Verktøy for CRA-samsvar sammenlignet

Hvem denne siden er for

Du lager et produkt med digitale elementer og bringer det i omsetning på EU-markedet. Cyber Resilience Act, forordning (EU) 2024/2847, gjelder for deg i etapper: rapporteringspliktene fra 11. september 2026 og hovedbestemmelsene fra 11. desember 2027. Du velger verktøy for de tekniske delene av det arbeidet. Vi lager CRACI, så ta det med i vurderingen. Vi beskriver hvert verktøy ut fra dets egen dokumentasjon og sier hvor et annet verktøy passer bedre.

Én regel går gjennom hele denne siden. Samsvar er en prosess produsenten driver, med risikovurdering, dokumentasjon og samsvarsvurdering. Verktøy produserer dokumentasjon og automatiserer deler av arbeidet. Ingen av verktøyene nedenfor gjør et produkt samsvarende alene.

Hva CRA ber om

For programvareleverandørkjeden gjør fem krav det meste av jobben.

1. En SBOM. Produsenter identifiserer og dokumenterer komponentene i produktet, "including by drawing up a software bill of materials in a commonly used and machine-readable format covering at the very least the top-level dependencies of the products" (vedlegg I del II). Vedlegg VII plasserer den i den tekniske dokumentasjonen, som en markedstilsynsmyndighet kan be om.
2. Sårbarhetshåndtering. Håndter og utbedre sårbarheter uten opphold, blant annet gjennom sikkerhetsoppdateringer, test jevnlig, og ha en policy for koordinert offentliggjøring av sårbarheter (vedlegg I del II).
3. Rapportering. Varsle aktivt utnyttede sårbarheter og alvorlige hendelser til CSIRT-en din og til ENISA gjennom CRA Single Reporting Platform: et tidlig varsel innen 24 timer, et varsel innen 72 timer og en sluttrapport senest 14 dager etter at en retting eller et tiltak er tilgjengelig for en sårbarhet, eller innen én måned for en alvorlig hendelse (artikkel 14).
4. Dokumentasjon. Teknisk dokumentasjon, en samsvarsvurdering og en EU-samsvarserklæring (artikkel 28, 31 og 32, vedlegg VII), holdt tilgjengelig for myndighetene i minst 10 år etter at produktet er brakt i omsetning, eller i støtteperioden, avhengig av hva som er lengst (artikkel 13).
5. En støtteperiode. En periode som gjenspeiler hvor lenge produktet forventes å være i bruk, minst fem år med mindre forventet bruk er kortere, der sårbarheter håndteres effektivt (artikkel 13).

Slik velger du

• Hvilken halvdel av arbeidet trenger du hjelp med? Tekniske verktøy produserer SBOM-en, sårbarhetsoversiktene og byggdokumentasjonen. Plattformer for samsvarsstyring kartlegger krav mot kontroller, utarbeider utkast til policyer og følger prosessen. De fleste verktøy er sterke på én halvdel, så avgjør hvilket gap som er størst.
• Bygger du programvaren, eller integrerer du den? Hvis mye av produktet kommer fra brikkeleverandører og andre leverandører som binærfiler, er binæranalyse måten å se inn i det på. Hvis du bygger det selv, er bygget den mest direkte kilden til dokumentasjon.
• Hvor kommer SBOM-en din fra, og hvordan vet du at den er fullstendig? Skannere, spørringer mot byggeverktøy og registrering av bygget kan gi ulike svar for samme utgivelse.
• Kan du finne berørte utgivelser på få timer? Et tidlig varsel innen 24 timer forutsetter et inventar per utgivelse som du stoler på.
• Trenger du et system of record? Med mange produkter og leverandører blir SBOM-håndtering med VEX og deling en egen jobb.

Oversikt

To tabeller: først verktøy for SBOM, SCA og SBOM-håndtering, deretter verktøy bygget for firmware og enheter. Radene følger kravene over. "Ikke oppgitt" betyr at leverandørsidene vi viser til, ikke sier noe om det.

