CRA Evidence Platform
La piattaforma di conformità per produttori, importatori e distributori dell'UE. SBOM, flussi di lavoro per le vulnerabilità, segnalazioni ENISA e fascicoli tecnici. Tutto in un unico posto.
I Vostri SBOM, validati e versionati
Carica un file CycloneDX o SPDX. Lo validiamo secondo i criteri di qualità BSI TR-03183, calcoliamo il punteggio di completezza e conserviamo registrazioni pronte per l'audit per ogni versione del prodotto.
Punteggio di qualità
Valutazione automatica secondo lo standard BSI TR-03183 con raccomandazioni di miglioramento.
Albero delle dipendenze
Visualizzate le dipendenze dirette e transitive con rilevamento delle dipendenze circolari.
Confronto versioni
Confrontate gli SBOM tra le versioni. Tracciate cosa è cambiato e perché.
Verifica delle licenze
Identificate combinazioni di licenze problematiche nei Vostri componenti.
Rileva nuovi CVE in pochi minuti, non giorni
Our Vulnerability Knowledge Base is synced every 15 minutes from NVD/cvelistV5, OSV.dev (aggregating GitHub Advisories, Go, Rust, and PyPI security data), CISA KEV, and EPSS. Our vulnerability scanner runs as an independent verification layer, so a missed detection in one source gets caught by the other. Each finding is enriched with EPSS (Exploit Prediction Scoring System) from FIRST.org to estimate real-world exploitation likelihood in the next 30 days, so you fix what attackers are actually targeting, not just what scores highest on CVSS. Production and staging versions are rescanned automatically, and all findings are cross-referenced with the CISA Known Exploited Vulnerabilities catalog.
Cosa succede quando caricate
Scanner tradizionali vs. CRA Evidence
| Funzionalità | Solo NVD | CRA Evidence |
|---|---|---|
| Copertura | CVE generici | NVD + GitHub + Go + Rust + PyPI |
| Intelligence sugli exploit | CVSS (solo gravità) | EPSS (probabilità reale) |
| Avvisi CISA KEV | Automatico | |
| Frequenza di aggiornamento | Giornaliera | Ogni 15 minuti (5 fonti, DB locale) |
| Corrispondenza versioni per ecosistema | Basato su CPE | npm, Maven, Go, Cargo, NuGet, Gem |
| Supporto VEX | Esportazione manuale (se presente) | Auto-bozza dal triage → Revisione → Pubblicare |
Documentazione Tecnica Realmente Pronta per il CRA
Articolo 13 richiede di conservare la documentazione tecnica per 10 anni dall'immissione di un prodotto sul mercato. Generiamo i pacchetti Allegato VII, i certificati e i report di conformità affinché siate pronti quando un'autorità di sorveglianza del mercato si presenterà.
Esportazione file tecnico
Un ZIP con tutto: manifesto leggibile dalla macchina (JSON), SBOM (CycloneDX/SPDX), attestazioni, checklist di conformità e report di attribuzione. Leggibile dall'uomo e dalla macchina, strutturato secondo l'Annex VII.
Dichiarazione UE di conformità
Genera documenti di Dichiarazione di Conformità UE con formattazione corretta, versionamento e tracciamento marcatura CE.
Report di conformità
PDF o HTML. Riepilogo delle vulnerabilità, inventario dei componenti, punteggi di qualità e stato delle correzioni in un unico report da consegnare agli auditor.
Scheda dati di sicurezza
Procedura guidata per la scheda di sicurezza Annex II. Redazione, validazione e pubblicazione. Esportazione in PDF, Markdown o HTML.
Certificati
Ciclo di vita dei certificati: bozza, emissione, revoca. I certificati emessi sono immutabili con generazione PDF scaricabile.
Documenti multilingue
Generate documenti in 6 lingue: inglese, spagnolo, tedesco, francese, italiano, polacco.
Conformità all'Annex I
Valutate il Vostro prodotto rispetto a tutti i 20 requisiti essenziali di cybersicurezza dell'Annex I Parte I del CRA. Tracciate quali avete soddisfatto e quali mancano.
Firma degli artefatti
Firma basata su Sigstore per SBOM e artefatti. Modalità keyless e con chiave, con verifica della firma per l'integrità della catena di fornitura.
Tracciamento del periodo di supporto
Definite e tracciate il periodo minimo obbligatorio di supporto di 5 anni ai sensi dell'Art. 13(5) del CRA. Avvisi quando i prodotti si avvicinano alla fine del supporto.
