Strumenti per la conformità al CRA a confronto

A chi si rivolge questa pagina

Lei realizza un prodotto con elementi digitali e lo immette sul mercato dell'UE. Il Cyber Resilience Act, regolamento (UE) 2024/2847, Le si applica per fasi: gli obblighi di segnalazione dall'11 settembre 2026 e le disposizioni principali dall'11 dicembre 2027. Sta scegliendo gli strumenti per la parte tecnica di questo lavoro. CRACI lo sviluppiamo noi, quindi ne tenga conto. Descriviamo ogni strumento in base alla sua documentazione e diciamo dove un altro strumento è più adatto.

Una regola attraversa tutta la pagina. La conformità è un processo gestito dal fabbricante, con valutazione dei rischi, documentazione e valutazione della conformità. Gli strumenti producono evidenze e automatizzano parti del lavoro. Nessuno degli strumenti qui sotto rende conforme un prodotto da solo.

Che cosa chiede il CRA

Per la software supply chain, sono cinque i requisiti che contano di più.

1. Una SBOM. I fabbricanti individuano e documentano i componenti contenuti nel prodotto, "anche redigendo una distinta base del software in un formato di uso comune e leggibile da dispositivo automatico che comprenda almeno le dipendenze di primo livello dei prodotti" (allegato I, parte II). L'allegato VII la colloca nella documentazione tecnica, che un'autorità di vigilanza del mercato può richiedere.
2. Gestione delle vulnerabilità. Affrontare e correggere le vulnerabilità senza ritardo, anche tramite aggiornamenti di sicurezza, effettuare test regolari e applicare una politica di divulgazione coordinata delle vulnerabilità (allegato I, parte II).
3. Segnalazione. Notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi al Suo CSIRT e all'ENISA tramite la piattaforma unica di segnalazione del CRA: un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro 14 giorni da quando è disponibile una correzione o una misura di mitigazione per una vulnerabilità, o entro un mese per un incidente grave (articolo 14).
4. Evidenze. Documentazione tecnica, una valutazione della conformità e una dichiarazione di conformità UE (articoli 28, 31 e 32, allegato VII), tenute a disposizione delle autorità per almeno 10 anni dall'immissione del prodotto sul mercato o per il periodo di assistenza, se più lungo (articolo 13).
5. Un periodo di assistenza. Un periodo che rispecchi per quanto tempo si prevede che il prodotto sia in uso, di almeno cinque anni salvo che l'uso previsto sia più breve, durante il quale le vulnerabilità vengono gestite in modo efficace (articolo 13).

Come scegliere

• Con quale metà del lavoro Le serve aiuto? Gli strumenti tecnici producono la SBOM, i registri delle vulnerabilità e le evidenze di build. Le piattaforme di gestione della conformità mappano i requisiti sui controlli, redigono le policy e seguono il processo. La maggior parte degli strumenti è forte in una delle due metà, quindi decida quale lacuna è più grande.
• Lei compila il software o lo integra? Se gran parte del prodotto arriva da fornitori di chip e altri fornitori sotto forma di binari, l'analisi binaria è il modo per vederci dentro. Se lo compila Lei, la build è la fonte di evidenze più diretta.
• Da dove proviene la Sua SBOM, e come sa che è completa? Scanner, interrogazioni degli strumenti di build e registrazione della build possono dare risposte diverse per la stessa release.
• Riesce a trovare le release interessate in poche ore? Un preallarme entro 24 ore dipende da un inventario per release di cui si fida.
• Le serve un sistema di riferimento? Con molti prodotti e fornitori, la gestione delle SBOM con VEX e la condivisione diventa un lavoro a sé.

In sintesi

Due tabelle: prima gli strumenti SBOM, SCA e di gestione delle SBOM, poi gli strumenti pensati per firmware e dispositivi. Le righe seguono i requisiti indicati sopra. "Non dichiarato" significa che le pagine del fornitore che citiamo non si esprimono in merito.

