Un logiciel de conformité au CRA qui commence dans votre build
CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement et des preuves que requiert votre démarche Cyber Resilience Act : des SBOM enregistrées à chaque build, la surveillance des vulnérabilités après la livraison, des notifications CRA soumises en votre nom et des données de provenance. L'évaluation des risques, l'évaluation de la conformité et la déclaration de conformité restent de votre ressort, en tant que fabricant.
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
Des SBOM enregistrées à partir du build
Le CRA exige une nomenclature logicielle dans un format lisible par machine. CRACI en enregistre une pendant l'exécution de votre build de release GitHub Actions : chaque paquet récupéré par le job, y compris les paquets restaurés depuis les caches CI, exporté en CycloneDX ou SPDX avec les dépendances transitives et la licence déclarée de chaque composant. La SBOM de chaque job porte un état de complétude : vous savez si l'enregistrement est entier.
Le traitement des vulnérabilités après la livraison
Les fabricants traitent les vulnérabilités pendant toute la période de support. CRACI réévalue en continu les SBOM de ce que vous avez livré face aux nouvelles vulnérabilités, agrège les résultats de l'ensemble des builds et des dépôts, et permet aux équipes sécurité de les trier et de les transmettre aux équipes chargées de la correction. Il prend en charge VEX, surveille les SBOM des fournisseurs aux côtés de vos propres builds, et sa vue d'inventaire montre quelles versions logicielles sont déployées sur quels produits.
Les notifications CRA, soumises pour vous
Depuis le 11 septembre 2026, une vulnérabilité activement exploitée déclenche un compte à rebours : une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final dans les 14 jours suivant un correctif. CRACI soumet ces notifications aux autorités en votre nom. L'obligation de signalement reste la vôtre ; CRACI se charge de la soumission et montre quels produits et quelles releases sont touchés.
Des preuves pour l'évaluation de la conformité
CRACI ne réalise pas d'évaluations de la conformité. Il rassemble les preuves techniques dont elles ont besoin : SBOM générées au build, registres des vulnérabilités et des corrections, provenance et traces réseau. Les SBOM s'exportent en CycloneDX ou SPDX, et le reste passe par l'API. La procédure d'évaluation, la déclaration de conformité et l'éventuel organisme notifié relèvent du processus du fabricant.
Les obligations du CRA pour lesquelles CRACI fournit des preuves
Les obligations de signalement du CRA s'appliquent depuis le 11 septembre 2026, y compris aux produits déjà sur le marché, et le reste du règlement s'applique à partir du 11 décembre 2027. Voici ce que fait CRACI pour chaque obligation qui touche la chaîne d'approvisionnement logicielle, et ce qui reste du ressort du fabricant.
| Obligation | Où dans le CRA | Ce que fournit CRACI | Ce qui reste de votre ressort |
|---|---|---|---|
| Nomenclature logicielle (SBOM) | Annexe I, partie II (1) ; annexe VII | Une SBOM pour chaque job de build, en CycloneDX ou SPDX, avec les dépendances transitives, les licences déclarées et un état de complétude. | La conserver dans la documentation technique et la fournir à une autorité de surveillance du marché sur demande. |
| Traitement des vulnérabilités pendant la période de support | Article 13(8) ; annexe I, partie II | Surveillance continue des SBOM livrées, tri et transmission aux équipes responsables, VEX, et SBOM des fournisseurs surveillées aux côtés de vos builds. | Fixer la période de support, corriger et livrer les mises à jour de sécurité, et appliquer une politique de divulgation coordonnée des vulnérabilités. |
| Signalement des vulnérabilités exploitées et des incidents graves | Article 14 | Soumet l'alerte précoce, la notification et le rapport final en votre nom, et montre quels produits et quelles releases sont touchés. | L'obligation elle-même, et l'information des utilisateurs concernés. |
| Diligence raisonnable sur les composants tiers | Article 13(5) | Un enregistrement de chaque paquet récupéré par chaque build, une politique de trafic sortant sur le réseau de build et la surveillance des SBOM des fournisseurs. | Le choix des composants et des fournisseurs, et l'action sur ce que montre l'enregistrement. |
| Documentation technique et traçabilité | Article 31 ; article 13(13) ; annexe VII | SBOM, traces réseau et données de provenance via l'API, et export des SBOM en CycloneDX ou SPDX. Les données sont conservées 180 jours par défaut, avec une durée de conservation personnalisée sur Enterprise. | Le dossier technique lui-même, conservé au moins 10 ans ou pendant la période de support si elle est plus longue. |
| Évaluation des risques et exigences de sécurité du produit | Article 13(2) ; annexe I, partie I | Non couvert. | L'évaluation des risques de cybersécurité et la conception sécurisée, comme les paramètres sécurisés par défaut, le contrôle d'accès et la protection des données. |
| Évaluation de la conformité, déclaration de conformité, marquage CE | Articles 28, 30 et 32 | Des preuves uniquement. CRACI n'évalue pas, ne certifie pas et ne pilote pas l'évaluation. | Mener l'évaluation, avec un organisme notifié lorsque la classe du produit l'exige, et signer la déclaration. |
CRACI exécute vos jobs GitHub Actions sur ses propres runners : c'est pourquoi il peut enregistrer le build au lieu de le scanner après coup. Les autres systèmes CI figurent sur la roadmap.
