CRA 法規遵循工具比較

本頁適合哪些讀者

您製造含有數位元素的產品，並將其投放到歐盟市場。Cyber Resilience Act（CRA），即 Regulation (EU) 2024/2847，將分階段適用於您：通報義務自 2026 年 9 月 11 日起適用，主要條款則自 2027 年 12 月 11 日起適用。您正在為這項工作的技術部分挑選工具。CRACI 是我們打造的產品，請將這點納入考量。我們依據每個工具自己的文件來描述它，並說明何時其他工具更合適。

本頁貫穿一個原則。法規遵循是由製造商執行的流程，包括風險評估、文件與符合性評鑑。工具負責產生佐證資料並將部分工作自動化。以下任何工具都無法單獨讓產品符合法規。

CRA 的要求

就軟體供應鏈而言，主要工作集中在五項要求上。

1. SBOM。製造商須識別並記錄產品中的元件，「包括以常用且機器可讀的格式編製軟體物料清單，至少涵蓋產品的頂層相依套件」（Annex I, Part II）。Annex VII 將其納入技術文件，市場監督主管機關可以要求提供。
2. 漏洞處理。毫不延遲地處理並修補漏洞（包括透過安全性更新）、定期測試，並執行協同漏洞揭露（CVD）政策（Annex I, Part II）。
3. 通報。透過 CRA Single Reporting Platform，向您的 CSIRT 與 ENISA 通報遭積極利用的漏洞與嚴重資安事件：24 小時內發出早期預警、72 小時內提出通報；漏洞的最終報告須在修正或緩解措施可用後 14 天內提出，嚴重資安事件則須在一個月內提出（第 14 條）。
4. 佐證資料。技術文件、符合性評鑑與歐盟符合性聲明（第 28、31 與 32 條，Annex VII），須在產品投放市場後至少保存 10 年或在支援期間內保存（以較長者為準），供主管機關查閱（第 13 條）。
5. 支援期間。反映產品預期使用時間的期間，除非預期使用時間較短，否則至少五年，在此期間須有效處理漏洞（第 13 條）。

如何選擇

• 您需要協助的是哪一半的工作？技術工具產生 SBOM、漏洞記錄與建置佐證資料。法規遵循管理平台將要求對應到控制措施、草擬政策並追蹤流程。多數工具只擅長其中一半，因此請判斷哪一邊的缺口較大。
• 軟體是您自行建置，還是整合而來？如果產品大部分以二進位檔形式來自晶片廠商與供應商，二進位檔分析是您看見其內部的方法。如果是自行建置，建置本身就是最直接的佐證資料來源。
• 您的 SBOM 從何而來？您如何知道它是完整的？掃描工具、建置工具查詢與建置記錄，對同一個版本可能給出不同的答案。
• 您能否在數小時內找出受影響的版本？24 小時早期預警取決於一份您信得過的逐版本資產清冊。
• 您是否需要記錄系統？當產品與供應商眾多時，搭配 VEX 與分享功能的 SBOM 管理本身就會成為一項獨立的工作。

一覽比較

共兩張表格：第一張是 SBOM、SCA 與 SBOM 管理工具，第二張是專為韌體與裝置打造的工具。各列依循上述要求。「未說明」代表我們引用的廠商頁面沒有說明是否支援。

SBOM、SCA 與 SBOM 管理

韌體與裝置

CRACI

CRACI 是 GitHub Actions 執行器。對於您自行建置的軟體，它會記錄每個作業下載的內容（包括從 CI 快取還原的套件），並產生帶有依作業與快取標示之完整度狀態的 CycloneDX 或 SPDX SBOM。它會持續重新評估已出貨內容的 SBOM，支援 VEX，並在必須通報遭積極利用的漏洞時，備妥 CRA 通報內容供您提交。對於 Yocto，它會記錄 Yocto 自身 SPDX 輸出所遺漏的內容。可協助：SBOM 產生、漏洞處理、CRA 通報、佐證資料。注意事項：它不分析非自行建置的二進位檔，沒有控制項對應或政策管理功能，且目前支援 GitHub Actions（GitLab CI 與 Jenkins 已列入產品藍圖）。透過 CRACI 達成 CRA 法規遵循

