Vuonna 2026 raportoitiin päivässä 131% enemmän CVE:itä kuin edellisenä vuonna.

CRA-vaatimustenmukaisuus, joka alkaa buildistasi

CRACI automatisoi merkittävän osan siitä toimitusketjun näkyvyydestä ja näytöstä, jota kyberkestävyyssäädöksen (Cyber Resilience Act) prosessisi tarvitsee: jokaisesta buildista tallennetut SBOM:t, haavoittuvuuksien valvonnan julkaisun jälkeen, sinun toimitettavaksesi laaditun CRA-ilmoitusten sisällön ja alkuperätiedot. Riskinarviointi, vaatimustenmukaisuuden arviointi ja vaatimustenmukaisuusvakuutus jäävät sinulle, valmistajalle.

Varaa demo Mikä on CRA? →

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

SBOM:t tallennetaan buildista

CRA edellyttää ohjelmistojen materiaaliluetteloa koneluettavassa muodossa. CRACI tallentaa sen GitHub Actions -julkaisubuildisi ajon aikana: jokainen paketti, jonka jobi haki, myös CI-välimuisteista palautetut paketit, viedään CycloneDX- tai SPDX-muodossa transitiivisine riippuvuuksineen ja jokaisen komponentin ilmoitettuine lisensseineen. Jokaisen jobin SBOM:lla on kattavuustila, joten tiedät, onko tallenne kokonainen.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

Haavoittuvuuksien käsittely julkaisun jälkeen

Valmistajat käsittelevät haavoittuvuuksia koko tukiajan. CRACI arvioi julkaisemiesi tuotteiden SBOM:t jatkuvasti uudelleen uusia haavoittuvuuksia vastaan, kokoaa löydökset buildien ja repositorioiden yli ja antaa tietoturvatiimien tehdä niille triagen ja ohjata ne korjauksesta vastaaville tiimeille. Se tukee VEX:iä, valvoo toimittajien SBOM:eja omien buildiesi rinnalla, ja sen inventaarionäkymä näyttää, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

CRA-ilmoitukset valmiiksi laadittuina

11.9.2026 alkaen aktiivisesti hyödynnetty haavoittuvuus käynnistää määräajat: ennakkovaroitus 24 tunnin kuluessa, ilmoitus 72 tunnin kuluessa ja loppuraportti 14 päivän kuluessa korjauksesta. CRACI laatii näiden ilmoitusten sisällön, ja yrityksesi edustaja toimittaa ne keskitetyn raportointialustan kautta. Ilmoitusvelvollisuus säilyy sinulla; CRACI näyttää, mihin tuotteisiin ja julkaisuihin asia vaikuttaa.

CRA notifications, prepared for you When a vulnerability is actively exploited, the CRA sets deadlines: an early warning within 24 hours, a notification within 72 hours and a final report 14 days after a fix is available. CRACI prepares their content; a person at the manufacturer submits them through the CRA Single Reporting Platform to the CSIRT and ENISA. Actively exploited vulnerability found Aware 24 hours Early warning 72 hours Notification Fix + 14 days Final report CRACI prepares the notification content You submit it through the Single Reporting Platform to the CSIRT and ENISA and shows which products and releases are affected What stays with you The reporting obligation itself Informing affected users Severe incidents: final report within one month

Näyttö vaatimustenmukaisuuden arviointiin

CRACI ei tee vaatimustenmukaisuuden arviointeja. Se kerää arvioinnissa tarvittavan teknisen näytön: buildin aikana tallennetut SBOM:t, haavoittuvuus- ja korjauskirjaukset, alkuperätiedot ja verkkojäljet. SBOM:t viedään CycloneDX- tai SPDX-muodossa ja loput saa API:n kautta. Arviointimenettely, vaatimustenmukaisuusvakuutus ja mahdollinen ilmoitettu laitos jäävät valmistajan prosessiin.

