Software voor CRA-naleving die begint in uw build
CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat uw Cyber Resilience Act-proces nodig heeft: SBOM's vastgelegd uit elke build, kwetsbaarheidsmonitoring na de release, CRA-meldingen die namens u worden ingediend, en herkomstgegevens. De risicobeoordeling, de conformiteitsbeoordeling en de conformiteitsverklaring blijven bij u, de fabrikant.
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
SBOM's vastgelegd uit de build
De CRA vraagt om een software bill of materials in een machineleesbaar formaat. CRACI legt er een vast terwijl uw GitHub Actions-releasebuild draait: elk pakket dat de job heeft binnengehaald, inclusief pakketten die uit CI-caches zijn teruggezet, geëxporteerd als CycloneDX of SPDX met transitieve afhankelijkheden en de gedeclareerde licentie van elk component. De SBOM van elke job heeft een volledigheidsstatus, zodat u weet of het record compleet is.
Afhandeling van kwetsbaarheden na de release
Fabrikanten handelen kwetsbaarheden af gedurende de hele ondersteuningsperiode. CRACI blijft de SBOM's van wat u hebt geleverd opnieuw beoordelen op nieuwe kwetsbaarheden, bundelt bevindingen over builds en repositories heen en laat securityteams ze beoordelen en doorsturen naar de teams die verantwoordelijk zijn voor de oplossing. Het ondersteunt VEX, monitort SBOM's van leveranciers naast uw eigen builds, en het inventarisoverzicht laat zien welke softwareversies op welke producten zijn uitgerold.
CRA-meldingen, voor u ingediend
Sinds 11 september 2026 gaat bij een actief uitgebuite kwetsbaarheid een klok lopen: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen 14 dagen na een oplossing. CRACI dient deze meldingen namens u in bij de autoriteiten. De meldingsplicht blijft bij u; CRACI verzorgt de indiening en laat zien welke producten en releases getroffen zijn.
Bewijs voor de conformiteitsbeoordeling
CRACI voert geen conformiteitsbeoordelingen uit. Het verzamelt het technische bewijs dat een beoordeling nodig heeft: build-time SBOM's, records van kwetsbaarheden en herstel, herkomstgegevens en netwerktraces. SBOM's worden geëxporteerd als CycloneDX of SPDX en de rest komt via de API. De beoordelingsprocedure, de conformiteitsverklaring en een eventuele aangemelde instantie blijven het proces van de fabrikant.
Voor welke CRA-verplichtingen CRACI bewijs levert
De meldingsplichten van de CRA gelden sinds 11 september 2026, ook voor producten die al op de markt zijn, en de rest van de verordening is van toepassing vanaf 11 december 2027. Dit doet CRACI voor elke verplichting die de softwareketen raakt, en dit blijft het proces van de fabrikant.
| Verplichting | Waar in de CRA | Wat CRACI levert | Wat bij u blijft |
|---|---|---|---|
| Software bill of materials | Bijlage I, deel II (1); bijlage VII | Een SBOM van elke buildjob, in CycloneDX of SPDX, met transitieve afhankelijkheden, gedeclareerde licenties en een volledigheidsstatus. | De SBOM opnemen in de technische documentatie en op verzoek verstrekken aan een markttoezichtautoriteit. |
| Afhandeling van kwetsbaarheden tijdens de ondersteuningsperiode | Artikel 13, lid 8; bijlage I, deel II | Doorlopende monitoring van geleverde SBOM's, triage en doorsturen naar verantwoordelijke teams, VEX, en SBOM's van leveranciers die naast uw builds worden gemonitord. | De ondersteuningsperiode vaststellen, beveiligingsupdates maken en uitbrengen, en een beleid voor gecoördineerde bekendmaking van kwetsbaarheden voeren. |
| Melden van actief uitgebuite kwetsbaarheden en ernstige incidenten | Artikel 14 | Dient de vroegtijdige waarschuwing, de melding en het eindverslag namens u in, en laat zien welke producten en releases getroffen zijn. | De verplichting zelf, en het informeren van getroffen gebruikers. |
| Due diligence bij componenten van derden | Artikel 13, lid 5 | Een record van elk pakket dat elke build heeft opgehaald, een egressbeleid op het buildnetwerk en monitoring van SBOM's van leveranciers. | Componenten en leveranciers kiezen, en handelen naar wat het record laat zien. |
| Technische documentatie en traceerbaarheid | Artikel 31; artikel 13, lid 13; bijlage VII | SBOM's, netwerktraces en herkomstgegevens via de API, en SBOM-export als CycloneDX of SPDX. Gegevens worden standaard 180 dagen bewaard, met een aangepaste bewaartermijn op Enterprise. | Het technisch dossier zelf, bewaard gedurende ten minste 10 jaar of de ondersteuningsperiode, als die langer is. |
| Risicobeoordeling en beveiligingseisen voor het product | Artikel 13, lid 2; bijlage I, deel I | Niet gedekt. | De cyberbeveiligingsrisicobeoordeling en een veilig ontwerp, zoals veilige standaardinstellingen, toegangscontrole en gegevensbescherming. |
| Conformiteitsbeoordeling, conformiteitsverklaring, CE-markering | Artikelen 28, 30 en 32 | Alleen bewijs. CRACI beoordeelt niet, certificeert niet en beheert de beoordeling niet. | De beoordeling uitvoeren, met een aangemelde instantie waar de productklasse dat vereist, en de verklaring ondertekenen. |
CRACI draait uw GitHub Actions-jobs op zijn eigen runners, en kan daarom de build vastleggen in plaats van hem achteraf te scannen. Andere CI-systemen staan op de roadmap.
