Piattaforma di conformità CRA per
produttori, importatori e distributori.
Software di conformità al Cyber Resilience Act (CRA) dell'UE per SBOM, flussi di gestione delle vulnerabilità, segnalazioni ENISA e fascicoli tecnici. Tutto in un unico posto.
I Vostri SBOM, validati e versionati
Carica un file CycloneDX o SPDX. Lo validiamo secondo i criteri di qualità BSI TR-03183, calcoliamo il punteggio di completezza e conserviamo registrazioni pronte per l'audit per ogni versione del prodotto.
Punteggio di qualità
Valutazione automatica secondo lo standard BSI TR-03183 con raccomandazioni di miglioramento.
Albero delle dipendenze
Visualizzate le dipendenze dirette e transitive con rilevamento delle dipendenze circolari.
Confronto versioni
Confrontate gli SBOM tra le versioni. Tracciate cosa è cambiato e perché.
Verifica delle licenze
Identificate combinazioni di licenze problematiche nei Vostri componenti.
Trovate le vulnerabilità prima delle autorità di regolamentazione
Ogni SBOM viene scansionato contro più database di vulnerabilità — NVD tramite Trivy e OSV.dev (che aggrega gli avvisi di sicurezza di GitHub, Go, Rust e PyPI). Ogni risultato viene arricchito con EPSS (Exploit Prediction Scoring System) di FIRST.org per stimare la probabilità reale di sfruttamento nei prossimi 30 giorni — così correggi ciò che gli attaccanti stanno effettivamente prendendo di mira, non solo ciò che ha il punteggio CVSS più alto. Le versioni di produzione e staging vengono riscansionate automaticamente quando i database delle vulnerabilità si aggiornano, e tutti i risultati vengono incrociati con il catalogo CISA Known Exploited Vulnerabilities.
Cosa succede quando caricate
Scanner solo NVD vs. CRA Evidence
| Funzionalità | Solo NVD | CRA Evidence |
|---|---|---|
| Coverage | CVE generici | NVD + GitHub + Go + Rust + PyPI |
| Intelligence sugli exploit | CVSS (solo gravità) | EPSS (probabilità reale) |
| Avvisi CISA KEV | Automatic | |
| Frequenza di aggiornamento | Giornaliera | Continua (sincronizzata con OSV.dev) |
| Corrispondenza versioni per ecosistema | Basato su CPE | npm, Maven, Go, Cargo, NuGet, Gem |
| Supporto VEX | Esportazione manuale (se presente) | Auto-bozza dal triage → Revisione → Pubblicare |
Documentazione Tecnica Realmente Pronta per il CRA
Articolo 13 richiede di conservare la documentazione tecnica per 10 anni dall'immissione di un prodotto sul mercato. Generiamo i pacchetti Allegato VII, i certificati e i report di conformità affinché siate pronti quando un'autorità di sorveglianza del mercato si presenterà.
Esportazione file tecnico
Un ZIP con tutto: manifesto leggibile dalla macchina (JSON), SBOM (CycloneDX/SPDX), attestazioni, checklist di conformità e report di attribuzione. Leggibile dall'uomo e dalla macchina, strutturato secondo l'Annex VII.
Dichiarazione UE di conformità
Genera documenti di Dichiarazione di Conformità UE con formattazione corretta, versionamento e tracciamento marcatura CE.
Report di conformità
PDF o HTML. Riepilogo delle vulnerabilità, inventario dei componenti, punteggi di qualità e stato delle correzioni in un unico report da consegnare agli auditor.
Scheda dati di sicurezza
Procedura guidata per la scheda di sicurezza Annex II. Redazione, validazione e pubblicazione. Esportazione in PDF, Markdown o HTML.
Certificati
Ciclo di vita dei certificati: bozza, emissione, revoca. I certificati emessi sono immutabili con generazione PDF scaricabile.
Documenti multilingue
Generate documenti in 6 lingue: inglese, spagnolo, tedesco, francese, italiano, polacco.