SBOM, SCA e gestione delle SBOM

Firmware e dispositivi

CRACI

CRACI è un runner GitHub Actions. Per il software che compila Lei, registra ciò che ogni job ha scaricato, compresi i pacchetti ripristinati dalle cache CI, e produce una SBOM CycloneDX o SPDX con uno stato di completezza per job e per cache. Continua a rivalutare le SBOM di ciò che è stato distribuito, supporta VEX e invia le notifiche previste dal CRA per Suo conto quando occorre segnalare una vulnerabilità attivamente sfruttata. Per Yocto, registra ciò che l'output SPDX di Yocto tralascia. Aiuta con: generazione di SBOM, gestione delle vulnerabilità, notifiche previste dal CRA, evidenze. Attenzione: non analizza binari che non ha compilato Lei, non offre mappatura dei controlli né gestione delle policy, e oggi supporta GitHub Actions (GitLab CI e Jenkins sono in roadmap). Conformità al CRA con CRACI

Gestione delle SBOM

Cybeats

Cybeats SBOM Studio si definisce "the SBOM system of record", il sistema di riferimento per le SBOM. Archivia le SBOM dei Suoi prodotti e fornitori in SPDX da 2.2 a 3.0.1 e CycloneDX da 1.2 a 1.7, le valida con un Quality Score prima dell'importazione, confronta ogni componente con la vulnerability intelligence, emette VEX e condivide le SBOM con i clienti, anche tramite la Transparency Exchange API. La sua guida alle normative illustra la sequenza del CRA di 24 ore, 72 ore e 14 giorni. Aiuta con: gestione delle SBOM, gestione delle vulnerabilità, evidenze. Attenzione: per la generazione rimanda ai fornitori del suo Marketplace, quindi la SBOM stessa proviene da un altro strumento. CRACI vs Cybeats e Alternative a Cybeats

FOSSA

FOSSA è nato nella conformità delle licenze e oggi copre il ciclo di vita delle SBOM. Genera SBOM SPDX e CycloneDX, opzionalmente con dichiarazioni VDR o VEX, importa le SBOM dei fornitori con policy per gli elementi minimi NTIA e FDA, le monitora per individuare vulnerabilità e le condivide tramite uno SBOM Portal su Enterprise. A settembre 2026 offre un piano gratuito, e Business costa $20 per progetto al mese, con fatturazione annuale. Aiuta con: SBOM, condivisione con le autorità, licenze. Attenzione: la FOSSA CLI analizza il progetto tramite il suo strumento di build o deduce dai sorgenti, invece di registrare la build. CRACI vs FOSSA

Anchore

Anchore Enterprise si basa sugli strumenti open source Syft e Grype. Scansiona immagini container, filesystem e SBOM importate, riesegue la scansione delle SBOM archiviate senza l'artefatto originale, applica policy pack come FedRAMP e NIST e gira in self-hosting, anche in ambienti air-gapped. Il suo materiale sul CRA copre la gestione delle SBOM, il monitoraggio rispetto a fonti tra cui CISA KEV, il supporto alle finestre di 24 e 72 ore, le annotazioni VEX e gli audit trail. Aiuta con: SBOM, gestione delle vulnerabilità, evidenze. Attenzione: le sue SBOM descrivono ciò che uno scanner trova in un'immagine o in una directory, non ciò che la build ha scaricato e lasciato dietro di sé. CRACI vs Anchore

Suite SCA

Black Duck

Black Duck SCA combina scansione dei package manager, delle firme, degli snippet e dei binari, quindi trova open source che nessuno ha dichiarato, e la sua KnowledgeBase tiene traccia di oltre 2.750 licenze. Binary Analysis esamina il firmware senza codice sorgente, Coverity offre SAST con un'opzione di checker allineata al CRA annunciata a luglio 2026, e Defensics esegue il fuzz testing. Black Duck sostiene che il CRA richieda più livelli di test, non solo la SCA. Aiuta con: SBOM, gestione delle vulnerabilità per i componenti e per il Suo codice, test. Attenzione: i prezzi sono su preventivo, e ogni tecnica ispeziona il codice o l'output anziché la build. CRACI vs Black Duck

Sonatype

Sonatype Lifecycle applica le policy sull'open source con dati di raggiungibilità e di aggiornamento e apre Golden Pull Request. Repository Firewall mette in quarantena i componenti che non rispettano le policy prima che entrino nei Suoi repository. SBOM Manager importa, monitora e condivide le SBOM con un workflow VEX, e Sonatype lo presenta come il suo prodotto per il CRA; la sua guida indica inoltre Nexus Repository come sito di distribuzione degli aggiornamenti di sicurezza. Aiuta con: gestione delle vulnerabilità, gestione delle SBOM, tenere fuori i componenti pericolosi. Attenzione: l'offerta sta cambiando (i nuovi clienti acquistano Sonatype Guide), e Lifecycle analizza ciò che la build ha prodotto anziché ciò che ha scaricato. CRACI vs Sonatype

