Software de conformidade com o CRA que começa no seu build
O CRACI automatiza uma parte significativa da visibilidade sobre a cadeia de abastecimento e das evidências de que o seu processo do Cyber Resilience Act precisa: SBOM registadas a partir de cada build, monitorização de vulnerabilidades após o lançamento, notificações do CRA submetidas em nome da sua empresa e dados de proveniência. A avaliação de riscos, a avaliação da conformidade e a declaração de conformidade continuam a cargo da sua empresa, enquanto fabricante.
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
SBOM registadas a partir do build
O CRA exige uma lista de materiais de software num formato legível por máquina. O CRACI regista-a enquanto o build de lançamento no GitHub Actions é executado: cada pacote que o job descarregou, incluindo os pacotes restaurados de caches de CI, exportada em CycloneDX ou SPDX com as dependências transitivas e a licença declarada de cada componente. A SBOM de cada job tem um estado de completude, para que saiba se o registo está completo.
Gestão de vulnerabilidades após o lançamento
Os fabricantes gerem as vulnerabilidades durante todo o período de suporte. O CRACI reavalia continuamente as SBOM do que lançou face a novas vulnerabilidades, agrega as conclusões de todos os builds e repositórios e permite que as equipas de segurança façam a triagem e as enviem às equipas responsáveis pela correção. Suporta VEX, monitoriza as SBOM de fornecedores a par dos seus próprios builds, e a vista de inventário mostra que versões de software estão implementadas em que produtos.
Notificações do CRA, submetidas em seu nome
Desde 11 de setembro de 2026, uma vulnerabilidade ativamente explorada dá início a uma contagem decrescente: um alerta precoce no prazo de 24 horas, uma notificação no prazo de 72 horas e um relatório final no prazo de 14 dias após uma correção. O CRACI submete estas notificações às autoridades em nome da sua empresa. A obrigação de comunicação continua a ser da sua empresa; o CRACI trata da submissão e mostra que produtos e versões estão afetados.
Evidências para a avaliação da conformidade
O CRACI não realiza avaliações da conformidade. Reúne as evidências técnicas de que uma avaliação precisa: SBOM geradas no build, registos de vulnerabilidades e de correções, dados de proveniência e traços de rede. As SBOM são exportadas em CycloneDX ou SPDX e o resto é disponibilizado através da API. O procedimento de avaliação, a declaração de conformidade e qualquer organismo notificado continuam a fazer parte do processo do fabricante.
Para que obrigações do CRA o CRACI fornece evidências
As obrigações de comunicação do CRA aplicam-se desde 11 de setembro de 2026, incluindo aos produtos já no mercado, e o resto do regulamento aplica-se a partir de 11 de dezembro de 2027. Eis o que o CRACI faz em cada obrigação relacionada com a cadeia de abastecimento de software, e o que continua a fazer parte do processo do fabricante.
| Obrigação | Onde no CRA | O que o CRACI fornece | O que fica a cargo da sua empresa |
|---|---|---|---|
| Lista de materiais de software | Anexo I, parte II, ponto 1; Anexo VII | Uma SBOM de cada job de build, em CycloneDX ou SPDX, com dependências transitivas, licenças declaradas e um estado de completude. | Mantê-la na documentação técnica e fornecê-la a uma autoridade de fiscalização do mercado, se solicitada. |
| Gestão de vulnerabilidades durante o período de suporte | Artigo 13.º, n.º 8; Anexo I, parte II | Monitorização contínua das SBOM lançadas, triagem e encaminhamento para as equipas responsáveis, VEX e SBOM de fornecedores monitorizadas a par dos seus builds. | Definir o período de suporte, corrigir e lançar atualizações de segurança e manter uma política de divulgação coordenada de vulnerabilidades. |
| Comunicação de vulnerabilidades exploradas e de incidentes graves | Artigo 14.º | Submete o alerta precoce, a notificação e o relatório final em nome da sua empresa e mostra que produtos e versões estão afetados. | A própria obrigação e a informação aos utilizadores afetados. |
| Devida diligência relativa a componentes de terceiros | Artigo 13.º, n.º 5 | Um registo de cada pacote que cada build obteve, uma política de egress na rede de build e a monitorização das SBOM de fornecedores. | Escolher componentes e fornecedores e agir com base no que o registo mostra. |
| Documentação técnica e rastreabilidade | Artigo 31.º; artigo 13.º, n.º 13; Anexo VII | SBOM, traços de rede e dados de proveniência através da API, e exportação de SBOM em CycloneDX ou SPDX. Os dados são conservados 180 dias por defeito, com retenção personalizada no Enterprise. | O próprio dossier técnico, conservado durante pelo menos 10 anos ou durante o período de suporte, consoante o que for mais longo. |
| Avaliação de riscos e requisitos de segurança do produto | Artigo 13.º, n.º 2; Anexo I, parte I | Não abrangido. | A avaliação dos riscos de cibersegurança e a conceção segura, como configurações seguras por defeito, controlo de acessos e proteção de dados. |
| Avaliação da conformidade, declaração de conformidade, marcação CE | Artigos 28.º, 30.º e 32.º | Apenas evidências. O CRACI não avalia, não certifica nem gere a avaliação. | Realizar a avaliação, com um organismo notificado quando a classe do produto o exija, e assinar a declaração. |
O CRACI executa os seus jobs de GitHub Actions nos seus próprios runners, e é por isso que consegue registar o build em vez de o analisar depois. Outros sistemas de CI estão no roadmap.
