ビルドから始まるCRAコンプライアンスソフトウェア
CRACIは、Cyber Resilience Actのプロセスに必要なサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。すべてのビルドから記録するSBOM、出荷後の脆弱性監視、お客様が提出するCRAの通知内容の準備、そして来歴データです。リスク評価、適合性評価、適合宣言は、メーカーであるお客様が引き続き担います。
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
ビルドから記録するSBOM
CRAは、機械可読形式のソフトウェア部品表を求めています。CRACIは、GitHub Actionsのリリースビルドの実行中にそれを記録します。CIキャッシュから復元されたパッケージを含め、ジョブが取り込んだすべてのパッケージを、推移的依存関係と各コンポーネントの宣言ライセンス付きでCycloneDXまたはSPDXとしてエクスポートします。各ジョブのSBOMには完全性の状態が付くため、記録が欠けていないかを把握できます。
出荷後の脆弱性対応
メーカーはサポート期間全体を通じて脆弱性に対処します。CRACIは出荷したもののSBOMを新たな脆弱性に照らして再評価し続け、ビルドとリポジトリをまたいで検出結果を集約し、セキュリティチームがトリアージして修正を担うチームに割り当てられるようにします。VEXに対応し、ベンダーのSBOMを自社のビルドと並べて監視し、インベントリビューではどのソフトウェアバージョンがどの製品にデプロイされているかを表示します。
CRAの通知内容を準備
2026年9月11日以降、積極的に悪用されている脆弱性が見つかると期限のカウントが始まります。24時間以内の早期警告、72時間以内の通知、そして修正から14日以内の最終報告です。CRACIはこれらの通知の内容を準備し、お客様の担当者がSingle Reporting Platformを通じて提出します。報告義務はお客様に残ります。CRACIは影響を受ける製品とリリースを示します。
適合性評価のためのエビデンス
CRACIは適合性評価を実施しません。評価に必要な技術的エビデンスを収集します。ビルド時SBOM、脆弱性と修正の記録、来歴、ネットワークトレースです。SBOMはCycloneDXまたはSPDXでエクスポートでき、その他はAPIで取得できます。評価の手続き、適合宣言、ノーティファイドボディの関与は、引き続きメーカーのプロセスです。
CRACIがエビデンスを提供するCRAの義務
CRAの報告義務は、すでに市場にある製品も含めて2026年9月11日から適用されており、規則のその他の部分は2027年12月11日から適用されます。ソフトウェアサプライチェーンに関わる各義務について、CRACIが行うことと、メーカーのプロセスとして残ることを示します。
| 義務 | CRAの該当箇所 | CRACIが提供するもの | お客様に残るもの |
|---|---|---|---|
| ソフトウェア部品表 | 附属書I第II部（1）、附属書VII | すべてのビルドジョブからのSBOM。CycloneDXまたはSPDX形式で、推移的依存関係、宣言ライセンス、完全性の状態付き。 | 技術文書に保管し、市場監視当局の要請に応じて提供すること。 |
| サポート期間中の脆弱性対応 | 第13条（8）、附属書I第II部 | 出荷したSBOMの継続的な監視、トリアージと担当チームへの割り当て、VEX、自社ビルドと並べたベンダーSBOMの監視。 | サポート期間の設定、脆弱性の修正とセキュリティアップデートの出荷、協調的な脆弱性開示ポリシーの運用。 |
| 悪用された脆弱性と重大インシデントの報告 | 第14条 | お客様が提出する早期警告、通知、最終報告の内容を準備し、影響を受ける製品とリリースを示します。 | 義務そのもの、および影響を受けるユーザーへの周知。 |
| サードパーティコンポーネントのデューデリジェンス | 第13条（5） | 各ビルドが取得したすべてのパッケージの記録、ビルドネットワークに対するエグレスポリシー、ベンダーSBOMの監視。 | コンポーネントとサプライヤーの選定、および記録が示す内容への対応。 |
| 技術文書とトレーサビリティ | 第31条、第13条（13）、附属書VII | APIによるSBOM、ネットワークトレース、来歴データの取得と、CycloneDXまたはSPDXでのSBOMエクスポート。データはデフォルトで180日間保持され、Enterpriseでは保持期間を個別に設定できます。 | 技術ファイルそのもの。少なくとも10年間またはサポート期間のいずれか長いほうの期間、保管します。 |