SBOM 管理

Cybeats

Cybeats SBOM Studio 自稱為「SBOM 記錄系統」。它以 SPDX 2.2 至 3.0.1 與 CycloneDX 1.2 至 1.7 格式儲存您的產品與供應商的 SBOM，在匯入前以 Quality Score 驗證，將每個元件與漏洞情資比對，發出 VEX，並與客戶分享 SBOM（包括透過 Transparency Exchange API）。其法規指南列出 CRA 的 24 小時、72 小時與 14 天時程。可協助：SBOM 管理、漏洞處理、佐證資料。注意事項：在 SBOM 產生方面，它引導使用者使用其 Marketplace 中的廠商，因此 SBOM 本身來自其他工具。CRACI vs Cybeats與Cybeats 替代方案

FOSSA

FOSSA 起源於授權合規，現已涵蓋 SBOM 生命週期。它可產生 SPDX 與 CycloneDX SBOM（可選擇附上 VDR 或 VEX 聲明），依 NTIA 與 FDA 最低要素政策匯入供應商 SBOM，監控其中的漏洞，並在 Enterprise 方案中透過 SBOM Portal 分享。截至 2026 年 9 月，它提供免費方案，Business 方案為每專案每月 $20，按年計費。可協助：SBOM、與主管機關分享、授權。注意事項：FOSSA CLI 是透過建置工具分析專案或從原始碼推斷，而不是記錄建置。CRACI vs FOSSA

Anchore

Anchore Enterprise 以開源的 Syft 與 Grype 為基礎。它掃描容器映像檔、檔案系統與匯入的 SBOM，無需原始建置產物即可重新掃描已儲存的 SBOM，套用 FedRAMP 與 NIST 等政策套件，並可自架部署（包括實體隔離環境）。其 CRA 資料涵蓋 SBOM 管理、依 CISA KEV 等來源進行的監控、對 24 小時與 72 小時期限的支援、VEX 註記與稽核軌跡。可協助：SBOM、漏洞處理、佐證資料。注意事項：它的 SBOM 描述的是掃描工具在映像檔或目錄中找到的內容，而不是建置下載後又留下的內容。CRACI vs Anchore

SCA 套件

Black Duck

Black Duck SCA 結合套件管理工具、特徵碼、程式碼片段與二進位檔掃描，因此能找出沒有人宣告的開源元件，其 KnowledgeBase 追蹤超過 2,750 種授權。Binary Analysis 可在沒有原始碼的情況下檢查韌體，Coverity 提供 SAST，並於 2026 年 7 月宣布推出符合 CRA 的檢查器選項，Defensics 則負責模糊測試。Black Duck 主張 CRA 需要多層次的測試，而不只是 SCA。可協助：SBOM、元件與自有程式碼的漏洞處理、測試。注意事項：價格採報價制，而且每種技術檢查的都是程式碼或產出，而非建置。CRACI vs Black Duck

Sonatype

Sonatype Lifecycle 搭配可達性與升級資料套用開源政策，並開啟 Golden Pull Request。Repository Firewall 會在不符合政策的元件進入您的儲存庫之前將其隔離。SBOM Manager 透過 VEX 工作流程匯入、監控並分享 SBOM，Sonatype 將其定位為自家的 CRA 產品；其指南也將 Nexus Repository 列為提供安全性更新的更新站台。可協助：漏洞處理、SBOM 管理、阻擋有問題的元件。注意事項：產品組合正在調整（新客戶需購買 Sonatype Guide），而且 Lifecycle 分析的是建置的產出，而非建置下載的內容。CRACI vs Sonatype

