124% fler rapporterade CVE:er per dag 2026 än förra året.

Programvara för CRA-efterlevnad som börjar i ditt bygge

CRACI automatiserar en betydande del av den insyn i leveranskedjan och det underlag som din process för Cyber Resilience Act behöver: SBOM:er registrerade från varje bygge, sårbarhetsbevakning efter leverans, CRA-anmälningar som skickas in för din räkning och proveniensdata. Riskbedömningen, bedömningen av överensstämmelse och försäkran om överensstämmelse ligger kvar hos dig som tillverkare.

Boka en demo Vad är CRA? →

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

SBOM:er registrerade från bygget

CRA kräver en programvaruförteckning (SBOM) i ett maskinläsbart format. CRACI registrerar en medan ditt release-bygge i GitHub Actions körs: varje paket som jobbet hämtade, inklusive paket som återställs från CI-cachar, exporterat som CycloneDX eller SPDX med transitiva beroenden och varje komponents deklarerade licens. Varje jobbs SBOM har en fullständighetsstatus, så du vet om registreringen är komplett.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

Sårbarhetshantering efter leverans

Tillverkare hanterar sårbarheter under hela supportperioden. CRACI omvärderar löpande SBOM:erna för det du levererat mot nya sårbarheter, sammanställer fynd över byggen och repon och låter säkerhetsteamen triagera dem och skicka dem vidare till de team som äger åtgärden. CRACI har stöd för VEX, bevakar leverantörers SBOM:er tillsammans med dina egna byggen, och inventarievyn visar vilka programvaruversioner som är driftsatta i vilka produkter.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

CRA-anmälningar som skickas in åt dig

Sedan den 11 september 2026 startar en aktivt utnyttjad sårbarhet en klocka: en tidig varning inom 24 timmar, en anmälan inom 72 timmar och en slutrapport inom 14 dagar efter en åtgärd. CRACI skickar in dessa anmälningar till myndigheterna för din räkning. Rapporteringsskyldigheten är fortfarande din; CRACI sköter inlämningen och visar vilka produkter och releaser som berörs.

CRA notifications, submitted for you When a vulnerability is actively exploited, the CRA sets deadlines: an early warning within 24 hours, a notification within 72 hours and a final report 14 days after a fix is available. CRACI submits them through the CRA Single Reporting Platform to the CSIRT and ENISA on the manufacturer's behalf. Actively exploited vulnerability found Aware 24 hours Early warning 72 hours Notification Fix + 14 days Final report CRACI submits on your behalf Through the CRA Single Reporting Platform to the CSIRT and ENISA and shows which products and releases are affected What stays with you The reporting obligation itself Informing affected users Severe incidents: final report within one month

Underlag för bedömning av överensstämmelse

CRACI genomför inte bedömningar av överensstämmelse. Det samlar in det tekniska underlag som en sådan bedömning behöver: SBOM:er från bygget, register över sårbarheter och åtgärder, proveniens och nätverksspårningar. SBOM:er exporteras som CycloneDX eller SPDX och resten hämtas via API:t. Bedömningsförfarandet, försäkran om överensstämmelse och ett eventuellt anmält organ förblir tillverkarens process.

Evidence for the conformity assessment CRACI supplies technical evidence: build-time SBOMs, vulnerability and remediation records, provenance and network traces, with SBOMs exported as CycloneDX or SPDX and the rest returned by the API. The manufacturer uses it in the technical documentation, runs the conformity assessment, by self-assessment or with a notified body, draws up the EU declaration of conformity and applies the CE marking. CRACI supplies the evidence Build-time SBOMs Vulnerability records Provenance Network traces The manufacturer's process Technical documentation Conformity assessment: self-assessment or notified body EU declaration of conformity CE marking CRACI does not assess, certify or manage the assessment

Vilka skyldigheter i CRA som CRACI ger underlag för

Rapporteringsskyldigheterna i CRA har gällt sedan den 11 september 2026, även för produkter som redan finns på marknaden, och resten av förordningen gäller från den 11 december 2027. Här är vad CRACI gör för varje skyldighet som rör mjukvarans leveranskedja, och vad som förblir tillverkarens process.

