빌드에서 시작하는 CRA 컴플라이언스 소프트웨어
CRACI는 Cyber Resilience Act 프로세스에 필요한 공급망 가시성과 증거의 상당 부분을 자동화합니다. 모든 빌드에서 기록한 SBOM, 출시 후 취약점 모니터링, 고객이 제출할 CRA 통지 내용 준비, 출처 증명 데이터가 그것입니다. 위험 평가, 적합성 평가, 적합성 선언은 제조업체인 고객의 몫으로 남습니다.
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
빌드에서 기록한 SBOM
CRA는 기계 판독 가능한 형식의 소프트웨어 자재 명세서(SBOM)를 요구합니다. CRACI는 GitHub Actions 릴리스 빌드가 실행되는 동안 이를 기록합니다. CI 캐시에서 복원된 패키지를 포함해 작업이 가져온 모든 패키지를 기록하고, 전이적 종속성과 각 구성 요소의 선언된 라이선스와 함께 CycloneDX 또는 SPDX로 내보냅니다. 각 작업의 SBOM에는 완전성 상태가 표시되므로 기록이 온전한지 알 수 있습니다.
출시 후의 취약점 처리
제조업체는 지원 기간 전체에 걸쳐 취약점을 처리해야 합니다. CRACI는 출시한 제품의 SBOM을 새 취약점에 대해 계속 재평가하고, 빌드와 리포지토리 전반의 발견 사항을 집계하며, 보안 팀이 이를 분류하여 수정을 담당하는 팀에 전달할 수 있게 합니다. VEX를 지원하고, 공급업체 SBOM을 자체 빌드와 함께 모니터링하며, 인벤토리 뷰에서 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지 보여 줍니다.
CRA 통지 내용을 준비
2026년 9월 11일부터 적극적으로 악용되는 취약점이 발생하면 기한이 시작됩니다. 24시간 이내 조기 경보, 72시간 이내 통지, 수정 후 14일 이내 최종 보고서입니다. CRACI는 이러한 통지의 내용을 준비하고, 고객사의 담당자가 Single Reporting Platform을 통해 제출합니다. 보고 의무는 여전히 고객에게 있으며, CRACI는 어떤 제품과 릴리스가 영향을 받는지 보여 줍니다.
적합성 평가를 위한 증거
CRACI는 적합성 평가를 수행하지 않습니다. 평가에 필요한 기술적 증거를 수집합니다. 빌드 시점 SBOM, 취약점 및 수정 기록, 출처 증명, 네트워크 트레이스가 그것입니다. SBOM은 CycloneDX 또는 SPDX로 내보내며 나머지는 API를 통해 제공됩니다. 평가 절차, 적합성 선언, 인증 기관 관련 사항은 제조업체의 프로세스로 남습니다.
CRACI가 증거를 제공하는 CRA 의무
CRA의 보고 의무는 이미 시장에 출시된 제품을 포함해 2026년 9월 11일부터 적용되고 있으며, 규정의 나머지 부분은 2027년 12월 11일부터 적용됩니다. 소프트웨어 공급망과 관련된 각 의무에 대해 CRACI가 하는 일과 제조업체의 프로세스로 남는 일을 정리했습니다.
| 의무 | CRA 조항 | CRACI가 제공하는 것 | 고객의 몫 |
|---|---|---|---|
| 소프트웨어 자재 명세서(SBOM) | Annex I, Part II (1); Annex VII | 모든 빌드 작업에서 생성되는 CycloneDX 또는 SPDX 형식 SBOM. 전이적 종속성, 선언된 라이선스, 완전성 상태 포함. | 기술 문서에 보관하고, 시장 감시 당국의 요청 시 제공. |
| 지원 기간 동안의 취약점 처리 | Article 13(8); Annex I, Part II | 출시된 SBOM의 지속적인 모니터링, 분류 및 담당 팀 전달, VEX, 자체 빌드와 함께 모니터링되는 공급업체 SBOM. | 지원 기간 설정, 보안 업데이트의 수정 및 배포, 조정된 취약점 공개 정책 운영. |
| 악용된 취약점 및 심각한 인시던트 보고 | Article 14 | 고객이 제출할 조기 경보, 통지, 최종 보고서의 내용을 준비하고, 영향을 받는 제품과 릴리스를 표시. | 의무 자체, 그리고 영향을 받는 사용자에 대한 안내. |
| 서드파티 구성 요소에 대한 실사 | Article 13(5) | 각 빌드가 가져온 모든 패키지의 기록, 빌드 네트워크의 이그레스 정책, 공급업체 SBOM 모니터링. | 구성 요소와 공급업체 선택, 그리고 기록에 나타난 내용에 대한 조치. |
| 기술 문서 및 추적성 | Article 31; Article 13(13); Annex VII | API를 통한 SBOM, 네트워크 트레이스, 출처 증명 데이터, 그리고 CycloneDX 또는 SPDX 형식의 SBOM 내보내기. 데이터는 기본 180일 보관되며 Enterprise에서는 맞춤 보존 기간 설정 가능. | 기술 파일 자체. 최소 10년 또는 지원 기간 중 더 긴 기간 동안 보관. |
| 위험 평가 및 제품 보안 요구 사항 | Article 13(2); Annex I, Part I | 지원하지 않음. | 사이버 보안 위험 평가와 보안 설계(안전한 기본 설정, 접근 제어, 데이터 보호 등). |
| 적합성 평가, 적합성 선언, CE 마킹 | Articles 28, 30 and 32 | 증거만 제공. CRACI는 평가, 인증 또는 평가 관리를 하지 않음. | 평가 수행(제품 등급상 필요한 경우 인증 기관 참여) 및 적합성 선언 서명. |
CRACI는 GitHub Actions 작업을 CRACI가 운영하는 러너에서 실행합니다. 그래서 사후에 스캔하는 대신 빌드를 기록할 수 있습니다. 다른 CI 시스템은 로드맵에 있습니다.