Concebido para empresas globais que operam na Europa.
Com o Cyber Resilience Act, a marcação CE passará em breve a abranger os produtos de software: todos os fabricantes de software terão de passar uma avaliação da conformidade antes de vender na UE. O CRACI ajuda a sua empresa a preparar-se sem abrandar o desenvolvimento.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Conformidade com o CRA: respostas
O que o Cyber Resilience Act exige aos fabricantes e qual o papel do CRACI
O que é a conformidade com o CRA?
A conformidade com o CRA significa que um produto com elementos digitais cumpre o Cyber Resilience Act da UE, o Regulamento (UE) 2024/2847, quando é colocado no mercado da UE e durante todo o seu período de suporte. Para os fabricantes, isso abrange uma avaliação dos riscos de cibersegurança, os requisitos essenciais do Anexo I, a gestão de vulnerabilidades incluindo uma SBOM, a comunicação de vulnerabilidades ativamente exploradas e de incidentes graves, a documentação técnica, uma avaliação da conformidade, uma declaração UE de conformidade e a marcação CE.
O CRACI torna o meu produto conforme com o CRA?
Nenhuma ferramenta o faz. A conformidade é um processo conduzido pelo fabricante. O CRACI automatiza uma parte significativa da visibilidade sobre a cadeia de abastecimento e das evidências de que o seu processo do CRA precisa: SBOM geradas no build, monitorização de vulnerabilidades, notificações do CRA submetidas em nome da sua empresa, dados de proveniência e evidências exportáveis.
O que deve fazer um software de conformidade com o CRA?
Do lado técnico: produzir uma SBOM fiável para cada versão, monitorizá-la quanto a novas vulnerabilidades durante todo o período de suporte, encontrar os produtos afetados com rapidez suficiente para o alerta precoce de 24 horas e guardar evidências que possa entregar a uma autoridade. Do lado da governação: associar requisitos a controlos e acompanhar a avaliação de riscos e a avaliação da conformidade. O CRACI cobre o lado técnico para o software que compila com o GitHub Actions.
O CRA exige uma SBOM?
Sim. O Anexo I, parte II, ponto 1, exige que os fabricantes elaborem uma lista de materiais de software num formato de uso corrente e legível por máquina, que abranja, no mínimo, as dependências de nível superior do produto. Esta faz parte da documentação técnica, que uma autoridade de fiscalização do mercado pode solicitar. O CRA não exige que a publique.
Quando se aplicam as obrigações de comunicação do CRA?
A partir de 11 de setembro de 2026, e abrangem também os produtos colocados no mercado antes de 11 de dezembro de 2027. O resto do regulamento aplica-se a partir de 11 de dezembro de 2027.
O CRACI realiza a avaliação da conformidade?
Não. O CRACI não realiza avaliações da conformidade, não gere o processo de avaliação, não emite certificados nem atua como organismo notificado. Fornece as evidências técnicas que a avaliação exige.
Com que sistemas de CI funciona o CRACI?
Hoje, com o GitHub Actions. Muda um workflow para o CRACI com runs-on: craci, e as execuções continuam a aparecer no GitHub. Outros sistemas de CI, a começar pelo GitLab CI e pelo Jenkins, estão no roadmap.
Veja as evidências do CRA de um dos seus builds
Marque uma demo e mostramos-lhe a SBOM, a monitorização e as comunicações que o CRACI produz a partir de um build de lançamento no GitHub Actions
Marcar uma demo