Tools voor CRA-compliance vergeleken

Voor wie deze pagina is

U maakt een product met digitale elementen en brengt het in de EU op de markt. De Cyber Resilience Act, Verordening (EU) 2024/2847, is in fasen op u van toepassing: de meldplichten vanaf 11 september 2026 en de hoofdbepalingen vanaf 11 december 2027. U kiest tools voor de technische delen van dat werk. Wij bouwen CRACI, dus houd daar rekening mee. We beschrijven elke tool op basis van de eigen documentatie en zeggen waar een andere tool beter past.

Eén regel loopt door deze hele pagina. Compliance is een proces dat de fabrikant uitvoert, met risicobeoordeling, documentatie en conformiteitsbeoordeling. Tools leveren bewijs en automatiseren delen van het werk. Geen van de tools hieronder maakt een product op zichzelf compliant.

Wat de CRA vraagt

Voor de softwareketen wegen vijf eisen het zwaarst.

1. Een SBOM. Fabrikanten identificeren en documenteren de componenten in het product, "onder meer door een softwarestuklijst op te stellen in een algemeen gebruikt en machineleesbaar formaat dat ten minste de afhankelijkheden op het hoogste niveau van de producten omvat" (bijlage I, deel II). Bijlage VII plaatst die in de technische documentatie, die een markttoezichtautoriteit kan opvragen.
2. Behandeling van kwetsbaarheden. Kwetsbaarheden onverwijld aanpakken en verhelpen, onder meer met beveiligingsupdates, regelmatig testen en een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden voeren (bijlage I, deel II).
3. Melden. Actief uitgebuite kwetsbaarheden en ernstige incidenten melden aan uw CSIRT en aan ENISA via het gemeenschappelijke meldplatform van de CRA: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport uiterlijk 14 dagen nadat een fix of mitigerende maatregel voor een kwetsbaarheid beschikbaar is, of binnen een maand voor een ernstig incident (artikel 14).
4. Bewijs. Technische documentatie, een conformiteitsbeoordeling en een EU-conformiteitsverklaring (artikelen 28, 31 en 32, bijlage VII), ter beschikking gehouden van autoriteiten gedurende ten minste 10 jaar nadat het product in de handel is gebracht, of gedurende de ondersteuningsperiode als die langer is (artikel 13).
5. Een ondersteuningsperiode. Een periode die weerspiegelt hoe lang het product naar verwachting in gebruik is, ten minste vijf jaar tenzij het verwachte gebruik korter is, waarin kwetsbaarheden doeltreffend worden behandeld (artikel 13).

Hoe u kiest

• Bij welke helft van het werk hebt u hulp nodig? Technische tools leveren de SBOM, de kwetsbaarheidsgegevens en het buildbewijs. Platforms voor compliancebeheer koppelen eisen aan controls, stellen beleid op en volgen het proces. De meeste tools zijn sterk in één helft, dus bepaal welk gat het grootst is.
• Bouwt u de software zelf, of integreert u die? Komt een groot deel van het product als binaries van chipleveranciers en andere leveranciers, dan kijkt u er met binaire analyse in. Bouwt u het zelf, dan is de build de meest directe bron van bewijs.
• Waar komt uw SBOM vandaan, en hoe weet u dat hij volledig is? Scanners, bevraging van buildtools en vastlegging van de build kunnen voor dezelfde release verschillende antwoorden geven.
• Vindt u getroffen releases binnen enkele uren? Een vroegtijdige waarschuwing binnen 24 uur hangt af van een betrouwbare inventaris per release.
• Hebt u een system of record nodig? Met veel producten en leveranciers wordt SBOM-beheer met VEX en delen een taak op zich.

In één oogopslag

Twee tabellen: eerst tools voor SBOM, SCA en SBOM-beheer, daarna tools voor firmware en apparaten. De rijen volgen de eisen hierboven. "Niet vermeld" betekent dat de pagina's van de leverancier die we aanhalen er niets over zeggen.

