittuvuuksineen CRA-näyttöäsi varten. Kun aktiivisesti hyödynnetystä haavoittuvuudesta on ilmoitettava, CRACI valmistelee CRA-ilmoitusten sisällön lähetettäväksesi. Yoctossa se ajaa BitBaken enintään 32 vCPU:n ja 96 Gt:n RAM-muistin runnereilla ja tallentaa sen, mitä Yocton oma SPDX-tuloste jättää pois, kuten isäntäjärjestelmän paketit ja Rust-cratejen package URLit. CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa maailmanlaajuisesti. CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuuden prosessiinsa.

Se ei yksinään riitä, jos suurin osa tuotteestasi tulee toimittajilta binääreinä tai jos tarvitset ohjattuja tarkistuksia standardeja vasten, hallintakeinojen kartoitusta ja käytäntöjen hallintaa, suojausta laitteessa tai jo nyt muita CI-järjestelmiä kuin GitHub Actionsia (GitLab CI ja Jenkins ovat tiekartalla). Omien buildiesi osalta CRACI kattaa SBOM:n, valvonnan ja CRA-ilmoitukset yhdessä tuotteessa; laiteohjelmistolle, jota et voi buildata uudelleen, binäärianalyysi näkee sen, mitä buildisi ei koskaan nähnyt. Katso mikä CRA on, CRA-vaatimustenmukaisuus ja teollinen IoT.

CRA-vaatimustenmukaisuuden työkalut: usein kysyttyä

Mitä CRA-vaatimustenmukaisuuden ohjelmistot tekevät ja mikä jää valmistajalle

Mitä CRA-vaatimustenmukaisuuden ohjelmistot ovat?

Ohjelmistoja, jotka auttavat valmistajaa täyttämään kyberkestävyyssäädöksen vaatimukset. Niitä on kahdenlaisia: teknisiä työkaluja, jotka tuottavat SBOM:n, haavoittuvuustiedot ja buildin näytön, sekä vaatimustenmukaisuuden hallinta-alustoja, jotka yhdistävät vaatimukset hallintakeinoihin ja seuraavat raportoinnin määräaikoja, riskinarviointia ja vaatimustenmukaisuuden arviointia. Mikään niistä ei yksinään tee tuotteesta vaatimusten mukaista.

Mitä CRA:n velvoitteita työkalu voi automatisoida?

Lähinnä haavoittuvuuksien käsittelyyn liittyvää työtä: SBOM:n generointia, sen valvontaa uusien haavoittuvuuksien varalta, haavoittuvien julkaisujen löytämistä, triage- ja VEX-päätösten kirjaamista, 14 artiklan mukaisten ilmoitusten valmistelua ja näytön vientiä teknistä dokumentaatiota varten. Riskinarviointi, turvallinen suunnittelu, vaatimustenmukaisuuden arviointi ja vaatimustenmukaisuusvakuutus jäävät valmistajan päätettäviksi.

Tarvitsenko yhden työkalun vai useita?

Yleensä useamman kuin yhden. Tekninen työkalu antaa SBOM:n ja haavoittuvuusnäytön; vaatimustenmukaisuuden hallinta-alusta tai konsultti kattaa hallintakeinot, käytännöt ja vaatimustenmukaisuuden arviointimenettelyn. Toimittajilta binääreinä saatavan laiteohjelmiston osalta binäärianalyysi tuo esiin sen, mitä oma buildisi ei näe.

Mikä on CRA:n raportoinnin määräaika?

14 artiklaa on sovellettu 11.9.2026 alkaen: ennakkovaroitus 24 tunnin kuluessa siitä, kun aktiivisesti hyödynnetty haavoittuvuus on tullut tietoon, ilmoitus 72 tunnin kuluessa ja loppuraportti viimeistään 14 päivää sen jälkeen, kun korjaus tai lieventävä toimenpide on saatavilla. Se koskee myös jo markkinoilla olevia tuotteita. Muuta CRA:ta sovelletaan 11.12.2027 alkaen.

Hoitaako CRACI CRA-ilmoitukset?

Se valmistelee ne. CRACI valmistelee ennakkovaroituksen, ilmoituksen ja loppuraportin sisällön; valmistajan edustaja lähettää ne keskitetyn raportointialustan kautta. Raportointivelvollisuus säilyy valmistajalla.

Tekeekö jokin työkalu CRA:n vaatimustenmukaisuuden arvioinnin?

Mikään ohjelmistotyökalu ei korvaa sitä. Valmistaja tekee arvioinnin sisäisenä tarkastuksena tai, tärkeiden ja kriittisten tuotteiden osalta, ilmoitetun laitoksen tai sertifiointijärjestelmän avulla silloin, kun CRA sitä edellyttää. Työkalut tuottavat näytön, jota arvioinnissa käytetään.