SBOM, SCA og SBOM-håndtering

Firmware og enheter

CRACI

CRACI er en GitHub Actions-runner. For programvare du bygger, registrerer det hva hver jobb hentet, inkludert pakker gjenopprettet fra CI-cacher, og lager en SBOM i CycloneDX eller SPDX med en fullstendighetsstatus per jobb og per cache. Det vurderer fortløpende SBOM-ene for det som ble levert, på nytt, støtter VEX og sender inn CRA-varslene på dine vegne når en aktivt utnyttet sårbarhet må rapporteres. For Yocto registrerer CRACI det Yoctos egne SPDX-utdata utelater. Hjelper med: SBOM-generering, sårbarhetshåndtering, CRA-varsler, dokumentasjon. Vær obs på: Det analyserer ikke binærfiler du ikke har bygget, har ingen kartlegging av kontroller eller policyhåndtering, og støtter GitHub Actions i dag (GitLab CI og Jenkins står på veikartet). CRA-samsvar med CRACI

SBOM-håndtering

Cybeats

Cybeats SBOM Studio kaller seg "the SBOM system of record." Det lagrer SBOM-er fra produktene og leverandørene dine i SPDX 2.2 til 3.0.1 og CycloneDX 1.2 til 1.7, validerer dem med en Quality Score før import, matcher hver komponent mot sårbarhetsinformasjon, utsteder VEX og deler SBOM-er med kunder, også over Transparency Exchange API. Veiledningen om regelverk beskriver CRA-tidslinjen på 24 timer, 72 timer og 14 dager. Hjelper med: SBOM-håndtering, sårbarhetshåndtering, dokumentasjon. Vær obs på: For generering viser det til leverandører i sin Marketplace, så selve SBOM-en kommer fra et annet verktøy. CRACI vs. Cybeats og Cybeats-alternativer

FOSSA

FOSSA begynte med lisenssamsvar og dekker nå hele SBOM-livssyklusen. Det genererer SPDX- og CycloneDX-SBOM-er, eventuelt med VDR- eller VEX-erklæringer, importerer leverandørers SBOM-er med policyer for minimumselementene til NTIA og FDA, overvåker dem for sårbarheter og deler dem gjennom en SBOM Portal på Enterprise. Per september 2026 har det en gratisplan, og Business koster $20 per prosjekt per måned, fakturert årlig. Hjelper med: SBOM, deling med myndigheter, lisenser. Vær obs på: FOSSA CLI analyserer prosjektet gjennom byggeverktøyet eller utleder fra kildekoden, i stedet for å registrere bygget. CRACI vs. FOSSA

Anchore

Anchore Enterprise bygger på Syft og Grype, som er åpen kildekode. Det skanner container-images, filsystemer og importerte SBOM-er, skanner lagrede SBOM-er på nytt uten den opprinnelige artefakten, bruker policypakker som FedRAMP og NIST og kjører selvhostet, også air-gapped. CRA-materialet dekker SBOM-håndtering, overvåking mot kilder som CISA KEV, støtte for tidsvinduene på 24 og 72 timer, VEX-merknader og revisjonsspor. Hjelper med: SBOM, sårbarhetshåndtering, dokumentasjon. Vær obs på: SBOM-ene beskriver det en skanner finner i et image eller en mappe, ikke det bygget hentet og la igjen. CRACI vs. Anchore

SCA-suiter

Black Duck

Black Duck SCA kombinerer skanning av pakkebehandlere, signaturer, kodebiter og binærfiler, så det finner åpen kildekode ingen har deklarert, og KnowledgeBase sporer mer enn 2 750 lisenser. Binary Analysis undersøker firmware uten kildekode, Coverity gir SAST med et CRA-tilpasset checker-alternativ annonsert i juli 2026, og Defensics utfører fuzz-testing. Black Duck hevder at CRA krever lag med testing, ikke bare SCA. Hjelper med: SBOM, sårbarhetshåndtering for komponenter og din egen kode, testing. Vær obs på: Prisen settes etter tilbud, og hver teknikk undersøker kode eller utdata, ikke bygget. CRACI vs. Black Duck

Sonatype

Sonatype Lifecycle bruker policy for åpen kildekode med reachability- og oppgraderingsdata og åpner Golden Pull Requests. Repository Firewall setter komponenter som ikke består policyen, i karantene før de kommer inn i repositoriene dine. SBOM Manager importerer, overvåker og deler SBOM-er med en VEX-arbeidsflyt, og Sonatype posisjonerer det som CRA-produktet sitt; guiden viser også til Nexus Repository som oppdateringsside for sikkerhetsoppdateringer. Hjelper med: sårbarhetshåndtering, SBOM-håndtering, å holde dårlige komponenter ute. Vær obs på: Pakketilbudet er i endring (nye kunder kjøper Sonatype Guide), og Lifecycle analyserer det bygget produserte, ikke hva det hentet. CRACI vs. Sonatype