Conçu pour les entreprises internationales présentes en Europe.
Avec le Cyber Resilience Act, le marquage CE couvrira bientôt les produits logiciels : chaque éditeur devra réussir une évaluation de la conformité avant de vendre dans l'UE. CRACI vous y prépare sans ralentir votre développement.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
La conformité au CRA, en questions
Ce que le Cyber Resilience Act exige des fabricants, et la place de CRACI
Qu'est-ce que la conformité au CRA ?
La conformité au CRA signifie qu'un produit comportant des éléments numériques respecte le Cyber Resilience Act de l'UE, le règlement (UE) 2024/2847, lors de sa mise sur le marché européen et pendant toute sa période de support. Pour les fabricants, cela couvre une évaluation des risques de cybersécurité, les exigences essentielles de l'annexe I, le traitement des vulnérabilités, SBOM comprise, le signalement des vulnérabilités activement exploitées et des incidents graves, la documentation technique, une évaluation de la conformité, une déclaration UE de conformité et le marquage CE.
CRACI rend-il mon produit conforme au CRA ?
Aucun outil ne le fait. La conformité est un processus mené par le fabricant. CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement et des preuves que requiert votre démarche CRA : SBOM générées au build, surveillance des vulnérabilités, notifications CRA soumises en votre nom, données de provenance et preuves exportables.
Que doit faire un logiciel de conformité au CRA ?
Sur le plan technique : produire une SBOM fiable pour chaque release, la surveiller pour détecter de nouvelles vulnérabilités pendant toute la période de support, retrouver les produits touchés assez vite pour l'alerte précoce sous 24 heures, et conserver des preuves que vous pouvez remettre à une autorité. Sur le plan de la gouvernance : relier les exigences aux mesures de contrôle et suivre l'évaluation des risques et l'évaluation de la conformité. CRACI couvre le volet technique pour les logiciels que vous construisez avec GitHub Actions.
Le CRA exige-t-il une SBOM ?
Oui. L'annexe I, partie II, point 1 impose aux fabricants d'établir une nomenclature logicielle dans un format couramment utilisé et lisible par machine, couvrant au minimum les dépendances de premier niveau du produit. Elle fait partie de la documentation technique, qu'une autorité de surveillance du marché peut demander. Le CRA ne vous oblige pas à la publier.
Quand les obligations de signalement du CRA s'appliquent-elles ?
À partir du 11 septembre 2026, et elles couvrent aussi les produits mis sur le marché avant le 11 décembre 2027. Le reste du règlement s'applique à partir du 11 décembre 2027.
CRACI réalise-t-il l'évaluation de la conformité ?
Non. CRACI ne réalise pas d'évaluations de la conformité, ne pilote pas le processus d'évaluation, ne délivre pas de certificats et n'agit pas en tant qu'organisme notifié. Il fournit les preuves techniques que demande l'évaluation.
Avec quels systèmes CI CRACI fonctionne-t-il ?
GitHub Actions aujourd'hui. Vous basculez un workflow sur CRACI avec runs-on: craci, et les exécutions apparaissent toujours dans GitHub. D'autres systèmes CI, à commencer par GitLab CI et Jenkins, figurent sur la roadmap.
Découvrez les preuves CRA de l'un de vos builds
Réservez une démo : nous passerons en revue la SBOM, la surveillance et le signalement que CRACI produit à partir d'un build de release GitHub Actions
Réserver une démo