Gemaakt voor internationale bedrijven die in Europa actief zijn.
Met de Cyber Resilience Act gaat de CE-markering binnenkort ook gelden voor softwareproducten: elke softwarefabrikant moet een conformiteitsbeoordeling doorstaan voordat hij in de EU mag verkopen. CRACI bereidt u voor zonder uw ontwikkeling te vertragen.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
CRA-naleving: uw vragen beantwoord
Wat de Cyber Resilience Act van fabrikanten vraagt, en welke rol CRACI daarin speelt
Wat is CRA-naleving?
CRA-naleving betekent dat een product met digitale elementen voldoet aan de EU Cyber Resilience Act, Verordening (EU) 2024/2847, wanneer het in de EU in de handel wordt gebracht en gedurende de hele ondersteuningsperiode. Voor fabrikanten omvat dat een cyberbeveiligingsrisicobeoordeling, de essentiële eisen van bijlage I, de afhandeling van kwetsbaarheden inclusief een SBOM, het melden van actief uitgebuite kwetsbaarheden en ernstige incidenten, technische documentatie, een conformiteitsbeoordeling, een EU-conformiteitsverklaring en de CE-markering.
Maakt CRACI mijn product CRA-conform?
Geen enkele tool doet dat. Naleving is een proces dat de fabrikant uitvoert. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat uw CRA-proces nodig heeft: build-time SBOM's, kwetsbaarheidsmonitoring, CRA-meldingen die namens u worden ingediend, herkomstgegevens en exporteerbaar bewijs.
Wat moet software voor CRA-naleving kunnen?
Aan de technische kant: een betrouwbare SBOM opstellen voor elke release, die gedurende de hele ondersteuningsperiode monitoren op nieuwe kwetsbaarheden, getroffen producten snel genoeg vinden voor de vroegtijdige waarschuwing binnen 24 uur, en bewijs bewaren dat u aan een autoriteit kunt overhandigen. Aan de governancekant: eisen koppelen aan beheersmaatregelen en de risicobeoordeling en de conformiteitsbeoordeling bijhouden. CRACI dekt de technische kant voor software die u met GitHub Actions bouwt.
Vereist de CRA een SBOM?
Ja. Bijlage I, deel II, punt 1 verplicht fabrikanten een software bill of materials op te stellen in een gangbaar en machineleesbaar formaat, die ten minste de afhankelijkheden op het hoogste niveau van het product omvat. Die hoort in de technische documentatie, die een markttoezichtautoriteit kan opvragen. De CRA verplicht u niet om de SBOM te publiceren.
Wanneer gelden de meldingsplichten van de CRA?
Vanaf 11 september 2026, en ze gelden ook voor producten die vóór 11 december 2027 in de handel zijn gebracht. De rest van de verordening is van toepassing vanaf 11 december 2027.
Voert CRACI de conformiteitsbeoordeling uit?
Nee. CRACI voert geen conformiteitsbeoordelingen uit, beheert het beoordelingsproces niet, geeft geen certificaten af en treedt niet op als aangemelde instantie. Het levert het technische bewijs waar de beoordeling om vraagt.
Met welke CI-systemen werkt CRACI?
Momenteel met GitHub Actions. U zet een workflow over naar CRACI met runs-on: craci, en runs verschijnen nog steeds in GitHub. Andere CI-systemen, te beginnen met GitLab CI en Jenkins, staan op de roadmap.
Bekijk het CRA-bewijs van een van uw builds
Boek een demo en we nemen samen de SBOM, monitoring en meldingen door die CRACI produceert uit een GitHub Actions-releasebuild
Demo boeken