Conformità all'Annex I
Valutate il Vostro prodotto rispetto a tutti i 20 requisiti essenziali di cybersicurezza dell'Annex I Parte I del CRA. Tracciate quali avete soddisfatto e quali mancano.
Firma degli artefatti
Firma basata su Sigstore per SBOM e artefatti. Modalità keyless e con chiave, con verifica della firma per l'integrità della catena di fornitura.
Tracciamento del periodo di supporto
Definite e tracciate il periodo minimo obbligatorio di supporto di 5 anni ai sensi dell'Art. 13(5) del CRA. Avvisi quando i prodotti si avvicinano alla fine del supporto.
Rispetta Ogni Scadenza di Segnalazione ENISA
Il Articolo 14 del CRA richiede di notificare a ENISA le vulnerabilità attivamente sfruttate e gli incidenti gravi. Due percorsi separati con scadenze diverse. CRA Evidence gestisce entrambi con modelli strutturati e monitoraggio del conto alla rovescia.
Avviso Preventivo
Notifica iniziale della vulnerabilità entro 24 ore dalla scoperta. ID CVE, prodotti interessati e valutazione della complessità dell'attacco.
Notifica dettagliata
Analisi tecnica con tempistica di correzione, soluzioni temporanee e valutazione d'impatto ampliata entro 72 ore.
Report finale
Conferma della risoluzione con dettagli sulla correzione definitiva, tempistica di distribuzione e lezioni apprese. 14 giorni per le vulnerabilità, 30 giorni per gli incidenti.
Dashboard per Produttori, Importatori e Distributori
Il CRA impone obblighi diversi a produttori (Art. 13), importatori (Art. 19) e distributori (Art. 20). Ogni ruolo dispone del proprio workspace con i flussi di lavoro effettivamente pertinenti.
Gestione prodotti e versioni
Prodotti organizzati per categoria CRA: Predefinito, Importante Classe I/Classe II, Critico. Ogni versione registra il suo stato di rilascio, l’ambiente e il livello di conservazione.
Pipeline completa degli artefatti
Caricate SBOM, HBOM e VEX per ogni versione. Il punteggio di qualità e la scansione delle vulnerabilità si attivano automaticamente.
Gestione vulnerabilità e incidenti
Tracciamento CVE, flussi di rimedio, notifiche ENISA. La dashboard di sicurezza classifica tutto per punteggio EPSS e segnala le voci CISA KEV.
Generazione del fascicolo tecnico
L'export Annex VII raggruppa tutto in un ZIP: SBOM leggibili dalla macchina, checklist di conformità, report di attribuzione e dichiarazioni di conformità. Pronto per gli audit automatizzati di sorveglianza del mercato.
Notifiche ai clienti
Sistema di notifica delle vulnerabilità per i clienti a valle. Modelli multilingue con gestione delle liste di distribuzione.
Badge di fiducia
Badge di conformità integrabili nelle Vostre pagine prodotto. Collegamento alla verifica pubblica del Vostro stato di conformità CRA.
Tracciamento della valutazione di conformità
Seguite il vostro percorso di valutazione in base alla categoria di prodotto: autovalutazione (Predefinito), controllo interno (Importante Classe I) o valutazione da parte di terzi (Importante Classe II, Critico).
Flusso di verifica Art. 19
Checklist passo dopo passo che copre quanto richiesto dall'Art. 19: verifica della marcatura CE, revisione Annex II, identificazione dell'importatore sul prodotto, Dichiarazione di Conformità UE raccolta, approvazione finale.
Registro dei produttori
Tenete traccia dei Vostri produttori: contatti, rappresentanti UE, metadati CVD/CSAF. Impostate la frequenza di riverifica per ciascuno.
Decisioni di blocco distribuzione
Riscontrato un problema? Bloccate il prodotto. Registrate la motivazione, notificate le parti interessate e segnalate all'autorità. Tutto viene tracciato.
Trigger di riverifica
Nuova vulnerabilità trovata? Aggiornamento importante rilasciato? Data di revisione in avvicinamento? Riceverete un avviso per la riverifica.
