CRAコンプライアンスツールの比較

このページの対象読者

デジタル要素を含む製品を製造し、EU市場に投入している方が対象です。Cyber Resilience Act（規則(EU) 2024/2847）は段階的に適用されます。報告義務は2026年9月11日から、主要な規定は2027年12月11日からです。このページは、その作業の技術的な部分のツールを選定している方向けです。CRACIは当社の製品であることを踏まえてお読みください。各ツールはそれぞれのドキュメントに基づいて説明し、他のツールのほうが適している場合はその旨を明記しています。

このページを通じた原則が1つあります。コンプライアンスは、リスクアセスメント、文書化、適合性評価を含め、製造者が実施するプロセスです。ツールはエビデンスを作成し、作業の一部を自動化します。以下のどのツールも、それだけで製品をコンプライアンスに適合させるものではありません。

CRAが求めるもの

ソフトウェアサプライチェーンについては、5つの要件が作業の大部分を占めます。

1. SBOM。製造者は製品に含まれるコンポーネントを特定し、文書化します。これには「少なくとも製品のトップレベルの依存関係を対象とするソフトウェア部品表を、一般的に使用される機械可読形式で作成すること」が含まれます（附属書I第II部）。附属書VIIはSBOMを技術文書に位置付けており、市場監視当局はこれを要求できます。
2. 脆弱性対応。セキュリティアップデートを含め、脆弱性に遅滞なく対処して修正し、定期的にテストを行い、協調的な脆弱性開示ポリシーを運用します（附属書I第II部）。
3. 報告。悪用が確認された脆弱性と重大インシデントを、CRA Single Reporting Platformを通じてCSIRTとENISAに通知します。24時間以内に早期警告、72時間以内に通知を行い、脆弱性については修正または緩和策が利用可能になってから14日以内に、重大インシデントについては1か月以内に最終報告を提出します（第14条）。
4. エビデンス。技術文書、適合性評価、EU適合宣言（第28条、第31条、第32条、附属書VII）。これらは、製品の上市後少なくとも10年間、またはサポート期間のいずれか長いほうの期間、当局が利用できるよう保管します（第13条）。
5. サポート期間。製品が使用されると見込まれる期間を反映した期間で、想定使用期間がそれより短い場合を除き少なくとも5年間とし、その間は脆弱性に効果的に対処します（第13条）。

選び方

• 作業のどちら側に支援が必要か。技術ツールはSBOM、脆弱性の記録、ビルドのエビデンスを作成します。コンプライアンス管理プラットフォームは要件を管理策にマッピングし、ポリシーを起草し、プロセスを管理します。ほとんどのツールはどちらか一方に強みがあるため、どちらのギャップが大きいかを見極めてください。
• ソフトウェアを自社でビルドするのか、統合するのか。製品の多くがチップベンダーやサプライヤーからバイナリで届くなら、その中身を見る手段はバイナリ解析です。自社でビルドするなら、ビルドが最も直接的なエビデンスの源になります。
• SBOMはどこから来るのか、完全であるとどう分かるのか。スキャナー、ビルドツールへの問い合わせ、ビルドの記録では、同じリリースでも異なる結果が出ることがあります。
• 影響を受けるリリースを数時間で特定できるか。24時間以内の早期警告は、信頼できるリリースごとのインベントリにかかっています。
• 記録システムが必要か。製品やサプライヤーが多い場合、VEXと共有を含むSBOM管理はそれ自体が1つの業務になります。

一覧比較

表は2つあります。まずSBOM、SCA、SBOM管理のツール、次にファームウェアとデバイス向けに作られたツールです。行は上記の要件に沿っています。「記載なし」は、引用したベンダーのページにどちらとも書かれていないことを意味します。

SBOM、SCA、SBOM管理

ファームウェアとデバイス

CRACI

CRACIはGitHub Actionsのランナーです。自社でビルドするソフトウェアについて、CIキャッシュから復元されたパッケージを含め、各ジョブが取得したものを記録し、ジョブごと、キャッシュごとに完全性の状態を示すCycloneDXまたはSPDX形式のSBOMを作成します。出荷したもののSBOMを再評価し続け、VEXに対応し、悪用が確認された脆弱性を報告する必要がある場合は、CRAの通知の内容を作成します。提出はお客様が行います。Yoctoについては、Yocto自身のSPDX出力が取りこぼすものを記録します。役立つ領域：SBOM生成、脆弱性対応、CRAの通知、エビデンス。注意点：自社でビルドしていないバイナリは解析せず、管理策のマッピングやポリシー管理の機能はなく、現時点で対応しているのはGitHub Actionsです（GitLab CIとJenkinsはロードマップに掲載）。CRACIによるCRAコンプライアンス