유럽에서 사업하는 글로벌 기업을 위해 만들었습니다.
Cyber Resilience Act에 따라 곧 소프트웨어 제품에도 CE 마킹이 적용되며, 모든 소프트웨어 제조사는 EU에서 판매하기 전에 적합성 평가를 통과해야 합니다. CRACI는 개발 속도를 늦추지 않고 이에 대비할 수 있도록 돕습니다.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage and document them, and prepares the CRA notifications your team submits within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage and document them, and prepares the CRA notifications your team submits within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
CRA 컴플라이언스 FAQ
Cyber Resilience Act가 제조업체에 요구하는 것과 CRACI의 역할
CRA 컴플라이언스란 무엇인가요?
CRA 컴플라이언스란 디지털 요소가 포함된 제품이 EU 시장에 출시될 때와 지원 기간 내내 EU Cyber Resilience Act, 즉 Regulation (EU) 2024/2847을 충족하는 것을 의미합니다. 제조업체의 경우 사이버 보안 위험 평가, Annex I의 필수 요구 사항, SBOM을 포함한 취약점 처리, 적극적으로 악용되는 취약점 및 심각한 인시던트 보고, 기술 문서, 적합성 평가, EU 적합성 선언, CE 마킹이 포함됩니다.
CRACI를 사용하면 제품이 CRA를 준수하게 되나요?
그런 도구는 없습니다. 컴플라이언스는 제조업체가 운영하는 프로세스입니다. CRACI는 CRA 프로세스에 필요한 공급망 가시성과 증거의 상당 부분을 자동화합니다. 빌드 시점 SBOM, 취약점 모니터링, 고객이 제출할 CRA 통지 내용 준비, 출처 증명 데이터, 내보내기 가능한 증거가 그것입니다.
CRA 컴플라이언스 소프트웨어는 무엇을 해야 하나요?
기술적 측면에서는 각 릴리스에 대해 신뢰할 수 있는 SBOM을 생성하고, 지원 기간 전체에 걸쳐 새 취약점을 모니터링하며, 24시간 조기 경보에 맞출 만큼 빠르게 영향을 받는 제품을 찾고, 당국에 제출할 수 있는 증거를 보관해야 합니다. 거버넌스 측면에서는 요구 사항을 통제 항목에 매핑하고 위험 평가와 적합성 평가를 추적해야 합니다. CRACI는 GitHub Actions로 빌드하는 소프트웨어에 대해 기술적 측면을 다룹니다.
CRA는 SBOM을 요구하나요?
네. Annex I, Part II, point 1은 제조업체에 일반적으로 사용되는 기계 판독 가능한 형식으로, 최소한 제품의 최상위 종속성을 포함하는 소프트웨어 자재 명세서를 작성하도록 요구합니다. SBOM은 기술 문서에 포함되며, 시장 감시 당국이 이를 요청할 수 있습니다. CRA는 SBOM의 공개를 요구하지 않습니다.
CRA 보고 의무는 언제부터 적용되나요?
2026년 9월 11일부터 적용되며, 2027년 12월 11일 이전에 시장에 출시된 제품도 대상입니다. 규정의 나머지 부분은 2027년 12월 11일부터 적용됩니다.
CRACI가 적합성 평가를 수행하나요?
아니요. CRACI는 적합성 평가를 수행하거나, 평가 프로세스를 관리하거나, 인증서를 발급하거나, 인증 기관 역할을 하지 않습니다. 평가에 필요한 기술적 증거를 제공합니다.
CRACI는 어떤 CI 시스템과 함께 작동하나요?
현재는 GitHub Actions입니다. runs-on: craci로 워크플로를 CRACI로 전환하며, 실행 내역은 그대로 GitHub에 표시됩니다. GitLab CI와 Jenkins를 시작으로 다른 CI 시스템은 로드맵에 있습니다.
고객님의 빌드에서 나온 CRA 증거를 확인하세요
데모를 예약하시면 GitHub Actions 릴리스 빌드에서 CRACI가 생성하는 SBOM, 모니터링, 보고 내용을 함께 살펴봅니다
데모 예약