從建置開始的 CRA 法規遵循軟體
CRACI 能自動化您的 Cyber Resilience Act（CRA）流程所需的相當大一部分供應鏈可視性與佐證資料：從每次建置記錄的 SBOM、出貨後的漏洞監控、為您準備好以供提交的 CRA 通報內容，以及來源證明資料。風險評估、符合性評鑑與符合性聲明，仍由身為製造商的您負責。
The CRA timeline is ticking
Key milestones you need to prepare for under the Cyber Resilience Act.
從建置中記錄的 SBOM
CRA 要求提供機器可讀格式的軟體物料清單。CRACI 會在您的 GitHub Actions 版本建置執行時記錄這份清單：作業拉進來的每個套件，包括從 CI 快取還原的套件，都會連同遞移相依套件與各元件宣告的授權，以 CycloneDX 或 SPDX 格式匯出。每個作業的 SBOM 都帶有完整性狀態，讓您知道紀錄是否完整。
出貨後的漏洞處理
製造商必須在整個支援期間處理漏洞。CRACI 會持續依據新漏洞重新評估您已出貨產品的 SBOM，跨建置與儲存庫彙整發現結果，並讓資安團隊進行分級研判，再轉交給負責修正的團隊。CRACI 支援 VEX，可將廠商 SBOM 與您自己的建置一併監控，其資產清冊檢視則顯示哪些軟體版本部署在哪些產品上。
為您準備好的 CRA 通報內容
自 2026 年 9 月 11 日起，遭積極利用的漏洞會啟動倒數計時：24 小時內提出早期預警、72 小時內提出通報，並在修正後 14 天內提出最終報告。CRACI 會準備這些通報的內容，再由貴公司的人員透過 Single Reporting Platform 提交。通報義務仍屬於您；CRACI 會顯示哪些產品與版本受到影響。
符合性評鑑所需的佐證資料
CRACI 不執行符合性評鑑，而是蒐集評鑑所需的技術佐證資料：建置時 SBOM、漏洞與修補紀錄、來源證明與網路追蹤紀錄。SBOM 可匯出為 CycloneDX 或 SPDX，其餘資料則透過 API 取得。評鑑途徑、符合性聲明以及任何驗證機構（notified body）的參與，仍是製造商的流程。
CRACI 為哪些 CRA 義務提供佐證資料
CRA 的通報義務自 2026 年 9 月 11 日起已經適用，包括已在市場上的產品；法規的其餘部分則自 2027 年 12 月 11 日起適用。以下說明對於每項與軟體供應鏈相關的義務，CRACI 做了什麼，以及哪些仍屬於製造商的流程。
| 義務 | CRA 條文出處 | CRACI 提供的內容 | 仍由您負責的部分 |
|---|---|---|---|
| 軟體物料清單 | 附件 I 第 II 部分 (1)；附件 VII | 每個建置作業都產生 CycloneDX 或 SPDX 格式的 SBOM，包含遞移相依套件、宣告的授權與完整性狀態。 | 將其保存在技術文件中，並在市場監督機關要求時提供。 |
| 支援期間的漏洞處理 | 第 13 條第 8 項；附件 I 第 II 部分 | 持續監控已出貨的 SBOM、分級研判並轉交負責團隊、支援 VEX，並將廠商 SBOM 與您的建置一併監控。 | 訂定支援期間、修正漏洞並發布安全性更新，以及執行協同漏洞揭露政策。 |
| 通報遭利用的漏洞與重大資安事件 | 第 14 條 | 準備早期預警、通報與最終報告的內容供您提交，並顯示哪些產品與版本受到影響。 | 義務本身，以及通知受影響的使用者。 |
| 第三方元件的盡職調查 | 第 13 條第 5 項 | 每次建置所擷取之每個套件的紀錄、建置網路上的對外連線政策，以及廠商 SBOM 的監控。 | 選擇元件與供應商，並依據紀錄所顯示的內容採取行動。 |
| 技術文件與可追溯性 | 第 31 條；第 13 條第 13 項；附件 VII | 透過 API 提供 SBOM、網路追蹤紀錄與來源證明資料，並可將 SBOM 匯出為 CycloneDX 或 SPDX。資料預設保留 180 天，Enterprise 方案可自訂保留期間。 | 技術檔案本身，保存至少 10 年或支援期間，以較長者為準。 |
| 風險評估與產品資安要求 | 第 13 條第 2 項；附件 I 第 I 部分 | 不涵蓋。 | 網路安全風險評估與安全設計，例如安全的預設值、存取控制與資料保護。 |
| 符合性評鑑、符合性聲明、CE 標示 | 第 28、30 與 32 條 | 僅提供佐證資料。CRACI 不執行評鑑、不核發認證，也不管理評鑑流程。 | 執行評鑑（產品類別有要求時須委由驗證機構進行），並簽署聲明。 |
