Sammenlign
CRA-samsvar: SBOM-krav og verktøy
Cyber Resilience Act gjør en software bill of materials obligatorisk for produkter med digitale elementer. Her er hva forordningen krever av den, hva Tysklands BSI-retningslinje legger til, og hvordan verktøy for CRA-samsvar står seg mot hverandre.
Oppdatert
Hver sammenligning viser hva det andre produktet gjør godt, hvor CRACI er annerledes, og når du ville brukt begge. For alle kategorier, se alle sammenligninger.
Hva CRA krever av en SBOM
Cyber Resilience Act, forordning (EU) 2024/2847, plasserer SBOM-en i kravene til sårbarhetshåndtering. Den ber om mindre enn mange tror: en maskinlesbar registrering av minst avhengighetene på øverste nivå, oppbevart i den tekniske dokumentasjonen og vist til en myndighet på forespørsel. Her er hva forordningen sier, spørsmål for spørsmål.
| Funksjon | Hva CRA sier | Hvor |
|---|---|---|
| Er en SBOM obligatorisk? | Ja. Produsenter må identifisere og dokumentere komponentene i produktene sine, "including by drawing up a software bill of materials" | Vedlegg I del II nr. 1 |
| Hva er en SBOM? | "A formal record containing details and supply chain relationships of components included in the software elements of a product with digital elements" | Artikkel 3 nr. 39 |
| Hvilket format? | "A commonly used and machine-readable format". Kommisjonen kan fastsette format og elementer gjennom gjennomføringsrettsakter | Vedlegg I del II nr. 1; artikkel 13 nr. 24 |
| Hvor dypt? | "At the very least the top-level dependencies of the products" | Vedlegg I del II nr. 1 |
| Hvor skal den ligge? | I den tekniske dokumentasjonen, som en del av informasjonen om sårbarhetshåndtering | Vedlegg VII nr. 2 bokstav b |
| Må den være offentlig? | Nei. "Manufacturers should not be obliged to make the SBOM public." Hvis du deler den med brukere, skal brukerinformasjonen si hvor den finnes | Fortalepunkt 77; vedlegg II nr. 9 |
| Hvem kan be om den? | En markedstilsynsmyndighet, etter en begrunnet anmodning, for å kontrollere samsvar. Myndigheter kan også be om SBOM-er til en EU-omfattende vurdering av avhengigheter | Vedlegg VII nr. 8; artikkel 13 nr. 25 |
| Hvor lenge skal den oppbevares? | Den tekniske dokumentasjonen oppbevares i minst 10 år etter at produktet er brakt i omsetning, eller i støtteperioden, avhengig av hva som er lengst | Artikkel 13 nr. 13 |
Forordningen gjelder fullt ut fra 11. desember 2027, og rapporteringspliktene gjelder fra 11. september 2026. For resten av forordningen, se hva CRA krever.
Utover minstekravet: BSI TR-03183-2
Inntil Kommisjonen fastsetter formatet gjennom en gjennomføringsrettsakt, kommer den mest detaljerte offentlige veiledningen fra Tysklands Federal Office for Information Security (BSI). Den tekniske retningslinjen TR-03183-2, versjon 2.1.0 fra august 2025, er veiledning og ikke en del av forordningen, men den viser hvor forventningene er på vei:
- Format: JSON eller XML, gyldig mot CycloneDX 1.6 eller høyere, eller SPDX 3.0.1 eller høyere.
- Dybde: rekursiv oppløsning av avhengigheter for hver komponent i leveranseomfanget, ned til og med den første komponenten utenfor det.
- Sannhetskilde: SBOM-en må inneholde "the same information as available during the build process", eller tilsvarende informasjon der det ikke finnes noen byggeprosess.
Retningslinjen navngir også SBOM-typene. En Build SBOM "is created as part of the build process". En Analysed SBOM "is created after the build process by analysing artefacts such as executables, packages, containers and virtual machine images". Det skillet er hovedforskjellen mellom verktøyene på denne siden.
Avhengigheter på øverste nivå eller transitive avhengigheter
Avhengigheter på øverste nivå er minstekravet, ikke målet. En sårbarhet i en transitiv pakke er likevel i produktet ditt, og CRA ber produsenter håndtere og utbedre sårbarheter i komponentene de leverer. En SBOM som stopper ved første nivå, holder de pakkene utenfor sårbarhetshåndteringen din. Det praktiske spørsmålet er ikke om du skal registrere transitive avhengigheter, men hvordan du kan være sikker på at registreringen stemmer med det som ble levert. Se transitive avhengigheter for hvordan du lister dem opp og retter sårbare avhengigheter.
Build SBOM eller analysed SBOM
De fleste SBOM-verktøy genererer en analysed SBOM etter bygget, eller håndterer SBOM-er andre verktøy produserer. CRACI registrerer en build SBOM mens bygget kjører. For en sammenligning av SBOM-generatorer og -håndteringsverktøy, se SBOM-håndtering og SBOM-verktøy sammenlignet. For verktøy bygget rundt CRA, se verktøy for CRA-samsvar sammenlignet.
