Un software per la conformità al CRA che parte dalla Sua build
CRACI automatizza una parte significativa della visibilità sulla supply chain e delle evidenze che il Suo processo per il Cyber Resilience Act richiede: SBOM registrate da ogni build, monitoraggio delle vulnerabilità dopo il rilascio, notifiche CRA inviate per Suo conto e dati di provenance. La valutazione dei rischi, la valutazione della conformità e la dichiarazione di conformità restano a Lei, in quanto fabbricante.
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
SBOM registrate dalla build
Il CRA richiede una distinta base del software in un formato leggibile da una macchina. CRACI ne registra una durante l'esecuzione della Sua build di release su GitHub Actions: ogni pacchetto scaricato dal job, compresi i pacchetti ripristinati dalle cache CI, esportato in CycloneDX o SPDX con le dipendenze transitive e la licenza dichiarata di ogni componente. La SBOM di ogni job riporta uno stato di completezza, così Lei sa se il registro è integro.
Gestione delle vulnerabilità dopo il rilascio
I fabbricanti gestiscono le vulnerabilità per l'intero periodo di assistenza. CRACI continua a rivalutare le SBOM di ciò che Lei ha distribuito rispetto alle nuove vulnerabilità, aggrega i risultati di tutte le build e di tutti i repository e consente ai team di sicurezza di esaminarli e inoltrarli ai team responsabili della correzione. Supporta VEX, monitora le SBOM dei fornitori insieme alle Sue build e la sua vista di inventario mostra quali versioni del software sono distribuite su quali prodotti.
Notifiche CRA, inviate per Lei
Dall'11 settembre 2026, una vulnerabilità attivamente sfruttata fa partire il conto alla rovescia: un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro 14 giorni da una correzione. CRACI invia queste notifiche alle autorità per Suo conto. L'obbligo di segnalazione resta Suo; CRACI si occupa dell'invio e mostra quali prodotti e quali release sono interessati.
Evidenze per la valutazione della conformità
CRACI non esegue valutazioni della conformità. Raccoglie le evidenze tecniche che servono: SBOM in fase di build, registri delle vulnerabilità e delle correzioni, provenance e tracce di rete. Le SBOM si esportano in CycloneDX o SPDX e il resto arriva tramite l'API. La procedura di valutazione, la dichiarazione di conformità e l'eventuale organismo notificato restano un processo del fabbricante.
Per quali obblighi del CRA CRACI fornisce evidenze
Gli obblighi di segnalazione del CRA si applicano dall'11 settembre 2026, anche ai prodotti già sul mercato, e il resto del regolamento si applica dall'11 dicembre 2027. Ecco che cosa fa CRACI per ogni obbligo che riguarda la software supply chain e che cosa resta un processo del fabbricante.
| Obbligo | Riferimento nel CRA | Che cosa fornisce CRACI | Che cosa resta a Lei |
|---|---|---|---|
| Distinta base del software (SBOM) | Allegato I, parte II (1); allegato VII | Una SBOM da ogni job di build, in CycloneDX o SPDX, con dipendenze transitive, licenze dichiarate e uno stato di completezza. | Conservarla nella documentazione tecnica e fornirla su richiesta a un'autorità di vigilanza del mercato. |
| Gestione delle vulnerabilità per il periodo di assistenza | Articolo 13(8); allegato I, parte II | Monitoraggio continuo delle SBOM distribuite, triage e inoltro ai team responsabili, VEX e SBOM dei fornitori monitorate insieme alle Sue build. | Stabilire il periodo di assistenza, correggere e distribuire gli aggiornamenti di sicurezza e applicare una politica di divulgazione coordinata delle vulnerabilità. |
| Segnalazione delle vulnerabilità sfruttate e degli incidenti gravi | Articolo 14 | Invia per Suo conto il preallarme, la notifica e la relazione finale, e mostra quali prodotti e quali release sono interessati. | L'obbligo in sé e l'informazione degli utenti interessati. |
| Dovuta diligenza sui componenti di terze parti | Articolo 13(5) | Un registro di ogni pacchetto scaricato da ogni build, una policy di egress sulla rete di build e il monitoraggio delle SBOM dei fornitori. | La scelta di componenti e fornitori, e le azioni conseguenti a ciò che il registro mostra. |
| Documentazione tecnica e tracciabilità | Articolo 31; articolo 13(13); allegato VII | SBOM, tracce di rete e dati di provenance tramite l'API, ed esportazione delle SBOM in CycloneDX o SPDX. I dati vengono conservati per 180 giorni per impostazione predefinita, con conservazione personalizzata nel piano Enterprise. | Il fascicolo tecnico vero e proprio, conservato per almeno 10 anni o per il periodo di assistenza, se più lungo. |
| Valutazione dei rischi e requisiti di sicurezza del prodotto | Articolo 13(2); allegato I, parte I | Non coperto. | La valutazione dei rischi di cibersicurezza e la progettazione sicura, ad esempio configurazioni sicure per impostazione predefinita, controllo degli accessi e protezione dei dati. |
| Valutazione della conformità, dichiarazione di conformità, marcatura CE | Articoli 28, 30 e 32 | Solo evidenze. CRACI non valuta, non certifica e non gestisce la valutazione. | Svolgere la valutazione, con un organismo notificato se la classe del prodotto lo richiede, e firmare la dichiarazione. |
CRACI esegue i Suoi job GitHub Actions sui propri runner: per questo può registrare la build invece di scansionarla a posteriori. Altri sistemi CI sono in roadmap.
