Oprogramowanie do zgodności z CRA, które zaczyna się w buildzie
CRACI automatyzuje znaczną część wglądu w łańcuch dostaw i dowodów, których potrzebuje Państwa proces zgodności z Cyber Resilience Act: SBOM-y rejestrowane z każdego buildu, monitorowanie podatności po wydaniu, zgłoszenia CRA składane w Państwa imieniu i dane o pochodzeniu. Ocena ryzyka, ocena zgodności i deklaracja zgodności pozostają po Państwa stronie jako producenta.
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
SBOM-y rejestrowane z buildu
CRA wymaga zestawienia komponentów oprogramowania w formacie czytelnym maszynowo. CRACI rejestruje je podczas buildu wydania w GitHub Actions: każdy pakiet pobrany przez zadanie, łącznie z pakietami przywróconymi z cache CI, eksportowany w formacie CycloneDX lub SPDX z zależnościami przechodnimi i deklarowaną licencją każdego komponentu. SBOM każdego zadania ma stan kompletności, więc wiedzą Państwo, czy zapis jest pełny.
Obsługa podatności po wydaniu
Producenci obsługują podatności przez cały okres wsparcia. CRACI na bieżąco ponownie sprawdza SBOM-y dostarczonego oprogramowania pod kątem nowych podatności, agreguje wyniki z wielu buildów i repozytoriów, a zespołom bezpieczeństwa pozwala je analizować i przekazywać zespołom odpowiedzialnym za poprawkę. Obsługuje VEX, monitoruje SBOM-y dostawców razem z Państwa buildami, a widok inwentarza pokazuje, które wersje oprogramowania są wdrożone w których produktach.
Zgłoszenia CRA składane za Państwa
Od 11 września 2026 aktywnie wykorzystywana podatność uruchamia odliczanie: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu 14 dni od udostępnienia poprawki. CRACI składa te zgłoszenia do organów w Państwa imieniu. Obowiązek zgłaszania pozostaje po Państwa stronie; CRACI zajmuje się złożeniem zgłoszenia i pokazuje, których produktów i wydań to dotyczy.
Dowody do oceny zgodności
CRACI nie przeprowadza ocen zgodności. Zbiera dowody techniczne, których taka ocena wymaga: SBOM-y z czasu buildu, zapisy podatności i działań naprawczych, dane o pochodzeniu i ślady sieciowe. SBOM-y eksportuje się w formacie CycloneDX lub SPDX, a resztę udostępnia API. Wybór procedury oceny, deklaracja zgodności i ewentualna jednostka notyfikowana pozostają procesem producenta.
Dla których obowiązków CRA CRACI dostarcza dowody
Obowiązki zgłaszania wynikające z CRA obowiązują od 11 września 2026, także dla produktów już obecnych na rynku, a pozostałą część rozporządzenia stosuje się od 11 grudnia 2027. Oto, co CRACI robi w ramach każdego obowiązku dotyczącego łańcucha dostaw oprogramowania i co pozostaje procesem producenta.
| Obowiązek | Gdzie w CRA | Co zapewnia CRACI | Co pozostaje po Państwa stronie |
|---|---|---|---|
| Zestawienie komponentów oprogramowania (SBOM) | Załącznik I, część II pkt 1; załącznik VII | SBOM z każdego zadania buildu, w formacie CycloneDX lub SPDX, z zależnościami przechodnimi, deklarowanymi licencjami i stanem kompletności. | Przechowywanie go w dokumentacji technicznej i udostępnianie organowi nadzoru rynku na żądanie. |
| Obsługa podatności w okresie wsparcia | Art. 13 ust. 8; załącznik I, część II | Ciągłe monitorowanie SBOM-ów dostarczonego oprogramowania, analiza i przekazywanie zespołom odpowiedzialnym, VEX oraz SBOM-y dostawców monitorowane razem z Państwa buildami. | Określenie okresu wsparcia, przygotowywanie i dostarczanie aktualizacji bezpieczeństwa oraz prowadzenie polityki skoordynowanego ujawniania podatności. |
| Zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów | Art. 14 | Składa w Państwa imieniu wczesne ostrzeżenie, zgłoszenie i raport końcowy oraz pokazuje, których produktów i wydań to dotyczy. | Sam obowiązek oraz informowanie użytkowników, których to dotyczy. |
| Należyta staranność wobec komponentów zewnętrznych | Art. 13 ust. 5 | Zapis każdego pakietu pobranego przez każdy build, polityka ruchu wychodzącego w sieci buildu i monitorowanie SBOM-ów dostawców. | Wybór komponentów i dostawców oraz działanie na podstawie tego, co pokazuje zapis. |
| Dokumentacja techniczna i identyfikowalność | Art. 31; art. 13 ust. 13; załącznik VII | SBOM-y, ślady sieciowe i dane o pochodzeniu przez API oraz eksport SBOM w formacie CycloneDX lub SPDX. Dane są domyślnie przechowywane przez 180 dni, z niestandardowym okresem przechowywania w planie Enterprise. | Sama dokumentacja techniczna, przechowywana przez co najmniej 10 lat lub przez okres wsparcia, jeśli jest dłuższy. |
| Ocena ryzyka i wymagania bezpieczeństwa produktu | Art. 13 ust. 2; załącznik I, część I | Nieobjęte. | Ocena ryzyka cyberbezpieczeństwa i bezpieczne projektowanie, np. bezpieczne ustawienia domyślne, kontrola dostępu i ochrona danych. |
| Ocena zgodności, deklaracja zgodności, oznakowanie CE | Art. 28, 30 i 32 | Wyłącznie dowody. CRACI nie ocenia, nie certyfikuje i nie zarządza oceną. | Przeprowadzenie oceny, z udziałem jednostki notyfikowanej, jeśli wymaga tego klasa produktu, i podpisanie deklaracji. |
CRACI uruchamia Państwa zadania GitHub Actions na własnych runnerach, dlatego może rejestrować build zamiast skanować go po fakcie. Inne systemy CI są w planach rozwoju.