SBOM, SCA en SBOM-beheer

Firmware en apparaten

CRACI

CRACI is een GitHub Actions-runner. Voor software die u zelf bouwt, legt het vast wat elke job ophaalde, inclusief pakketten die uit CI-caches worden teruggezet, en maakt het een CycloneDX- of SPDX-SBOM met een volledigheidsstatus per job en per cache. Het blijft de SBOM's van wat is geleverd opnieuw beoordelen, ondersteunt VEX en dient de CRA-meldingen namens u in wanneer een actief uitgebuite kwetsbaarheid moet worden gemeld. Voor Yocto legt het vast wat de eigen SPDX-output van Yocto weglaat. Helpt bij: SBOM-generatie, behandeling van kwetsbaarheden, CRA-meldingen, bewijs. Let op: het analyseert geen binaries die u niet zelf hebt gebouwd, heeft geen koppeling aan controls of beleidsbeheer, en ondersteunt vandaag GitHub Actions (GitLab CI en Jenkins staan op de roadmap). CRA-compliance met CRACI

SBOM-beheer

Cybeats

Cybeats SBOM Studio noemt zichzelf "het system of record voor SBOM's". Het slaat SBOM's van uw producten en leveranciers op in SPDX 2.2 tot 3.0.1 en CycloneDX 1.2 tot 1.7, valideert ze vóór de import met een Quality Score, matcht elk component met informatie over kwetsbaarheden, geeft VEX uit en deelt SBOM's met klanten, ook via de Transparency Exchange API. De gids over regelgeving zet de tijdlijn van de CRA met 24 uur, 72 uur en 14 dagen uiteen. Helpt bij: SBOM-beheer, behandeling van kwetsbaarheden, bewijs. Let op: voor het genereren verwijst het naar leveranciers in de eigen Marketplace, dus de SBOM zelf komt van een andere tool. CRACI vs Cybeats en alternatieven voor Cybeats

FOSSA

FOSSA begon met licentiecompliance en dekt nu de hele levenscyclus van de SBOM. Het genereert SPDX- en CycloneDX-SBOM's, optioneel met VDR- of VEX-statements, importeert SBOM's van leveranciers met beleid voor de minimale elementen van NTIA en FDA, monitort ze op kwetsbaarheden en deelt ze via een SBOM Portal in Enterprise. Per september 2026 is er een gratis abonnement, en Business kost $20 per project per maand, jaarlijks gefactureerd. Helpt bij: SBOM, delen met autoriteiten, licenties. Let op: de FOSSA CLI analyseert het project via de buildtool of leidt het af uit de broncode, in plaats van de build vast te leggen. CRACI vs FOSSA

Anchore

Anchore Enterprise bouwt voort op de opensourcetools Syft en Grype. Het scant containerimages, bestandssystemen en geïmporteerde SBOM's, scant opgeslagen SBOM's opnieuw zonder het oorspronkelijke artefact, past beleidspakketten toe zoals FedRAMP en NIST, en draait self-hosted, ook air-gapped. Het CRA-materiaal behandelt SBOM-beheer, monitoring tegen bronnen waaronder CISA KEV, ondersteuning voor de termijnen van 24 en 72 uur, VEX-annotaties en audittrails. Helpt bij: SBOM, behandeling van kwetsbaarheden, bewijs. Let op: de SBOM's beschrijven wat een scanner in een image of map vindt, niet wat de build ophaalde en achterliet. CRACI vs Anchore

SCA-suites

Black Duck

Black Duck SCA combineert scans van package managers, signatures, snippets en binaries, zodat het open source vindt die niemand heeft gedeclareerd, en de KnowledgeBase houdt meer dan 2.750 licenties bij. Binary Analysis onderzoekt firmware zonder broncode, Coverity levert SAST met een op de CRA afgestemde checkeroptie die in juli 2026 werd aangekondigd, en Defensics doet fuzz testing. Black Duck stelt dat de CRA lagen van tests vraagt, niet alleen SCA. Helpt bij: SBOM, behandeling van kwetsbaarheden in componenten en uw eigen code, testen. Let op: de prijs is op offertebasis, en elke techniek inspecteert code of output in plaats van de build. CRACI vs Black Duck

Sonatype

Sonatype Lifecycle past beleid voor open source toe met gegevens over bereikbaarheid en upgrades en opent Golden Pull Requests. Repository Firewall zet componenten die niet aan het beleid voldoen in quarantaine voordat ze in uw repositories terechtkomen. SBOM Manager importeert, monitort en deelt SBOM's met een VEX-workflow, en Sonatype positioneert het als zijn CRA-product; de gids wijst ook op Nexus Repository als updatesite voor beveiligingsupdates. Helpt bij: behandeling van kwetsbaarheden, SBOM-beheer, slechte componenten buiten de deur houden. Let op: de productindeling verandert (nieuwe klanten kopen Sonatype Guide), en Lifecycle analyseert wat de build heeft geproduceerd in plaats van wat hij ophaalde. CRACI vs Sonatype