CRACI 在自己的執行器上執行您的 GitHub Actions 作業，因此能在建置當下記錄，而不是事後掃描。其他 CI 系統已列入產品藍圖。
專為在歐洲營運的跨國企業打造。
依據 Cyber Resilience Act，CE 標示即將涵蓋軟體產品，每家軟體製造商在歐盟銷售前都必須通過符合性評鑑。CRACI 協助您做好準備，同時不拖慢開發速度。
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage and document them, and prepares the CRA notifications your team submits within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
Compliance that ships with your code
Record an SBOM from every build, monitor it for new vulnerabilities, and export it as CycloneDX or SPDX, directly from your CI/CD pipeline. No separate tools needed.
From detection to disclosure in 24 hours
When vulnerabilities are detected, CRACI helps you triage and document them, and prepares the CRA notifications your team submits within the required timeframe. Automated workflows ensure nothing falls through the cracks.
One place for everything CRA
Stop juggling spreadsheets, emails, and disparate tools. CRACI provides a unified dashboard for all your CRA compliance needs—vulnerability tracking, SBOMs, and CRA notifications.
CRA 法規遵循問答
Cyber Resilience Act 對製造商的要求，以及 CRACI 扮演的角色
什麼是 CRA 法規遵循？
CRA 法規遵循是指具數位元素的產品在投入歐盟市場時及整個支援期間，都符合歐盟 Cyber Resilience Act（Regulation (EU) 2024/2847）。對製造商而言，範圍涵蓋網路安全風險評估、附件 I 的基本要求、包含 SBOM 在內的漏洞處理、遭積極利用之漏洞與重大資安事件的通報、技術文件、符合性評鑑、歐盟符合性聲明以及 CE 標示。
CRACI 能讓我的產品符合 CRA 嗎？
沒有任何工具做得到。法規遵循是由製造商執行的流程。CRACI 能自動化您的 CRA 流程所需的相當大一部分供應鏈可視性與佐證資料：建置時 SBOM、漏洞監控、為您準備好以供提交的 CRA 通報內容、來源證明資料，以及可匯出的佐證資料。
CRA 法規遵循軟體需要做到哪些事？
在技術面：為每個版本產生可信的 SBOM，在整個支援期間監控新漏洞，夠快找出受影響的產品以趕上 24 小時早期預警，並保存可交給主管機關的佐證資料。在治理面：將要求對應到控制措施，並追蹤風險評估與符合性評鑑。對於您以 GitHub Actions 建置的軟體，CRACI 涵蓋技術面。
CRA 是否要求提供 SBOM？
是的。附件 I 第 II 部分第 1 點要求製造商以常用且機器可讀的格式編製軟體物料清單，至少涵蓋產品的頂層相依套件。SBOM 屬於技術文件的一部分，市場監督機關可以要求提供。CRA 並未要求您公開 SBOM。
CRA 的通報義務何時適用？
自 2026 年 9 月 11 日起適用，並同樣涵蓋 2027 年 12 月 11 日之前已投入市場的產品。法規的其餘部分則自 2027 年 12 月 11 日起適用。
CRACI 會執行符合性評鑑嗎？
不會。CRACI 不執行符合性評鑑、不管理評鑑流程、不核發證書，也不擔任驗證機構，而是提供評鑑所要求的技術佐證資料。
CRACI 支援哪些 CI 系統？
目前支援 GitHub Actions。您只要以 runs-on: craci 就能將工作流程切換到 CRACI，執行紀錄仍會顯示在 GitHub 中。其他 CI 系統（首先是 GitLab CI 與 Jenkins）已列入產品藍圖。