Firmware og enheter

ONEKEY

ONEKEY analyserer kompilert firmware med "no source code or network access needed." Det genererer en SBOM fra binærfilen, importerer leverandørers SBOM-er, ser etter sannsynlige zero-days som hardkodet påloggingsinformasjon, og analyserer firmware på nytt daglig. Compliance Wizard leder team gjennom CRA, IEC 62443-4-2, ETSI EN 303 645 og Radio Equipment Directive. Hjelper med: SBOM for firmware du ikke har bygget, sårbarhetshåndtering, veiledede sjekker. Vær obs på: Det jobber med imaget etter bygget, så det registrerer ikke hva bygget hentet. CRACI vs. ONEKEY og ONEKEY-alternativer

Finite State

Finite State analyserer firmware, binærfiler, kildekode og leverandørers SBOM-er, med støtte for mer enn 50 binære instruksjonssettarkitekturer, og samler dem i én produktoversikt. Det rangerer funn etter reachability og data om utnyttelse, registrerer VEX-beslutninger, og samsvarsprosessen dekker kartlegging av CRA-kontroller og revisjonsklare rapporter med SBOM- og VEX-artefakter. Hjelper med: SBOM på tvers av leverandører, triage av sårbarheter, dokumentasjon. Vær obs på: Det starter fra artefakter, så kontroll over hva ditt eget bygg kunne nå, er utenfor omfanget. CRACI vs. Finite State og Finite State-alternativer

Exein

Exein jobber på enheten. Exein Runtime bruker eBPF til å overvåke og blokkere ondsinnet atferd på innebygd Linux, og Yocto-laget meta-exein, som er åpen kildekode, legger Pulsar-agenten inn i imaget ditt. Exein Analyzer skanner firmware før utgivelse, eller SBOM-en din når binærfilen ikke er tilgjengelig, prioriterer med reachability-scoring og kartlegger funn mot CRA-kravene. Hjelper med: sårbarhetshåndtering i felten, firmware-SBOM, CRA-kartlegging. Vær obs på: Yocto-laget endrer det som kjører på enheten; det kjører ikke og registrerer ikke bygget ditt. CRACI vs. Exein

Plattformer for samsvarsstyring

Disse verktøyene genererer ikke SBOM-er og skanner ikke kode. De jobber med styringshalvdelen: å kartlegge CRA-kravene mot kontroller, utarbeide utkast til policyer og følge frister og godkjenninger. De trenger teknisk dokumentasjon fra andre steder.

Venvera

Venvera er en samsvarsplattform bygget i EU som dekker CRA ved siden av NIS2, DORA, ISO 27001 og SOC 2. For CRA følger den rapporteringsklokkene på 24 og 72 timer, sårbarhetshåndtering, SBOM-en som et krav som må vedlikeholdes, samsvarsløpet per produktklasse, og den tekniske dokumentasjonen etter vedlegg VII og EU-samsvarserklæringen. Hjelper med: kartlegging av kontroller, rapporteringsfrister, oppfølging av samsvarsprosessen. Vær obs på: Den holder oversikt over at en SBOM finnes og vedlikeholdes; selve SBOM-en kommer fra et annet verktøy.

ZeroRisk

ZeroRisk er en agentbasert samsvarsplattform som dekker GDPR, ISO 27001, SOC 2, NIS2, DORA og CRA. For CRA kartlegger agenten kravene mot organisasjonen din, fyller ut en beredskapsvurdering på forhånd, lager utkast til manglende kontroller og policyer og overvåker leverandørene inne i produktene dine, sjekket på nytt hver 24. time, med menneskelig godkjenning av hver konklusjon. Hjelper med: beredskap, policyer, leverandørsikring. Vær obs på: CRA-siden nevner ikke SBOM-generering eller sårbarhetsovervåking av dine egne bygg.

Rapportering innen fristene

Artikkel 14 legger varslingen på produsenten, og den har gjeldt siden 11. september 2026, også for produkter som allerede er på markedet. Det verktøy kan gjøre, er å korte ned tiden mellom "denne sårbarheten blir utnyttet" og "vi vet hvilke produkter og utgivelser som inneholder den". Det forutsetter inventarer per utgivelse som du stoler på, kontinuerlig overvåking og en kobling fra hver levert artefakt til komponentene. Anchore og Cybeats beskriver rapporteringsvinduene i CRA-materialet sitt, Venvera følger klokkene, og binæranalyse fra ONEKEY, Finite State eller Exein dekker leverandørkode du ikke kan bygge på nytt. API-et til CRACI returnerer SBOM-er, nettverksspor og provenance, og CRACI sender inn det tidlige varselet, varselet og sluttrapporten på vegne av produsenten.