Clonazione delle verifiche
State verificando una nuova versione dello stesso prodotto? Clonate la verifica precedente. Lo stato della checklist e i dati del produttore vengono riportati.
Dashboard di verifica
Visualizzate a colpo d'occhio la situazione complessiva: quanti prodotti sono verificati, in attesa, bloccati o in scadenza per la riverifica.
Checklist di diligenza Art. 20
Tutto ciò che l'Art. 20 richiede, in una checklist: identificazione e tracciabilità del prodotto, marcatura CE, dichiarazione UE, contatti del produttore, rilevamento delle anomalie.
Caricamento evidenze CE
Caricate le Vostre evidenze di marcatura CE: foto, scansioni, certificati. I controlli sul tipo e sulla dimensione dei file sono integrati e tutto viene registrato nell'audit log.
Certificati di verifica
Generate certificati PDF che attestano la conformità alla diligenza dovuta. Includono i dettagli del distributore, l'ambito, la data e un numero di verifica univoco.
Azioni di blocco distribuzione
Qualcosa non va? Bloccate la distribuzione. La motivazione viene registrata e le autorità e i produttori vengono notificati.
Vista del portafoglio
Visualizzate tutte le Vostre verifiche in un unico punto. Filtrate per stato, prodotto o data di completamento per trovare ciò che richiede attenzione.
Avanzamento della conformità
Barre di avanzamento visive per ogni prodotto. Potete vedere a colpo d'occhio a che punto è ogni verifica e cosa manca.
Si integra nella Vostra pipeline di build
Sono disponibili un CLI e un'API REST. Caricate SBOM, avviate scansioni e controllate i rilasci dal CI. Funziona con GitHub Actions, GitLab CI o qualsiasi strumento in grado di eseguire comandi shell.
$ docker run --rm \
-e CRA_EVIDENCE_API_KEY="cra_xxx" \
-v /var/run/docker.sock:/var/run/docker.sock \
craevidence/cli:latest \
upload-sbom \
--product my-app \
--version 2.1.0 \
--image my-app:2.1.0 \
--scan --fail-on high
Upload successful!
Product my-app (created new)
Version 2.1.0 (created new)
Components 142
Quality Score 87%
Vulnerabilities
Critical 0
High 0
Medium 3
Low 1
Funziona con gli strumenti che già utilizzate
Progettato per essere affidabile con i Vostri dati di conformità
Accesso basato sui ruoli
Ruoli Owner, Admin, Member, Viewer. Chiavi API con ambito e permessi granulari.
SSO e MFA
SAML 2.0, OAuth Google e Microsoft, provisioning SCIM. Autenticazione multifattore TOTP.
Crittografia
AES-256 per i dati a riposo, TLS 1.3 in transito. Hashing delle password con Argon2id.
Multi-tenancy
Isolamento completo dei tenant. Ogni query rispetta i confini dell'organizzazione.
Registrazione di audit
Tracciabilità completa di tutte le azioni. Audit trail interrogabile con esportazione CSV.
Limitazione della frequenza
Limitazione della frequenza a finestra mobile sugli endpoint di login, API e caricamento.
Sicurezza dei contenuti
Header CSP rigorosi, protezione CSRF, sanitizzazione HTML e HSTS.
Conservazione 10 anni
Dati di produzione conservati per 10 anni ai sensi dell'Art. 13 del CRA. Conservazione basata sui livelli.
Non siete sicuri che il CRA si applichi a Voi?
Individuate i Vostri obblighi prima di sottoscrivere qualsiasi cosa. Questi strumenti sono gratuiti e non richiedono un account.
Nessuna registrazione richiesta. Richiede circa 2 minuti.
Iniziate ora il Vostro sistema di evidenze CRA.
Mappate gli obblighi, generate le evidenze e restate pronti per l'audit entro l'11 dicembre 2027. Prova gratuita di 14 giorni, senza carta di credito.
Crea account gratuito