Skyldighet Var i CRA Vad CRACI tillhandahåller Vad som ligger kvar hos dig
Programvaruförteckning (SBOM) Bilaga I, del II (1); bilaga VII En SBOM från varje byggjobb, i CycloneDX eller SPDX, med transitiva beroenden, deklarerade licenser och en fullständighetsstatus. Att bevara den i den tekniska dokumentationen och lämna den till en marknadskontrollmyndighet på begäran.
Sårbarhetshantering under supportperioden Artikel 13.8; bilaga I, del II Löpande bevakning av levererade SBOM:er, triage och vidarebefordran till ansvariga team, VEX, och leverantörers SBOM:er som bevakas tillsammans med dina byggen. Att fastställa supportperioden, åtgärda och leverera säkerhetsuppdateringar och tillämpa en policy för samordnat offentliggörande av sårbarheter.
Rapportering av utnyttjade sårbarheter och allvarliga incidenter Artikel 14 Skickar in den tidiga varningen, anmälan och slutrapporten för din räkning och visar vilka produkter och releaser som berörs. Själva skyldigheten, och att informera berörda användare.
Tillbörlig aktsamhet för tredjepartskomponenter Artikel 13.5 En registrering av varje paket som varje bygge hämtade, en egress-policy för byggnätverket och bevakning av leverantörers SBOM:er. Att välja komponenter och leverantörer, och att agera på det som registreringen visar.
Teknisk dokumentation och spårbarhet Artikel 31; artikel 13.13; bilaga VII SBOM:er, nätverksspårningar och proveniensdata via API:t samt SBOM-export som CycloneDX eller SPDX. Data sparas i 180 dagar som standard, med anpassad lagringstid på Enterprise. Själva den tekniska dokumentationen, som ska sparas i minst 10 år eller under supportperioden, beroende på vilken som är längst.
Riskbedömning och säkerhetskrav på produkten Artikel 13.2; bilaga I, del I Omfattas inte. Cybersäkerhetsriskbedömningen och säker design, till exempel säkra standardinställningar, åtkomstkontroll och dataskydd.
Bedömning av överensstämmelse, försäkran om överensstämmelse, CE-märkning Artiklarna 28, 30 och 32 Endast underlag. CRACI varken bedömer, certifierar eller hanterar bedömningen. Att genomföra bedömningen, med ett anmält organ där produktklassen kräver det, och att underteckna försäkran.

CRACI kör dina GitHub Actions-jobb på sina egna runners, och det är därför den kan registrera bygget i stället för att skanna det i efterhand. Andra CI-system finns på roadmapen.

Gjort för globala företag verksamma i Europa.

Med Cyber Resilience Act kommer CE-märkningen snart att omfatta mjukvaruprodukter: varje mjukvarutillverkare måste klara en bedömning av överensstämmelse innan försäljning i EU. CRACI gör dig redo utan att bromsa din utveckling.

Compliance that ships with your code

Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.

New build triggered
15workflows initiated
5jobs completed

From detection to disclosure in 24 hours

When vulnerabilities are detected, CRACI helps you triage, document, and report them to ENISA within the required timeframe. Automated workflows ensure nothing falls through the cracks.

One place for everything CRA

Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.

CRA-efterlevnad: svar på vanliga frågor

Vad Cyber Resilience Act kräver av tillverkare, och var CRACI passar in

Vad är CRA-efterlevnad?

CRA-efterlevnad innebär att en produkt med digitala element uppfyller EU:s Cyber Resilience Act, förordning (EU) 2024/2847, när den släpps ut på EU-marknaden och under hela sin supportperiod. För tillverkare omfattar det en cybersäkerhetsriskbedömning, de väsentliga kraven i bilaga I, sårbarhetshantering inklusive en SBOM, rapportering av aktivt utnyttjade sårbarheter och allvarliga incidenter, teknisk dokumentation, en bedömning av överensstämmelse, en EU-försäkran om överensstämmelse och CE-märkningen.

Gör CRACI att min produkt uppfyller CRA?

Det gör inget verktyg. Efterlevnad är en process som tillverkaren driver. CRACI automatiserar en betydande del av den insyn i leveranskedjan och det underlag som din CRA-process behöver: SBOM:er från bygget, sårbarhetsbevakning, CRA-anmälningar som skickas in för din räkning, proveniensdata och exporterbart underlag.

Vad behöver programvara för CRA-efterlevnad kunna?

På den tekniska sidan: ta fram en pålitlig SBOM för varje release, bevaka den mot nya sårbarheter under hela supportperioden, hitta berörda produkter tillräckligt snabbt för den tidiga varningen inom 24 timmar och spara underlag som du kan lämna till en myndighet. På styrningssidan: koppla krav till kontroller och följa riskbedömningen och bedömningen av överensstämmelse. CRACI täcker den tekniska sidan för programvara som du bygger med GitHub Actions.

Kräver CRA en SBOM?

Ja. Bilaga I, del II, punkt 1 kräver att tillverkare upprättar en programvaruförteckning i ett vanligt förekommande och maskinläsbart format som åtminstone omfattar produktens beroenden på högsta nivå. Den hör till den tekniska dokumentationen, som en marknadskontrollmyndighet kan begära ut. CRA kräver inte att du publicerar den.

När börjar rapporteringsskyldigheterna i CRA gälla?

Från den 11 september 2026, och de omfattar även produkter som släppts ut på marknaden före den 11 december 2027. Resten av förordningen gäller från den 11 december 2027.

Genomför CRACI bedömningen av överensstämmelse?

Nej. CRACI genomför inte bedömningar av överensstämmelse, hanterar inte bedömningsprocessen, utfärdar inte certifikat och agerar inte som anmält organ. Det tillhandahåller det tekniska underlag som bedömningen efterfrågar.

Vilka CI-system fungerar CRACI med?

GitHub Actions i dag. Du flyttar ett arbetsflöde till CRACI med runs-on: craci, och körningarna syns fortfarande i GitHub. Andra CI-system, med GitLab CI och Jenkins först, finns på roadmapen.

Se CRA-underlaget från ett av dina byggen

Boka en demo så går vi igenom SBOM:en, bevakningen och rapporteringen som CRACI tar fram från ett release-bygge i GitHub Actions

Boka en demo