Programvare for CRA-samsvar som starter i bygget ditt
CRACI automatiserer en betydelig del av innsynet i leverandørkjeden og dokumentasjonen prosessen din for Cyber Resilience Act trenger: SBOM-er registrert fra hvert bygg, sårbarhetsovervåking etter leveranse, CRA-varsler sendt inn på dine vegne og provenance-data. Risikovurderingen, samsvarsvurderingen og samsvarserklæringen forblir hos deg, produsenten.
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
SBOM-er registrert fra bygget
CRA krever en programvarestykkliste i et maskinlesbart format. CRACI registrerer en mens release-bygget ditt i GitHub Actions kjører: hver pakke jobben hentet inn, inkludert pakker gjenopprettet fra CI-cacher, eksportert som CycloneDX eller SPDX med transitive avhengigheter og den deklarerte lisensen til hver komponent. SBOM-en til hver jobb har en fullstendighetsstatus, så du vet om registreringen er fullstendig.
Sårbarhetshåndtering etter leveranse
Produsenter håndterer sårbarheter gjennom hele støtteperioden. CRACI vurderer SBOM-ene for det du har levert, på nytt mot nye sårbarheter, samler funn på tvers av bygg og repositorier og lar sikkerhetsteamene prioritere dem og sende dem videre til teamene som eier rettingen. CRACI støtter VEX, overvåker leverandørers SBOM-er side om side med dine egne bygg, og inventarvisningen viser hvilke programvareversjoner som er tatt i bruk i hvilke produkter.
CRA-varsler, sendt inn for deg
Siden 11. september 2026 starter en aktivt utnyttet sårbarhet en klokke: et tidlig varsel innen 24 timer, et varsel innen 72 timer og en sluttrapport innen 14 dager etter en retting. CRACI sender disse varslene til myndighetene på dine vegne. Rapporteringsplikten forblir din; CRACI tar seg av innsendingen og viser hvilke produkter og utgivelser som er berørt.
Underlag for samsvarsvurdering
CRACI utfører ikke samsvarsvurderinger. Den samler inn det tekniske underlaget en vurdering trenger: SBOM-er fra bygget, registreringer av sårbarheter og utbedringer, provenance og nettverksspor. SBOM-er eksporteres som CycloneDX eller SPDX, og resten kommer via API-et. Vurderingsprosedyren, samsvarserklæringen og et eventuelt teknisk kontrollorgan forblir produsentens prosess.
Hvilke CRA-plikter CRACI leverer dokumentasjon for
Rapporteringspliktene i CRA har gjeldt siden 11. september 2026, også for produkter som allerede er på markedet, og resten av forordningen gjelder fra 11. desember 2027. Her er hva CRACI gjør for hver plikt som berører programvareleverandørkjeden, og hva som forblir produsentens prosess.
| Plikt | Hvor i CRA | Hva CRACI leverer | Hva som forblir hos deg |
|---|---|---|---|
| Programvarestykkliste | Vedlegg I del II nr. 1; vedlegg VII | En SBOM fra hver byggejobb, i CycloneDX eller SPDX, med transitive avhengigheter, deklarerte lisenser og en fullstendighetsstatus. | Å ha den med i den tekniske dokumentasjonen og legge den fram for en markedstilsynsmyndighet på forespørsel. |
| Sårbarhetshåndtering i støtteperioden | Artikkel 13 nr. 8; vedlegg I del II | Kontinuerlig overvåking av leverte SBOM-er, prioritering og videresending til ansvarlige team, VEX, og leverandørers SBOM-er overvåket side om side med byggene dine. | Å fastsette støtteperioden, rette feil og levere sikkerhetsoppdateringer, og å ha en policy for koordinert offentliggjøring av sårbarheter. |
| Rapportering av utnyttede sårbarheter og alvorlige hendelser | Artikkel 14 | Sender inn det tidlige varselet, varselet og sluttrapporten på dine vegne, og viser hvilke produkter og utgivelser som er berørt. | Selve plikten, og å informere berørte brukere. |
| Aktsomhet ved tredjepartskomponenter | Artikkel 13 nr. 5 | En oversikt over hver pakke hvert bygg hentet, en egress-policy på byggenettverket og overvåking av leverandørers SBOM-er. | Å velge komponenter og leverandører, og å handle ut fra det oversikten viser. |
| Teknisk dokumentasjon og sporbarhet | Artikkel 31; artikkel 13 nr. 13; vedlegg VII | SBOM-er, nettverksspor og provenance-data via API-et, og SBOM-eksport som CycloneDX eller SPDX. Data oppbevares i 180 dager som standard, med tilpasset oppbevaringstid på Enterprise. | Selve den tekniske dokumentasjonen, som skal oppbevares i minst 10 år eller i støtteperioden, avhengig av hva som er lengst. |
| Risikovurdering og sikkerhetskrav til produktet | Artikkel 13 nr. 2; vedlegg I del I | Ikke dekket. | Cybersikkerhetsrisikovurderingen og sikker design, som sikre standardinnstillinger, tilgangskontroll og databeskyttelse. |
| Samsvarsvurdering, samsvarserklæring, CE-merking | Artikkel 28, 30 og 32 | Bare underlag. CRACI vurderer ikke, sertifiserer ikke og styrer ikke vurderingen. | Å gjennomføre vurderingen, med et teknisk kontrollorgan der produktklassen krever det, og å signere erklæringen. |
CRACI kjører GitHub Actions-jobbene dine på sine egne runnere, og derfor kan den registrere bygget i stedet for å skanne det etterpå. Andre CI-systemer står på veikartet.