Firmware en apparaten

ONEKEY

ONEKEY analyseert gecompileerde firmware, "zonder dat broncode of netwerktoegang nodig is". Het genereert een SBOM uit de binary, importeert SBOM's van leveranciers, zoekt naar waarschijnlijke zero-days zoals hardgecodeerde credentials, en analyseert firmware dagelijks opnieuw. De Compliance Wizard leidt teams door de CRA, IEC 62443-4-2, ETSI EN 303 645 en de Radio Equipment Directive. Helpt bij: SBOM voor firmware die u niet zelf hebt gebouwd, behandeling van kwetsbaarheden, begeleide controles. Let op: het werkt op het image na de build, dus het legt niet vast wat de build ophaalde. CRACI vs ONEKEY en alternatieven voor ONEKEY

Finite State

Finite State analyseert firmware, binaries, broncode en SBOM's van leveranciers, met ondersteuning voor meer dan 50 binaire instructiesetarchitecturen, en brengt die samen in één productdossier. Het rangschikt bevindingen op bereikbaarheid en exploit-informatie, legt VEX-beslissingen vast, en de complianceworkflow omvat koppeling aan CRA-controls en auditklare rapporten met SBOM- en VEX-artefacten. Helpt bij: SBOM over leveranciers heen, triage van kwetsbaarheden, bewijs. Let op: het begint bij artefacten, dus controleren wat uw eigen build kon bereiken valt buiten de scope. CRACI vs Finite State en alternatieven voor Finite State

Exein

Exein werkt op het apparaat. Exein Runtime gebruikt eBPF om kwaadaardig gedrag op embedded Linux te monitoren en te blokkeren, en de opensource-Yocto-layer meta-exein zet de Pulsar-agent in uw image. Exein Analyzer scant firmware vóór de release, of uw SBOM als de binary niet beschikbaar is, prioriteert met een bereikbaarheidsscore en koppelt bevindingen aan CRA-eisen. Helpt bij: behandeling van kwetsbaarheden in het veld, firmware-SBOM, koppeling aan de CRA. Let op: de Yocto-layer verandert wat er op het apparaat draait; hij draait of registreert uw build niet. CRACI vs Exein

Platforms voor compliancebeheer

Deze tools genereren geen SBOM's en scannen geen code. Ze werken aan de governancehelft: de eisen van de CRA koppelen aan controls, beleid opstellen en deadlines en goedkeuringen bijhouden. Ze hebben technisch bewijs van elders nodig.

Venvera

Venvera is een in de EU gebouwd complianceplatform dat de CRA dekt naast NIS2, DORA, ISO 27001 en SOC 2. Voor de CRA houdt het de meldtermijnen van 24 en 72 uur bij, de behandeling van kwetsbaarheden, de SBOM als bij te houden eis, de route voor de conformiteitsbeoordeling per productklasse, en de technische documentatie volgens bijlage VII en de EU-conformiteitsverklaring. Helpt bij: koppeling aan controls, meldtermijnen, het volgen van het conformiteitsproces. Let op: het houdt bij dat er een SBOM bestaat en wordt bijgehouden; de SBOM zelf komt van een andere tool.

ZeroRisk

ZeroRisk is een agentisch complianceplatform voor GDPR, ISO 27001, SOC 2, NIS2, DORA en de CRA. Voor de CRA koppelt de agent de eisen aan uw organisatie, vult een readiness-assessment vooraf in, stelt ontbrekende controls en beleid op, en monitort de leveranciers in uw producten, elke 24 uur opnieuw gecontroleerd, met menselijke goedkeuring van elke conclusie. Helpt bij: gereedheid, beleid, zekerheid over leveranciers. Let op: de CRA-pagina noemt geen SBOM-generatie of monitoring van kwetsbaarheden in uw eigen builds.

Melden binnen de termijnen

Artikel 14 legt de melding bij de fabrikant, en het geldt sinds 11 september 2026, ook voor producten die al op de markt zijn. Wat tools kunnen doen, is de tijd verkorten tussen "deze kwetsbaarheid wordt uitgebuit" en "we weten welke producten en releases hem bevatten". Dat hangt af van betrouwbare inventarissen per release, continue monitoring en een koppeling van elk geleverd artefact aan zijn componenten. Anchore en Cybeats beschrijven de meldtermijnen in hun CRA-materiaal, Venvera houdt de termijnen bij, en binaire analyse van ONEKEY, Finite State of Exein dekt code van leveranciers die u niet opnieuw kunt bouwen. De API van CRACI levert SBOM's, netwerktraces en herkomstgegevens, en CRACI dient de vroegtijdige waarschuwing, de melding en het eindrapport namens de fabrikant in.