Evidence for the conformity assessment CRACI supplies technical evidence: build-time SBOMs, vulnerability and remediation records, provenance and network traces, with SBOMs exported as CycloneDX or SPDX and the rest returned by the API. The manufacturer uses it in the technical documentation, runs the conformity assessment, by self-assessment or with a notified body, draws up the EU declaration of conformity and applies the CE marking. CRACI supplies the evidence Build-time SBOMs Vulnerability records Provenance Network traces The manufacturer's process Technical documentation Conformity assessment: self-assessment or notified body EU declaration of conformity CE marking CRACI does not assess, certify or manage the assessment

Mihin CRA:n velvoitteisiin CRACI tuottaa näyttöä

CRA:n ilmoitusvelvollisuuksia on sovellettu 11.9.2026 alkaen, myös jo markkinoilla oleviin tuotteisiin, ja asetuksen muita osia sovelletaan 11.12.2027 alkaen. Tässä on, mitä CRACI tekee kunkin ohjelmistotoimitusketjua koskevan velvoitteen osalta ja mikä jää valmistajan prosessiin.

Velvoite Kohta CRA:ssa Mitä CRACI tarjoaa Mikä jää sinulle
Ohjelmistojen materiaaliluettelo Liitteen I osan II kohta 1; liite VII SBOM jokaisesta build-jobista CycloneDX- tai SPDX-muodossa, transitiivisine riippuvuuksineen, ilmoitettuine lisensseineen ja kattavuustiloineen. Sen säilyttäminen teknisessä dokumentaatiossa ja toimittaminen markkinavalvontaviranomaiselle pyynnöstä.
Haavoittuvuuksien käsittely tukiajan 13 artiklan 8 kohta; liitteen I osa II Julkaistujen SBOM:ien jatkuva valvonta, triage ja ohjaus vastuutiimeille, VEX sekä toimittajien SBOM:ien valvonta buildiesi rinnalla. Tukiajan määrittäminen, tietoturvapäivitysten korjaaminen ja julkaiseminen sekä koordinoidun haavoittuvuuksien julkistamisen käytännön ylläpito.
Hyödynnettyjen haavoittuvuuksien ja vakavien poikkeamien ilmoittaminen 14 artikla Laatii ennakkovaroituksen, ilmoituksen ja loppuraportin sisällön sinun toimitettavaksesi ja näyttää, mihin tuotteisiin ja julkaisuihin asia vaikuttaa. Itse velvollisuus sekä asianomaisille käyttäjille tiedottaminen.
Kolmansien osapuolten komponenttien huolellisuusvelvoite 13 artiklan 5 kohta Tallenne jokaisesta paketista, jonka kukin buildi haki, egress-käytäntö buildiverkossa ja toimittajien SBOM:ien valvonta. Komponenttien ja toimittajien valinta sekä toimiminen sen perusteella, mitä tallenne näyttää.
Tekninen dokumentaatio ja jäljitettävyys 31 artikla; 13 artiklan 13 kohta; liite VII SBOM:t, verkkojäljet ja alkuperätiedot API:n kautta sekä SBOM-vienti CycloneDX- tai SPDX-muodossa. Tietoja säilytetään oletuksena 180 päivää, Enterprise-sopimuksessa räätälöidyllä säilytysajalla. Itse tekninen tiedosto, jota säilytetään vähintään 10 vuotta tai tukiajan, sen mukaan kumpi on pidempi.
Riskinarviointi ja tuoteturvallisuusvaatimukset 13 artiklan 2 kohta; liitteen I osa I Ei katettu. Kyberturvallisuusriskien arviointi ja turvallinen suunnittelu, kuten turvalliset oletusasetukset, pääsynhallinta ja tietosuoja.
Vaatimustenmukaisuuden arviointi, vaatimustenmukaisuusvakuutus, CE-merkintä 28, 30 ja 32 artikla Vain näyttö. CRACI ei arvioi, sertifioi eikä hallinnoi arviointia. Arvioinnin toteuttaminen, ilmoitetun laitoksen kanssa silloin, kun tuoteluokka sitä edellyttää, ja vakuutuksen allekirjoittaminen.

CRACI ajaa GitHub Actions -jobisi omilla runnereillaan, minkä ansiosta se voi tallentaa buildin sen sijaan, että skannaisi sen jälkikäteen. Muut CI-järjestelmät ovat tiekartalla.

Tehty Euroopassa toimiville globaaleille yrityksille.

Kyberkestävyyssäädöksen (Cyber Resilience Act) myötä CE-merkintä kattaa pian myös ohjelmistotuotteet: jokaisen ohjelmistovalmistajan on läpäistävä vaatimustenmukaisuuden arviointi ennen myyntiä EU:ssa. CRACI auttaa sinua valmistautumaan hidastamatta kehitystäsi.