韌體與裝置

ONEKEY

ONEKEY 分析編譯後的韌體，「不需要原始碼或網路存取」。它從二進位檔產生 SBOM、匯入供應商 SBOM、尋找寫死憑證等可能的零時差漏洞，並每日重新分析韌體。其 Compliance Wizard 會引導團隊因應 CRA、IEC 62443-4-2、ETSI EN 303 645 與 Radio Equipment Directive。可協助：非自行建置韌體的 SBOM、漏洞處理、引導式檢查。注意事項：它在建置完成後處理映像檔，因此不會記錄建置下載的內容。CRACI vs ONEKEY與ONEKEY 替代方案

Finite State

Finite State 可分析韌體、二進位檔、原始碼與供應商 SBOM，支援超過 50 種二進位指令集架構，並將它們整合成單一產品記錄。它依可達性與漏洞利用情資為發現結果排序，記錄 VEX 判定，其法規遵循工作流程涵蓋 CRA 控制項對應，以及附帶 SBOM 與 VEX 產物、可直接用於稽核的報告。可協助：跨供應商的 SBOM、漏洞分級研判、佐證資料。注意事項：它從建置產物開始分析，因此控制您自己的建置能連線到哪裡不在其範圍內。CRACI vs Finite State與Finite State 替代方案

Exein

Exein 在裝置上運作。Exein Runtime 使用 eBPF 監控並封鎖嵌入式 Linux 上的惡意行為，開源的 meta-exein Yocto layer 則會將其 Pulsar 代理程式放入您的映像檔中。Exein Analyzer 會在發布前掃描韌體，或在無法取得二進位檔時掃描您的 SBOM，以可達性評分排定優先順序，並將發現結果對應到 CRA 要求。可協助：現場的漏洞處理、韌體 SBOM、CRA 對應。注意事項：這個 Yocto layer 會改變裝置上執行的內容；它不會執行或記錄您的建置。CRACI vs Exein

法規遵循管理平台

這些工具不會產生 SBOM 或掃描程式碼。它們處理的是治理這一半：將 CRA 的要求對應到控制措施、草擬政策，以及追蹤期限與簽核。它們需要從其他地方取得技術佐證資料。

Venvera

Venvera 是在歐盟打造的法規遵循平台，除了 CRA 之外也涵蓋 NIS2、DORA、ISO 27001 與 SOC 2。就 CRA 而言，它會追蹤 24 小時與 72 小時的通報時限、漏洞處理、作為須持續維護之要求的 SBOM、依產品類別的符合性評鑑途徑，以及 Annex VII 技術文件與歐盟符合性聲明。可協助：控制項對應、通報期限、追蹤符合性流程。注意事項：它追蹤的是 SBOM 是否存在並有人維護；SBOM 本身來自其他工具。

ZeroRisk

ZeroRisk 是代理式（agentic）法規遵循平台，涵蓋 GDPR、ISO 27001、SOC 2、NIS2、DORA 與 CRA。就 CRA 而言，其代理程式會將要求對應到您的組織、預先填寫準備度評估、草擬缺少的控制措施與政策，並監控產品中的供應商（每 24 小時重新檢查一次），每項結論都需經人員簽核。可協助：準備度、政策、供應商保證。注意事項：其 CRA 頁面並未提及 SBOM 產生，也未提及對您自己建置的漏洞監控。

在期限內完成通報

第 14 條將通報責任放在製造商身上，並自 2026 年 9 月 11 日起適用，也包括已在市場上的產品。工具能做的，是縮短從「這個漏洞正遭到利用」到「我們知道哪些產品與版本包含它」之間的時間。這取決於您信得過的逐版本資產清冊、持續監控，以及從每個已出貨建置產物連結到其元件的關聯。Anchore 與 Cybeats 在其 CRA 資料中說明了通報期限，Venvera 追蹤時限，而 ONEKEY、Finite State 或 Exein 的二進位檔分析則涵蓋您無法重新建置的供應商程式碼。CRACI 的 API 會回傳 SBOM、網路追蹤與來源證明（provenance），CRACI 也會備妥早期預警、通報與最終報告的內容，供製造商提交。