Laget for globale selskaper som opererer i Europa.
Med Cyber Resilience Act vil CE-merkingen snart omfatte programvareprodukter: Hver programvareprodusent må bestå en samsvarsvurdering før salg i EU. CRACI gjør deg klar uten å bremse utviklingen din.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
CRA-samsvar: spørsmål og svar
Hva Cyber Resilience Act krever av produsenter, og hvor CRACI passer inn
Hva er CRA-samsvar?
CRA-samsvar betyr at et produkt med digitale elementer oppfyller EUs Cyber Resilience Act, forordning (EU) 2024/2847, når det bringes i omsetning på EU-markedet og gjennom hele støtteperioden. For produsenter omfatter det en cybersikkerhetsrisikovurdering, de grunnleggende kravene i vedlegg I, sårbarhetshåndtering inkludert en SBOM, rapportering av aktivt utnyttede sårbarheter og alvorlige hendelser, teknisk dokumentasjon, en samsvarsvurdering, en EU-samsvarserklæring og CE-merkingen.
Sørger CRACI for at produktet mitt oppfyller CRA?
Det gjør ikke noe verktøy. Samsvar er en prosess som produsenten gjennomfører. CRACI automatiserer en betydelig del av innsynet i leverandørkjeden og dokumentasjonen CRA-prosessen din trenger: SBOM-er fra bygget, sårbarhetsovervåking, CRA-varsler sendt inn på dine vegne, provenance-data og dokumentasjon som kan eksporteres.
Hva må programvare for CRA-samsvar kunne gjøre?
På den tekniske siden: lage en pålitelig SBOM for hver utgivelse, overvåke den for nye sårbarheter gjennom hele støtteperioden, finne berørte produkter raskt nok til det tidlige varselet innen 24 timer, og ta vare på dokumentasjon du kan gi til en myndighet. På styringssiden: knytte krav til kontroller og følge opp risikovurderingen og samsvarsvurderingen. CRACI dekker den tekniske siden for programvare du bygger med GitHub Actions.
Krever CRA en SBOM?
Ja. Vedlegg I del II nr. 1 krever at produsenter utarbeider en programvarestykkliste i et vanlig brukt og maskinlesbart format som minst dekker produktets avhengigheter på øverste nivå. Den hører hjemme i den tekniske dokumentasjonen, som en markedstilsynsmyndighet kan be om. CRA krever ikke at du publiserer den.
Når gjelder rapporteringspliktene i CRA?
Fra 11. september 2026, og de omfatter også produkter som er brakt i omsetning før 11. desember 2027. Resten av forordningen gjelder fra 11. desember 2027.
Gjennomfører CRACI samsvarsvurderingen?
Nei. CRACI gjennomfører ikke samsvarsvurderinger, styrer ikke vurderingsprosessen, utsteder ikke sertifikater og fungerer ikke som teknisk kontrollorgan. CRACI leverer det tekniske underlaget vurderingen ber om.
Hvilke CI-systemer fungerer CRACI med?
GitHub Actions i dag. Du bytter en workflow til CRACI med runs-on: craci, og kjøringene vises fortsatt i GitHub. Andre CI-systemer, først GitLab CI og Jenkins, står på veikartet.
Se CRA-dokumentasjonen fra et av byggene dine
Book en demo, så går vi gjennom SBOM-en, overvåkingen og rapporteringen CRACI lager fra et release-bygg i GitHub Actions
Book en demo