Firmware e dispositivi

ONEKEY

ONEKEY analizza il firmware compilato senza bisogno, nelle sue parole, di "codice sorgente o accesso alla rete". Genera una SBOM dal binario, importa le SBOM dei fornitori, cerca probabili zero-day come le credenziali hardcoded e rianalizza il firmware ogni giorno. Il suo Compliance Wizard guida i team attraverso il CRA, IEC 62443-4-2, ETSI EN 303 645 e la direttiva sulle apparecchiature radio. Aiuta con: SBOM per il firmware che non ha compilato Lei, gestione delle vulnerabilità, verifiche guidate. Attenzione: lavora sull'immagine dopo la build, quindi non registra ciò che la build ha scaricato. CRACI vs ONEKEY e Alternative a ONEKEY

Finite State

Finite State analizza firmware, binari, codice sorgente e SBOM dei fornitori, con il supporto a più di 50 architetture di set di istruzioni binarie, e li riunisce in un unico registro di prodotto. Ordina i risultati per raggiungibilità e intelligence sugli exploit, registra le decisioni VEX, e il suo workflow di conformità copre la mappatura dei controlli del CRA e report pronti per l'audit con artefatti SBOM e VEX. Aiuta con: SBOM di tutti i fornitori, triage delle vulnerabilità, evidenze. Attenzione: parte dagli artefatti, quindi controllare ciò che la Sua build può raggiungere è fuori dal suo perimetro. CRACI vs Finite State e Alternative a Finite State

Exein

Exein lavora sul dispositivo. Exein Runtime usa eBPF per monitorare e bloccare i comportamenti malevoli su Linux embedded, e il layer Yocto open source meta-exein inserisce il suo agent Pulsar nella Sua immagine. Exein Analyzer scansiona il firmware prima del rilascio, o la Sua SBOM quando il binario non è disponibile, assegna le priorità con un punteggio di raggiungibilità e mappa i risultati sui requisiti del CRA. Aiuta con: gestione delle vulnerabilità sul campo, SBOM del firmware, mappatura sul CRA. Attenzione: il layer Yocto cambia ciò che gira sul dispositivo; non esegue né registra la Sua build. CRACI vs Exein

Piattaforme di gestione della conformità

Questi strumenti non generano SBOM né scansionano il codice. Lavorano sulla metà legata alla governance: mappare i requisiti del CRA sui controlli, redigere policy e seguire scadenze e approvazioni. Hanno bisogno di evidenze tecniche provenienti da altri strumenti.

Venvera

Venvera è una piattaforma di conformità sviluppata nell'UE che copre il CRA insieme a NIS2, DORA, ISO 27001 e SOC 2. Per il CRA segue le scadenze di segnalazione di 24 e 72 ore, la gestione delle vulnerabilità, la SBOM come requisito da mantenere, la procedura di valutazione della conformità per classe di prodotto, e la documentazione tecnica dell'allegato VII e la dichiarazione di conformità UE. Aiuta con: mappatura dei controlli, scadenze di segnalazione, monitoraggio del processo di conformità. Attenzione: verifica che una SBOM esista e sia mantenuta; la SBOM stessa proviene da un altro strumento.

ZeroRisk

ZeroRisk è una piattaforma di conformità agentica che copre GDPR, ISO 27001, SOC 2, NIS2, DORA e il CRA. Per il CRA il suo agente mappa i requisiti sulla Sua organizzazione, precompila una valutazione di preparazione, redige i controlli e le policy mancanti e monitora i fornitori presenti nei Suoi prodotti, ricontrollati ogni 24 ore, con l'approvazione umana di ogni conclusione. Aiuta con: preparazione, policy, garanzie sui fornitori. Attenzione: la sua pagina sul CRA non menziona la generazione di SBOM né il monitoraggio delle vulnerabilità delle Sue build.

Segnalare entro le scadenze

L'articolo 14 pone la notifica in capo al fabbricante e si applica dall'11 settembre 2026, anche ai prodotti già sul mercato. Ciò che gli strumenti possono fare è ridurre il tempo tra "questa vulnerabilità viene sfruttata" e "sappiamo quali prodotti e release la contengono". Questo dipende da inventari per release di cui si fida, da un monitoraggio continuo e da un collegamento tra ogni artefatto distribuito e i suoi componenti. Anchore e Cybeats descrivono le finestre di segnalazione nel loro materiale sul CRA, Venvera segue le scadenze, e l'analisi binaria di ONEKEY, Finite State o Exein copre il codice dei fornitori che Lei non può ricompilare. L'API di CRACI restituisce SBOM, tracce di rete e provenance, e CRACI invia il preallarme, la notifica e la relazione finale per conto del fabbricante.