SBOM管理

Cybeats

Cybeats SBOM Studioは自らを「SBOMの記録システム」と称しています。自社製品とサプライヤーのSBOMをSPDX 2.2～3.0.1とCycloneDX 1.2～1.7で保管し、インポート前にQuality Scoreで検証し、すべてのコンポーネントを脆弱性インテリジェンスと照合し、VEXを発行し、Transparency Exchange API経由を含めて顧客とSBOMを共有します。規制ガイドでは、CRAの24時間、72時間、14日のタイムラインを解説しています。役立つ領域：SBOM管理、脆弱性対応、エビデンス。注意点：生成についてはMarketplaceのベンダーを案内しているため、SBOM自体は別のツールで作成されます。CRACIとCybeatsの比較、Cybeatsの代替ツール

FOSSA

FOSSAはライセンスコンプライアンスから始まり、現在はSBOMのライフサイクルをカバーしています。SPDXとCycloneDXのSBOMを生成し（オプションでVDRやVEXのステートメントを付加）、NTIAとFDAの最小要素に関するポリシーでサプライヤーのSBOMをインポートし、脆弱性について監視し、EnterpriseではSBOM Portalで共有します。2026年9月時点で無料プランがあり、Businessは1プロジェクトあたり月額$20（年払い）です。役立つ領域：SBOM、当局との共有、ライセンス。注意点：FOSSA CLIは、ビルドを記録するのではなく、ビルドツールを通じてプロジェクトを解析するか、ソースから推測します。CRACIとFOSSAの比較

Anchore

Anchore Enterpriseは、オープンソースのSyftとGrypeを基盤としています。コンテナイメージ、ファイルシステム、インポートしたSBOMをスキャンし、保管したSBOMを元の成果物なしで再スキャンし、FedRAMPやNISTなどのポリシーパックを適用し、エアギャップ環境を含むセルフホストで動作します。CRAに関する資料では、SBOM管理、CISA KEVなどの情報源に基づく監視、24時間と72時間の期限への対応、VEXの注釈、監査証跡を取り上げています。役立つ領域：SBOM、脆弱性対応、エビデンス。注意点：SBOMが記述するのは、スキャナーがイメージやディレクトリで見つけたものであり、ビルドが取得して残したものではありません。CRACIとAnchoreの比較

SCAスイート

Black Duck

Black Duck SCAは、パッケージマネージャー、シグネチャ、スニペット、バイナリのスキャンを組み合わせているため、誰も宣言していないオープンソースも見つけ出し、KnowledgeBaseは2,750以上のライセンスを追跡します。Binary Analysisはソースコードなしでファームウェアを調べ、Coverityは2026年7月に発表されたCRA対応のチェッカーオプションを備えたSASTを提供し、Defensicsはファジングテストを行います。Black Duckは、CRAにはSCAだけでなく複数層のテストが必要だと主張しています。役立つ領域：SBOM、コンポーネントと自社コードの脆弱性対応、テスト。注意点：料金は見積もりで、どの手法もビルドではなくコードや出力を検査するものです。CRACIとBlack Duckの比較

Sonatype

Sonatype Lifecycleは、到達可能性とアップグレードのデータを使ってオープンソースのポリシーを適用し、Golden Pull Requestsを作成します。Repository Firewallは、ポリシーに違反するコンポーネントをリポジトリに入る前に隔離します。SBOM ManagerはVEXワークフローとともにSBOMをインポート、監視、共有し、SonatypeはこれをCRA向けの製品と位置付けています。ガイドでは、セキュリティアップデートの配信サイトとしてNexus Repositoryも紹介しています。役立つ領域：脆弱性対応、SBOM管理、不正なコンポーネントの排除。注意点：製品構成が変わりつつあり（新規顧客はSonatype Guideを購入）、Lifecycleが解析するのはビルドが取得したものではなく、ビルドが生成したものです。CRACIとSonatypeの比較