Hvor CRACI passer inn
CRACI registrerer SBOM-en mens GitHub Actions-bygget ditt kjører. En pakkebevisst proxy på runneren registrerer hver pakke jobben hentet, inkludert pakker gjenopprettet fra CI-cacher, så SBOM-en beskriver bygget som produserte artefakten, ikke en skanning som kjørte et sted i nærheten. SBOM-en til hver jobb har en fullstendighetsstatus, og eksporter i CycloneDX og SPDX inkluderer transitive avhengigheter og den deklarerte lisensen til hver komponent.
Etter utgivelsen fortsetter CRACI å vurdere overvåkede SBOM-er på nytt etter hvert som nye sårbarheter dukker opp, og det sender inn CRA-varslene (tidlig varsel, varsel og sluttrapport) på dine vegne. API-et returnerer SBOM-er, nettverksspor og provenance. CRACI oppbevarer byggedata i 180 dager som standard, med tilpasset oppbevaringstid på Enterprise, så eksporter det som hører hjemme i den tekniske dokumentasjonen du skal oppbevare i 10 år. CRACI automatiserer en betydelig del av innsynet i leverandørkjeden og dokumentasjonen CRA-prosessen din trenger; samsvarsvurderingen og den tekniske dokumentasjonen forblir produsentens. For alle CRA-kravene som et veikart steg for steg, se CRA-guiden. Les mer om SBOM-generering under bygget, eller book en demo for å se en SBOM registrert fra et av byggene dine.
CRACI sammenlignet med hvert verktøy
- CRACI mot Cybeats Et autoritativt register for SBOM-er mot SBOM-er som registreres og overvåkes.
- CRACI mot FOSSA SBOM-styring mot bygg, SBOM og overvåking i ett.
- CRACI mot Anchore Skanning av images mot registrering og overvåking av bygg.
- CRACI mot Black Duck Skanning av kode, kodeutdrag og binærfiler mot dokumentasjon fra bygget.
- CRACI mot Sonatype Portvakt for repositorier og SCA mot dokumentasjon fra bygget.
- CRACI mot ONEKEY Binæranalyse av firmware mot dokumentasjon fra bygget.
- CRACI mot Finite State Analyse av binærfiler og leverandørers SBOM-er mot en registrering av bygget.
- CRACI mot Exein Kjøretidssikkerhet på enheten mot dokumentasjon fra bygget.
Side om side
Flere verktøy på én side, for når du velger en kategori, ikke ett produkt.
Spørsmål om CRA og SBOM, besvart
Krever CRA transitive avhengigheter i SBOM-en?
Forordningen setter minstekravet til "at the very least the top-level dependencies of the products" (vedlegg I del II nr. 1). Transitive avhengigheter er ikke nevnt, men en sårbar transitiv pakke er likevel i produktet ditt, og CRA ber deg håndtere sårbarheter i komponentene du leverer. Tysklands BSI-retningslinje TR-03183-2 går lenger og ber om rekursiv oppløsning av avhengigheter.
Må CRA-SBOM-en være offentlig?
Nei. Fortalepunkt 77 sier at produsenter ikke bør være forpliktet til å gjøre SBOM-en offentlig. Den hører hjemme i den tekniske dokumentasjonen, og en markedstilsynsmyndighet kan be om den med en begrunnet anmodning. Hvis du velger å dele den med brukere, må informasjonen som følger med produktet, si hvor den finnes (vedlegg II nr. 9).
Bør en CRA-SBOM være CycloneDX eller SPDX?
CRA ber om "a commonly used and machine-readable format" og nevner ikke noe bestemt; Kommisjonen kan fastsette formatet gjennom en gjennomføringsrettsakt (artikkel 13 nr. 24). CycloneDX og SPDX er de to vanlige valgene. BSI TR-03183-2 v2.1.0 godtar CycloneDX 1.6 eller høyere og SPDX 3.0.1 eller høyere, i JSON eller XML.
Hvor lenge må jeg oppbevare SBOM-en?
SBOM-en er en del av den tekniske dokumentasjonen, som produsenter skal holde tilgjengelig for markedstilsynsmyndighetene i minst 10 år etter at produktet er brakt i omsetning, eller i støtteperioden hvis den er lengre (artikkel 13 nr. 13).
Når gjelder CRA-kravene til SBOM?
Rapporteringspliktene i CRA gjelder fra 11. september 2026, og forordningen gjelder fullt ut, inkludert SBOM-kravet i vedlegg I, fra 11. desember 2027.
Andre kategorier
Se CRACI i din egen pipeline
Book en demo, så går vi gjennom byggene dine, SBOM-ene dine og samsvarsdokumentasjonen din.
Book en demo