CRACI 的定位

CRACI 是 GitHub Actions 執行器。對於您自行建置的軟體，它會記錄每個作業下載的內容（包括從 CI 快取還原的套件），並產生帶有依作業與快取標示之完整度狀態的 CycloneDX 或 SPDX SBOM。它會對建置強制執行對外連線（egress）政策，持續重新評估已出貨內容的 SBOM，支援 VEX，並將 SBOM 匯出為包含漏洞資訊的 CycloneDX 或 SPDX，作為您的CRA 佐證資料。當必須通報遭積極利用的漏洞時，CRACI 會備妥 CRA 通報內容供您提交。對於 Yocto，它在最高 32 vCPU 與 96 GB RAM 的執行器上執行 BitBake，並記錄 Yocto 自身 SPDX 輸出所遺漏的內容，例如主機套件與 Rust crate 的 package URL。CRACI 的資產清冊檢視會在全域層級精確顯示哪些軟體版本部署在哪些產品上。CRACI 將企業在更廣泛的 CRA 法規遵循流程中所需的相當大一部分軟體供應鏈可視性與佐證資料自動化。

如果您的產品大部分以二進位檔形式來自供應商，或您需要依標準進行的引導式檢查、控制項對應與政策管理、裝置上的防護，或目前就需要 GitHub Actions 以外的 CI 系統（GitLab CI 與 Jenkins 已列入產品藍圖），單靠 CRACI 並不足夠。對於您擁有的建置，CRACI 在單一產品中涵蓋 SBOM、監控與 CRA 通報；對於您無法重新建置的韌體，二進位檔分析能看見您的建置從未看見的內容。請參閱什麼是 CRA、CRA 法規遵循與工業物聯網。

CRA 法規遵循工具：常見問題

CRA 法規遵循軟體能做什麼，以及哪些仍由製造商負責

什麼是 CRA 法規遵循軟體？

協助製造商符合 Cyber Resilience Act 的軟體。它分為兩類：產生 SBOM、漏洞記錄與建置佐證資料的技術工具，以及將要求對應到控制措施、並追蹤通報時限、風險評估與符合性評鑑的法規遵循管理平台。沒有任何一種工具能單獨讓產品符合法規。

哪些 CRA 義務可以由工具自動化？

主要是漏洞處理這一面：產生 SBOM、監控其中的新漏洞、找出受影響的版本、記錄研判與 VEX 判定、準備第 14 條的通報，以及匯出技術文件所需的佐證資料。風險評估、安全設計、符合性評鑑與符合性聲明，仍由製造商自行決定。

我需要一種工具還是多種？

通常不只一種。技術工具提供 SBOM 與漏洞佐證資料；法規遵循管理平台或顧問則負責控制措施、政策與符合性評鑑途徑。對於您以二進位檔形式從供應商收到的韌體，二進位檔分析能補上您自己的建置看不到的部分。

CRA 通報的期限是什麼時候？

第 14 條自 2026 年 9 月 11 日起適用：在得知遭積極利用的漏洞後 24 小時內發出早期預警、72 小時內提出通報，並在修正或緩解措施可用後 14 天內提出最終報告。這也涵蓋已在市場上的產品。CRA 的其餘部分自 2027 年 12 月 11 日起適用。

CRACI 會處理 CRA 通報嗎？

CRACI 負責準備通報。CRACI 會準備早期預警、通報與最終報告的內容；再由製造商的人員透過 Single Reporting Platform 提交。通報義務仍由製造商承擔。

有任何工具能執行 CRA 符合性評鑑嗎？

沒有任何軟體工具能取代它。評鑑由製造商執行，可透過內部控制進行；對於重要與關鍵產品，則在 CRA 要求時，由驗證機構（notified body）或透過驗證方案進行。工具提供的是評鑑所使用的佐證資料。