Dove si colloca CRACI

CRACI è un runner GitHub Actions. Per il software che compila Lei, registra ciò che ogni job ha scaricato, compresi i pacchetti ripristinati dalle cache CI, e produce una SBOM CycloneDX o SPDX con uno stato di completezza per job e per cache. Applica una policy di egress alla build, continua a rivalutare le SBOM di ciò che è stato distribuito, supporta VEX ed esporta le SBOM in CycloneDX o SPDX, vulnerabilità comprese, per le Sue evidenze per il CRA. Quando occorre segnalare una vulnerabilità attivamente sfruttata, CRACI invia le notifiche previste dal CRA per Suo conto. Per Yocto, esegue BitBake su runner fino a 32 vCPU e 96 GB di RAM e registra ciò che l'output SPDX di Yocto tralascia, come i pacchetti dell'host e i package URL dei crate Rust. La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA.

Da solo non basta se la maggior parte del Suo prodotto arriva dai fornitori sotto forma di binari, o se Le servono verifiche guidate rispetto agli standard, mappatura dei controlli e gestione delle policy, protezione sul dispositivo o, già oggi, sistemi CI diversi da GitHub Actions (GitLab CI e Jenkins sono in roadmap). Per le build di cui è responsabile, CRACI copre SBOM, monitoraggio e notifiche previste dal CRA in un unico prodotto; per il firmware che non può ricompilare, l'analisi binaria vede ciò che la Sua build non ha mai visto. Veda che cos'è il CRA, la conformità al CRA e l'IoT industriale.

Strumenti per la conformità al CRA: domande frequenti

Che cosa fa un software per la conformità al CRA e che cosa resta al fabbricante

Che cos'è un software per la conformità al CRA?

Un software che aiuta un fabbricante a rispettare il Cyber Resilience Act. Ne esistono due tipi: strumenti tecnici che producono la SBOM, i registri delle vulnerabilità e le evidenze di build, e piattaforme di gestione della conformità che mappano i requisiti sui controlli e seguono le scadenze di segnalazione, la valutazione dei rischi e la valutazione della conformità. Nessuno rende conforme un prodotto da solo.

Quali obblighi del CRA può automatizzare uno strumento?

Soprattutto quelli legati alla gestione delle vulnerabilità: generare la SBOM, monitorarla per individuare nuove vulnerabilità, trovare le release interessate, registrare le decisioni di triage e VEX, preparare e inviare le notifiche dell'articolo 14 ed esportare le evidenze per la documentazione tecnica. La valutazione dei rischi, la progettazione sicura, la valutazione della conformità e la dichiarazione di conformità restano decisioni del fabbricante.

Mi serve uno strumento o più di uno?

Di solito più di uno. Uno strumento tecnico Le fornisce la SBOM e le evidenze sulle vulnerabilità; una piattaforma di gestione della conformità o un consulente coprono controlli, policy e la procedura di conformità. Per il firmware che riceve dai fornitori come binari, l'analisi binaria aggiunge ciò che la Sua build non può vedere.

Qual è la scadenza per le segnalazioni previste dal CRA?

L'articolo 14 si applica dall'11 settembre 2026: un preallarme entro 24 ore da quando si viene a conoscenza di una vulnerabilità attivamente sfruttata, una notifica entro 72 ore e una relazione finale entro 14 giorni da quando è disponibile una correzione o una misura di mitigazione. Riguarda anche i prodotti già sul mercato. Il resto del CRA si applica dall'11 dicembre 2027.

CRACI invia le notifiche previste dal CRA?

Sì. CRACI invia il preallarme, la notifica e la relazione finale per conto del fabbricante. L'obbligo di segnalazione resta in capo al fabbricante.

Esiste uno strumento che esegue la valutazione della conformità al CRA?

Nessuno strumento software la sostituisce. È il fabbricante a eseguire la valutazione, mediante controllo interno o, per i prodotti importanti e critici, con un organismo notificato o un sistema di certificazione dove il CRA lo richiede. Gli strumenti forniscono le evidenze su cui si basa la valutazione.