ファームウェアとデバイス

ONEKEY

ONEKEYは、「ソースコードもネットワークアクセスも不要」でコンパイル済みのファームウェアを解析します。バイナリからSBOMを生成し、サプライヤーのSBOMをインポートし、ハードコードされた認証情報などゼロデイの可能性があるものを探し、ファームウェアを毎日再解析します。Compliance Wizardは、CRA、IEC 62443-4-2、ETSI EN 303 645、Radio Equipment Directiveへの対応をチームに案内します。役立つ領域：自社でビルドしていないファームウェアのSBOM、脆弱性対応、ガイド付きチェック。注意点：ビルド後のイメージを対象とするため、ビルドが取得したものは記録しません。CRACIとONEKEYの比較、ONEKEYの代替ツール

Finite State

Finite Stateは、50以上のバイナリ命令セットアーキテクチャに対応し、ファームウェア、バイナリ、ソースコード、サプライヤーのSBOMを解析して、1つの製品レコードにまとめます。到達可能性とエクスプロイトインテリジェンスによって検出結果をランク付けし、VEXの判断を記録します。コンプライアンスワークフローは、CRAの管理策マッピングと、SBOMとVEXの成果物を含む監査対応レポートをカバーしています。役立つ領域：サプライヤーをまたいだSBOM、脆弱性のトリアージ、エビデンス。注意点：成果物を起点とするため、自社のビルドがアクセスできる範囲の制御は対象外です。CRACIとFinite Stateの比較、Finite Stateの代替ツール

Exein

Exeinはデバイス上で動作します。Exein RuntimeはeBPFを使って組み込みLinux上の悪意のある挙動を監視・ブロックし、オープンソースのmeta-exein Yoctoレイヤーは、そのPulsarエージェントをイメージに組み込みます。Exein Analyzerはリリース前にファームウェアを、バイナリが入手できない場合はSBOMをスキャンし、到達可能性スコアで優先順位を付け、検出結果をCRAの要件にマッピングします。役立つ領域：現場での脆弱性対応、ファームウェアのSBOM、CRAへのマッピング。注意点：Yoctoレイヤーはデバイス上で動作するものを変えるもので、ビルドを実行したり記録したりはしません。CRACIとExeinの比較

コンプライアンス管理プラットフォーム

これらのツールはSBOMの生成やコードのスキャンは行いません。ガバナンスの側、つまりCRAの要件の管理策へのマッピング、ポリシーの起草、期限と承認の管理を担います。技術的なエビデンスは別のツールから得る必要があります。

Venvera

VenveraはEUで開発されたコンプライアンスプラットフォームで、NIS2、DORA、ISO 27001、SOC 2とあわせてCRAをカバーしています。CRAについては、24時間と72時間の報告期限、脆弱性対応、維持すべき要件としてのSBOM、製品クラスごとの適合性評価の進め方、附属書VIIの技術文書とEU適合宣言を管理します。役立つ領域：管理策のマッピング、報告期限、適合性評価プロセスの管理。注意点：管理するのはSBOMが存在し維持されていることであり、SBOM自体は別のツールで作成されます。

ZeroRisk

ZeroRiskは、GDPR、ISO 27001、SOC 2、NIS2、DORA、CRAをカバーするエージェント型のコンプライアンスプラットフォームです。CRAについては、エージェントが要件を組織にマッピングし、準備状況のアセスメントを事前入力し、不足している管理策やポリシーを起草し、製品に含まれるサプライヤーを24時間ごとに再確認して監視します。各結論には人による承認が入ります。役立つ領域：準備状況、ポリシー、サプライヤーの保証。注意点：CRAのページには、SBOMの生成や自社のビルドの脆弱性監視についての言及がありません。

期限内の報告

第14条は通知の義務を製造者に課しており、すでに市場に出ている製品を含め、2026年9月11日から適用されています。ツールにできるのは、「この脆弱性が悪用されている」から「どの製品とリリースにそれが含まれているかが分かる」までの時間を短縮することです。そのためには、信頼できるリリースごとのインベントリ、継続的な監視、出荷した各成果物からそのコンポーネントへのつながりが必要です。AnchoreとCybeatsはCRAに関する資料で報告期限を解説しており、Venveraは期限を管理し、ONEKEY、Finite State、Exeinのバイナリ解析は再ビルドできないサプライヤーのコードをカバーします。CRACIのAPIはSBOM、ネットワークトレース、来歴を返し、CRACIは早期警告、通知、最終報告の内容を作成し、提出は製造者が行います。