Pensato per le aziende internazionali che operano in Europa.
Con il Cyber Resilience Act la marcatura CE coprirà presto anche i prodotti software: ogni produttore di software dovrà superare una valutazione della conformità prima di vendere nell'UE. CRACI La aiuta a prepararsi senza rallentare il Suo sviluppo.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Conformità al CRA: le risposte
Che cosa chiede il Cyber Resilience Act ai fabbricanti e dove si colloca CRACI
Che cos'è la conformità al CRA?
Conformità al CRA significa che un prodotto con elementi digitali soddisfa il Cyber Resilience Act dell'UE, il regolamento (UE) 2024/2847, quando viene immesso sul mercato dell'UE e per tutto il suo periodo di assistenza. Per i fabbricanti comprende una valutazione dei rischi di cibersicurezza, i requisiti essenziali dell'allegato I, la gestione delle vulnerabilità inclusa una SBOM, la segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi, la documentazione tecnica, una valutazione della conformità, una dichiarazione di conformità UE e la marcatura CE.
CRACI rende il mio prodotto conforme al CRA?
Nessuno strumento può farlo. La conformità è un processo gestito dal fabbricante. CRACI automatizza una parte significativa della visibilità sulla supply chain e delle evidenze che il Suo processo CRA richiede: SBOM in fase di build, monitoraggio delle vulnerabilità, notifiche CRA inviate per Suo conto, dati di provenance ed evidenze esportabili.
Che cosa deve fare un software per la conformità al CRA?
Sul piano tecnico: produrre una SBOM affidabile per ogni release, monitorarla per individuare nuove vulnerabilità per l'intero periodo di assistenza, trovare i prodotti interessati abbastanza in fretta per il preallarme entro 24 ore e conservare evidenze da consegnare a un'autorità. Sul piano della governance: associare i requisiti ai controlli e seguire la valutazione dei rischi e la valutazione della conformità. CRACI copre il lato tecnico per il software che Lei compila con GitHub Actions.
Il CRA richiede una SBOM?
Sì. L'allegato I, parte II, punto 1, impone ai fabbricanti di redigere una distinta base del software in un formato di uso comune e leggibile da una macchina, che copra almeno le dipendenze di primo livello del prodotto. Fa parte della documentazione tecnica, che un'autorità di vigilanza del mercato può richiedere. Il CRA non La obbliga a pubblicarla.
Quando si applicano gli obblighi di segnalazione del CRA?
Dall'11 settembre 2026, e riguardano anche i prodotti immessi sul mercato prima dell'11 dicembre 2027. Il resto del regolamento si applica dall'11 dicembre 2027.
CRACI esegue la valutazione della conformità?
No. CRACI non esegue valutazioni della conformità, non gestisce il processo di valutazione, non rilascia certificati e non opera come organismo notificato. Fornisce le evidenze tecniche richieste dalla valutazione.
Con quali sistemi CI funziona CRACI?
Oggi con GitHub Actions. Lei sposta un workflow su CRACI con runs-on: craci, e le esecuzioni continuano a comparire in GitHub. Altri sistemi CI, a partire da GitLab CI e Jenkins, sono in roadmap.
Veda le evidenze CRA di una delle Sue build
Prenoti una demo: esamineremo insieme la SBOM, il monitoraggio e le segnalazioni che CRACI produce da una build di release GitHub Actions
Prenota una demo