Dla globalnych firm działających w Europie.
Na mocy Cyber Resilience Act oznakowanie CE wkrótce obejmie produkty programowe: każdy producent oprogramowania będzie musiał przejść ocenę zgodności przed sprzedażą w UE. CRACI pomaga Państwu się przygotować, nie spowalniając rozwoju.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Zgodność z CRA: odpowiedzi
Czego Cyber Resilience Act wymaga od producentów i jaką rolę pełni CRACI
Czym jest zgodność z CRA?
Zgodność z CRA oznacza, że produkt z elementami cyfrowymi spełnia wymagania unijnego Cyber Resilience Act, rozporządzenia (UE) 2024/2847, w chwili wprowadzenia do obrotu w UE i przez cały okres wsparcia. Dla producentów obejmuje to ocenę ryzyka cyberbezpieczeństwa, zasadnicze wymagania z załącznika I, obsługę podatności łącznie z SBOM, zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów, dokumentację techniczną, ocenę zgodności, deklarację zgodności UE i oznakowanie CE.
Czy CRACI zapewni zgodność mojego produktu z CRA?
Żadne narzędzie tego nie zrobi. Zgodność to proces prowadzony przez producenta. CRACI automatyzuje znaczną część wglądu w łańcuch dostaw i dowodów, których potrzebuje Państwa proces CRA: SBOM-y z czasu buildu, monitorowanie podatności, zgłoszenia CRA składane w Państwa imieniu, dane o pochodzeniu i dowody do eksportu.
Co musi robić oprogramowanie do zgodności z CRA?
Po stronie technicznej: tworzyć wiarygodny SBOM dla każdego wydania, monitorować go pod kątem nowych podatności przez cały okres wsparcia, znajdować dotknięte produkty wystarczająco szybko, by zdążyć z wczesnym ostrzeżeniem w ciągu 24 godzin, i przechowywać dowody, które można przekazać organowi. Po stronie zarządczej: mapować wymagania na środki kontroli oraz śledzić ocenę ryzyka i ocenę zgodności. CRACI pokrywa stronę techniczną dla oprogramowania budowanego w GitHub Actions.
Czy CRA wymaga SBOM?
Tak. Załącznik I, część II pkt 1 zobowiązuje producentów do sporządzenia zestawienia komponentów oprogramowania w powszechnie stosowanym formacie czytelnym maszynowo, obejmującego co najmniej zależności najwyższego poziomu produktu. Należy ono do dokumentacji technicznej, której może zażądać organ nadzoru rynku. CRA nie wymaga jego publikowania.
Od kiedy obowiązują obowiązki zgłaszania wynikające z CRA?
Od 11 września 2026 i obejmują one również produkty wprowadzone do obrotu przed 11 grudnia 2027. Pozostałą część rozporządzenia stosuje się od 11 grudnia 2027.
Czy CRACI przeprowadza ocenę zgodności?
Nie. CRACI nie przeprowadza ocen zgodności, nie zarządza procesem oceny, nie wydaje certyfikatów i nie działa jako jednostka notyfikowana. Dostarcza dowody techniczne, których wymaga ocena.
Z jakimi systemami CI współpracuje CRACI?
Obecnie z GitHub Actions. Workflow przełącza się na CRACI za pomocą runs-on: craci, a uruchomienia nadal są widoczne w GitHub. Inne systemy CI, w pierwszej kolejności GitLab CI i Jenkins, są w planach rozwoju.
Dowody CRA z jednego z Państwa buildów
Prosimy umówić demo, a wspólnie przejdziemy przez SBOM, monitorowanie i zgłoszenia, które CRACI tworzy z buildu wydania w GitHub Actions
Umów demo