Compliance that ships with your code

Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.

New build triggered
15workflows initiated
5jobs completed

From detection to disclosure in 24 hours

When vulnerabilities are detected, CRACI helps you triage and document them, and prepares the CRA notifications your team submits within the required timeframe. Automated workflows ensure nothing falls through the cracks.

One place for everything CRA

Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.

CRA-vaatimustenmukaisuus, vastaukset

Mitä kyberkestävyyssäädös vaatii valmistajilta ja mihin CRACI sopii

Mitä CRA-vaatimustenmukaisuus tarkoittaa?

CRA-vaatimustenmukaisuus tarkoittaa, että digitaalisia elementtejä sisältävä tuote täyttää EU:n kyberkestävyyssäädöksen (Cyber Resilience Act, asetus (EU) 2024/2847) vaatimukset, kun se saatetaan EU:n markkinoille, ja koko tukiajan. Valmistajalle tämä kattaa kyberturvallisuusriskien arvioinnin, liitteen I olennaiset vaatimukset, haavoittuvuuksien käsittelyn SBOM mukaan lukien, aktiivisesti hyödynnettyjen haavoittuvuuksien ja vakavien poikkeamien ilmoittamisen, teknisen dokumentaation, vaatimustenmukaisuuden arvioinnin, EU-vaatimustenmukaisuusvakuutuksen ja CE-merkinnän.

Tekeekö CRACI tuotteestani CRA:n mukaisen?

Mikään työkalu ei tee sitä. Vaatimustenmukaisuus on valmistajan prosessi. CRACI automatisoi merkittävän osan siitä toimitusketjun näkyvyydestä ja näytöstä, jota CRA-prosessisi tarvitsee: buildin aikana tallennetut SBOM:t, haavoittuvuuksien valvonnan, sinun toimitettavaksesi laaditun CRA-ilmoitusten sisällön, alkuperätiedot ja vietävän näytön.

Mitä CRA-vaatimustenmukaisuusohjelmiston pitää tehdä?

Teknisellä puolella: tuottaa luotettava SBOM jokaisesta julkaisusta, valvoa sitä uusien haavoittuvuuksien varalta koko tukiajan, löytää asianomaiset tuotteet riittävän nopeasti 24 tunnin ennakkovaroitusta varten ja säilyttää näyttö, jonka voi luovuttaa viranomaiselle. Hallintopuolella: kohdistaa vaatimukset kontrolleihin sekä seurata riskinarviointia ja vaatimustenmukaisuuden arviointia. CRACI kattaa teknisen puolen ohjelmistoille, jotka rakennat GitHub Actionsilla.

Vaatiiko CRA SBOM:n?

Kyllä. Liitteen I osan II kohta 1 velvoittaa valmistajat laatimaan ohjelmistojen materiaaliluettelon yleisesti käytetyssä ja koneluettavassa muodossa, joka kattaa vähintään tuotteen ylimmän tason riippuvuudet. Se kuuluu tekniseen dokumentaatioon, jota markkinavalvontaviranomainen voi pyytää. CRA ei vaadi sinua julkaisemaan sitä.

Milloin CRA:n ilmoitusvelvollisuuksia sovelletaan?

11.9.2026 alkaen, ja ne koskevat myös tuotteita, jotka on saatettu markkinoille ennen 11.12.2027. Asetuksen muita osia sovelletaan 11.12.2027 alkaen.

Tekeekö CRACI vaatimustenmukaisuuden arvioinnin?

Ei. CRACI ei tee vaatimustenmukaisuuden arviointeja, hallinnoi arviointiprosessia, myönnä sertifikaatteja eikä toimi ilmoitettuna laitoksena. Se toimittaa teknisen näytön, jota arviointi edellyttää.

Minkä CI-järjestelmien kanssa CRACI toimii?

Tällä hetkellä GitHub Actionsin. Siirrät työnkulun CRACI:lle rivillä runs-on: craci, ja ajot näkyvät edelleen GitHubissa. Muut CI-järjestelmät, ensimmäisinä GitLab CI ja Jenkins, ovat tiekartalla.

Katso CRA-näyttö yhdestä buildistasi

Varaa demo, niin käymme läpi SBOM:n, valvonnan ja ilmoitukset, jotka CRACI tuottaa GitHub Actions -julkaisubuildista

Varaa demo