Hoe CRACI past

CRACI is een GitHub Actions-runner. Voor software die u zelf bouwt, legt het vast wat elke job ophaalde, inclusief pakketten die uit CI-caches worden teruggezet, en maakt het een CycloneDX- of SPDX-SBOM met een volledigheidsstatus per job en per cache. Het dwingt een egressbeleid af op de build, blijft de SBOM's van wat is geleverd opnieuw beoordelen, ondersteunt VEX en exporteert SBOM's als CycloneDX of SPDX, inclusief kwetsbaarheden, voor uw CRA-bewijs. Wanneer een actief uitgebuite kwetsbaarheid moet worden gemeld, dient CRACI de CRA-meldingen namens u in. Voor Yocto draait het BitBake op runners met maximaal 32 vCPU's en 96 GB RAM en legt het vast wat de eigen SPDX-output van Yocto weglaat, zoals hostpakketten en package-URL's voor Rust-crates. De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces.

Het is op zichzelf niet genoeg als het grootste deel van uw product als binaries van leveranciers komt, of als u begeleide controles tegen standaarden, koppeling aan controls en beleidsbeheer, bescherming op het apparaat of vandaag andere CI-systemen dan GitHub Actions nodig hebt (GitLab CI en Jenkins staan op de roadmap). Voor de builds die u zelf beheert, dekt CRACI de SBOM, monitoring en CRA-meldingen in één product; voor firmware die u niet opnieuw kunt bouwen, ziet binaire analyse wat uw build nooit zag. Lees wat de CRA is, CRA-compliance en industrieel IoT.

Tools voor CRA-compliance: veelgestelde vragen

Wat software voor CRA-compliance doet, en wat bij de fabrikant blijft

Wat is software voor CRA-compliance?

Software die een fabrikant helpt te voldoen aan de Cyber Resilience Act. Er zijn twee soorten: technische tools die de SBOM, kwetsbaarheidsgegevens en buildbewijs opleveren, en platforms voor compliancebeheer die de eisen aan controls koppelen en de meldtermijnen, de risicobeoordeling en de conformiteitsbeoordeling bijhouden. Geen enkele maakt een product op zichzelf compliant.

Welke CRA-verplichtingen kan een tool automatiseren?

Vooral de kant van de kwetsbaarheidsafhandeling: de SBOM genereren, hem monitoren op nieuwe kwetsbaarheden, getroffen releases vinden, triage- en VEX-beslissingen vastleggen, de meldingen volgens artikel 14 voorbereiden en indienen, en bewijs exporteren voor de technische documentatie. De risicobeoordeling, het veilige ontwerp, de conformiteitsbeoordeling en de conformiteitsverklaring blijven beslissingen van de fabrikant.

Heb ik één tool nodig of meerdere?

Meestal meer dan één. Een technische tool levert u de SBOM en het bewijs over kwetsbaarheden; een platform voor compliancebeheer of een consultant dekt controls, beleid en de conformiteitsroute. Voor firmware die u als binaries van leveranciers ontvangt, voegt binaire analyse toe wat uw eigen build niet kan zien.

Wat is de deadline voor CRA-meldingen?

Artikel 14 geldt sinds 11 september 2026: een vroegtijdige waarschuwing binnen 24 uur nadat u op de hoogte bent van een actief uitgebuite kwetsbaarheid, een melding binnen 72 uur en een eindrapport uiterlijk 14 dagen nadat een fix of mitigerende maatregel beschikbaar is. Het geldt ook voor producten die al op de markt zijn. De rest van de CRA is van toepassing vanaf 11 december 2027.

Dient CRACI CRA-meldingen in?

Ja. CRACI dient de vroegtijdige waarschuwing, de melding en het eindrapport namens de fabrikant in. De meldplicht blijft bij de fabrikant.

Voert een tool de CRA-conformiteitsbeoordeling uit?

Geen enkele softwaretool vervangt die. De fabrikant voert de beoordeling uit, via interne controle of, voor belangrijke en kritieke producten, met een aangemelde instantie of een certificeringsregeling waar de CRA dat vereist. Tools leveren het bewijs waarop de beoordeling steunt.