CRACIの位置付け

CRACIはGitHub Actionsのランナーです。自社でビルドするソフトウェアについて、CIキャッシュから復元されたパッケージを含め、各ジョブが取得したものを記録し、ジョブごと、キャッシュごとに完全性の状態を示すCycloneDXまたはSPDX形式のSBOMを作成します。ビルドにエグレスポリシーを適用し、出荷したもののSBOMを再評価し続け、VEXに対応し、CRAのエビデンスとして脆弱性を含むSBOMをCycloneDXまたはSPDXでエクスポートします。悪用が確認された脆弱性を報告する必要がある場合は、CRAの通知の内容を作成します。提出はお客様が行います。Yoctoについては、最大32 vCPU、96 GB RAMのランナーでBitBakeを実行し、ホストパッケージやRustクレートのパッケージURLなど、Yocto自身のSPDX出力が取りこぼすものを記録します。CRACIのインベントリビューでは、どのソフトウェアバージョンがどの製品にデプロイされているかを、グローバルに正確に把握できます。CRACIは、企業がより広範なCRAコンプライアンスのプロセスで必要とする、ソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。

製品の大部分がサプライヤーからバイナリで届く場合や、規格に照らしたガイド付きチェック、管理策のマッピングとポリシー管理、デバイス上での保護、あるいは現時点でGitHub Actions以外のCIシステムが必要な場合（GitLab CIとJenkinsはロードマップに掲載）は、CRACIだけでは不十分です。自社で所有するビルドについては、CRACIがSBOM、監視、CRAの通知を1つの製品でカバーします。再ビルドできないファームウェアについては、自社のビルドでは見えなかったものをバイナリ解析が明らかにします。CRAとは、CRAコンプライアンス、産業用IoTもご覧ください。

CRAコンプライアンスツール：よくあるご質問

CRAコンプライアンスソフトウェアにできること、製造者に残ること

CRAコンプライアンスソフトウェアとは何ですか？

製造者がCyber Resilience Actの要件を満たすのを支援するソフトウェアです。2種類あります。SBOM、脆弱性の記録、ビルドのエビデンスを作成する技術ツールと、要件を管理策にマッピングし、報告期限、リスクアセスメント、適合性評価を管理するコンプライアンス管理プラットフォームです。それだけで製品をコンプライアンスに適合させるツールはありません。

ツールで自動化できるCRAの義務はどれですか？

主に脆弱性対応の領域です。SBOMの生成、新たな脆弱性についてのSBOMの監視、影響を受けるリリースの特定、トリアージとVEXの判断の記録、第14条に基づく通知の準備、技術文書のためのエビデンスのエクスポートなどです。リスクアセスメント、セキュアな設計、適合性評価、適合宣言は、引き続き製造者が判断するものです。

ツールは1つで足りますか、それとも複数必要ですか？

通常は複数必要です。技術ツールはSBOMと脆弱性のエビデンスを提供し、コンプライアンス管理プラットフォームやコンサルタントは管理策、ポリシー、適合性評価の進め方をカバーします。サプライヤーからバイナリで受け取るファームウェアについては、自社のビルドでは見えない部分をバイナリ解析が補います。

CRAの報告期限はいつですか？

第14条は2026年9月11日から適用されています。悪用が確認された脆弱性を認識してから24時間以内に早期警告、72時間以内に通知を行い、修正または緩和策が利用可能になってから14日以内に最終報告を提出します。すでに市場に出ている製品も対象です。CRAのその他の規定は2027年12月11日から適用されます。

CRACIはCRAの通知にどう対応しますか？

CRACIが作成します。CRACIは早期警告、通知、最終報告の内容を作成し、製造者の担当者がSingle Reporting Platformから提出します。報告義務は引き続き製造者にあります。

CRAの適合性評価を実施してくれるツールはありますか？

適合性評価に代わるソフトウェアツールはありません。評価は製造者が実施します。内部管理によって行うか、重要製品や重大製品については、CRAが求める場合に通知機関または認証スキームを通じて行います。ツールは、評価に使うエビデンスを提供するものです。