Hvor CRACI passer inn

CRACI er en GitHub Actions-runner. For programvare du bygger, registrerer det hva hver jobb hentet, inkludert pakker gjenopprettet fra CI-cacher, og lager en SBOM i CycloneDX eller SPDX med en fullstendighetsstatus per jobb og per cache. Det håndhever en egress-policy på bygget, vurderer fortløpende SBOM-ene for det som ble levert, på nytt, støtter VEX og eksporterer SBOM-er som CycloneDX eller SPDX, sårbarheter inkludert, som CRA-dokumentasjon. Når en aktivt utnyttet sårbarhet må rapporteres, sender CRACI inn CRA-varslene på dine vegne. For Yocto kjører det BitBake på runnere med opptil 32 vCPU og 96 GB RAM og registrerer det Yoctos egne SPDX-utdata utelater, som vertspakker og package URL-er for Rust-crates. Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess.

Det er ikke nok alene hvis det meste av produktet ditt kommer fra leverandører som binærfiler, eller hvis du trenger veiledede sjekker mot standarder, kartlegging av kontroller og policyhåndtering, beskyttelse på enheten eller andre CI-systemer enn GitHub Actions i dag (GitLab CI og Jenkins står på veikartet). For byggene du eier, dekker CRACI SBOM, overvåking og CRA-varsler i ett produkt; for firmware du ikke kan bygge på nytt, ser binæranalyse det bygget ditt aldri så. Se hva CRA er, CRA-samsvar og industrielt IoT.

Verktøy for CRA-samsvar: ofte stilte spørsmål

Hva programvare for CRA-samsvar gjør, og hva som blir hos produsenten

Hva er programvare for CRA-samsvar?

Programvare som hjelper en produsent med å oppfylle Cyber Resilience Act. Den finnes i to typer: tekniske verktøy som produserer SBOM-en, sårbarhetsoversikter og byggdokumentasjon, og plattformer for samsvarsstyring som kartlegger kravene mot kontroller og følger rapporteringsklokken, risikovurderingen og samsvarsvurderingen. Ingen av dem gjør et produkt samsvarende alene.

Hvilke CRA-forpliktelser kan et verktøy automatisere?

For det meste sårbarhetshåndteringen: generere SBOM-en, overvåke den for nye sårbarheter, finne berørte utgivelser, registrere triage- og VEX-beslutninger, forberede og sende inn varslene etter artikkel 14 og eksportere dokumentasjon til den tekniske dokumentasjonen. Risikovurderingen, sikker design, samsvarsvurderingen og samsvarserklæringen forblir produsentens beslutninger.

Trenger jeg ett verktøy eller flere?

Vanligvis flere enn ett. Et teknisk verktøy gir deg SBOM-en og sårbarhetsdokumentasjonen; en plattform for samsvarsstyring eller en konsulent dekker kontroller, policyer og samsvarsløpet. For firmware du mottar fra leverandører som binærfiler, legger binæranalyse til det ditt eget bygg ikke kan se.

Hva er fristen for CRA-rapportering?

Artikkel 14 har gjeldt siden 11. september 2026: et tidlig varsel innen 24 timer etter at du ble kjent med en aktivt utnyttet sårbarhet, et varsel innen 72 timer og en sluttrapport senest 14 dager etter at en retting eller et tiltak er tilgjengelig. Den omfatter produkter som allerede er på markedet. Resten av CRA gjelder fra 11. desember 2027.

Sender CRACI inn CRA-varsler?

Ja. CRACI sender inn det tidlige varselet, varselet og sluttrapporten på vegne av produsenten. Rapporteringsplikten forblir hos produsenten.

Utfører noe verktøy CRA-samsvarsvurderingen?

Ingen programvare erstatter den. Produsenten gjennomfører vurderingen, ved intern kontroll eller, for viktige og kritiske produkter, med et teknisk kontrollorgan eller en sertifiseringsordning der CRA krever det. Verktøy leverer dokumentasjonen vurderingen bruker.