| リスク評価と製品セキュリティ要件 | 第13条（2）、附属書I第I部 | 対象外。 | サイバーセキュリティのリスク評価と、セキュアなデフォルト設定、アクセス制御、データ保護などのセキュアな設計。 |
| 適合性評価、適合宣言、CEマーキング | 第28条、第30条、第32条 | エビデンスのみ。CRACIは評価、認証、評価の管理を行いません。 | 評価の実施（製品クラスが求める場合はノーティファイドボディを含む）と、宣言への署名。 |
CRACIはGitHub Actionsのジョブを自社のランナーで実行します。そのため、事後にスキャンするのではなく、ビルドを記録できます。その他のCIシステムはロードマップに掲載されています。
欧州で事業を展開するグローバル企業のために。
Cyber Resilience Actにより、CEマーキングはまもなくソフトウェア製品にも適用され、すべてのソフトウェアメーカーはEUで販売する前に適合性評価に合格する必要があります。CRACIは、開発のスピードを落とすことなく、その準備を支援します。
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage and document them, and prepares the CRA notifications your team submits within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage and document them, and prepares the CRA notifications your team submits within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
CRAコンプライアンスのよくあるご質問
Cyber Resilience Actがメーカーに求めること、そしてCRACIの役割
CRAコンプライアンスとは何ですか？
CRAコンプライアンスとは、デジタル要素を持つ製品が、EU市場に投入される時点とサポート期間を通じて、EU Cyber Resilience Act（Regulation (EU) 2024/2847）を満たしていることを意味します。メーカーにとっては、サイバーセキュリティのリスク評価、附属書Iの必須要件、SBOMを含む脆弱性対応、積極的に悪用されている脆弱性と重大インシデントの報告、技術文書、適合性評価、EU適合宣言、CEマーキングが対象となります。
CRACIを使えば製品はCRAに準拠しますか？
そのようなツールはありません。コンプライアンスはメーカーが運用するプロセスです。CRACIは、CRAのプロセスに必要なサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。ビルド時SBOM、脆弱性監視、お客様が提出するCRAの通知内容の準備、来歴データ、エクスポート可能なエビデンスです。
CRAコンプライアンスソフトウェアには何が求められますか？
技術面では、リリースごとに信頼できるSBOMを作成し、サポート期間全体を通じて新たな脆弱性を監視し、24時間以内の早期警告に間に合うよう影響を受ける製品をすばやく特定し、当局に提出できるエビデンスを保管することです。ガバナンス面では、要件を管理策に対応付け、リスク評価と適合性評価を追跡することです。CRACIは、GitHub Actionsでビルドするソフトウェアについて技術面をカバーします。
CRAはSBOMを義務付けていますか？
はい。附属書I第II部第1項は、メーカーに対し、一般的に使用される機械可読形式で、少なくとも製品の最上位の依存関係を網羅するソフトウェア部品表を作成することを求めています。SBOMは技術文書の一部であり、市場監視当局が提出を求めることができます。CRAはSBOMの公開までは求めていません。
CRAの報告義務はいつから適用されますか？
2026年9月11日からで、2027年12月11日より前に市場に投入された製品も対象となります。規則のその他の部分は2027年12月11日から適用されます。
CRACIは適合性評価を実施しますか？
いいえ。CRACIは適合性評価の実施、評価プロセスの管理、証明書の発行を行わず、ノーティファイドボディとしても機能しません。評価で求められる技術的エビデンスを提供します。
CRACIはどのCIシステムに対応していますか？
現在はGitHub Actionsです。ワークフローはruns-on: craciでCRACIに切り替えられ、実行結果はこれまでどおりGitHubに表示されます。GitLab CIとJenkinsをはじめとするその他のCIシステムは、ロードマップに掲載されています。