Rispetta Ogni Scadenza di Segnalazione ENISA
Il Articolo 14 del CRA richiede di notificare a ENISA le vulnerabilità attivamente sfruttate e gli incidenti gravi. Due percorsi separati con scadenze diverse. CRA Evidence gestisce entrambi con modelli strutturati e monitoraggio del conto alla rovescia.
Avviso Preventivo
Notifica iniziale della vulnerabilità entro 24 ore dalla scoperta. ID CVE, prodotti interessati e valutazione della complessità dell'attacco.
Notifica dettagliata
Analisi tecnica con tempistica di correzione, soluzioni temporanee e valutazione d'impatto ampliata entro 72 ore.
Report finale
Conferma della risoluzione con dettagli sulla correzione definitiva, tempistica di distribuzione e lezioni apprese. 14 giorni per le vulnerabilità, 30 giorni per gli incidenti.
Built for Products With Hardware Components
Machines, embedded systems, and IoT devices need more than software SBOMs. CRA Evidence supports the full hardware product lifecycle.
Dashboard per Produttori, Importatori e Distributori
Il CRA impone obblighi diversi a produttori (Art. 13), importatori (Art. 19) e distributori (Art. 20). Ogni ruolo dispone del proprio workspace con i flussi di lavoro effettivamente pertinenti.
Gestione prodotti e versioni
Prodotti organizzati per categoria CRA: Predefinito, Importante Classe I/Classe II, Critico. Ogni versione registra il suo stato di rilascio, l’ambiente e il livello di conservazione.
Pipeline completa degli artefatti
Caricate SBOM, HBOM e VEX per ogni versione. Il punteggio di qualità e la scansione delle vulnerabilità si attivano automaticamente.
Gestione vulnerabilità e incidenti
Tracciamento CVE, flussi di rimedio, notifiche ENISA. La dashboard di sicurezza classifica tutto per punteggio EPSS e segnala le voci CISA KEV.
Generazione del fascicolo tecnico
L'export Annex VII raggruppa tutto in un ZIP: SBOM leggibili dalla macchina, checklist di conformità, report di attribuzione e dichiarazioni di conformità. Pronto per gli audit automatizzati di sorveglianza del mercato.
Notifiche ai clienti
Sistema di notifica delle vulnerabilità per i clienti a valle. Modelli multilingue con gestione delle liste di distribuzione.
Badge di fiducia
Badge di conformità integrabili nelle Vostre pagine prodotto. Collegamento alla verifica pubblica del Vostro stato di conformità CRA.
Tracciamento della valutazione di conformità
Seguite il vostro percorso di valutazione in base alla categoria di prodotto: autovalutazione (Predefinito), controllo interno (Importante Classe I) o valutazione da parte di terzi (Importante Classe II, Critico).
Digital Product Passports
Generi Digital Product Passports dinamici e accessibili al pubblico per ogni versione. Codici QR, JSON-LD ed esportazione PDF — multilingue e leggibili dalle macchine.
Documenti Multilingue
Generi documentazione tecnica, report di conformità e Digital Product Passports in 6 lingue UE: inglese, spagnolo, tedesco, francese, italiano e polacco.
Flusso di verifica Art. 19
Checklist passo dopo passo che copre quanto richiesto dall'Art. 19: verifica della marcatura CE, revisione Annex II, identificazione dell'importatore sul prodotto, Dichiarazione di Conformità UE raccolta, approvazione finale.
Registro dei produttori
Tenete traccia dei Vostri produttori: contatti, rappresentanti UE, metadati CVD/CSAF. Impostate la frequenza di riverifica per ciascuno.
Decisioni di blocco distribuzione
Riscontrato un problema? Bloccate il prodotto. Registrate la motivazione, notificate le parti interessate e segnalate all'autorità. Tutto viene tracciato.
Trigger di riverifica
Nuova vulnerabilità trovata? Aggiornamento importante rilasciato? Data di revisione in avvicinamento? Riceverete un avviso per la riverifica.
Clonazione delle verifiche
State verificando una nuova versione dello stesso prodotto? Clonate la verifica precedente. Lo stato della checklist e i dati del produttore vengono riportati.
Dashboard di verifica
Visualizzate a colpo d'occhio la situazione complessiva: quanti prodotti sono verificati, in attesa, bloccati o in scadenza per la riverifica.
Checklist di diligenza Art. 20
Tutto ciò che l'Art. 20 richiede, in una checklist: identificazione e tracciabilità del prodotto, marcatura CE, dichiarazione UE, contatti del produttore, rilevamento delle anomalie.
Caricamento evidenze CE
Caricate le Vostre evidenze di marcatura CE: foto, scansioni, certificati. I controlli sul tipo e sulla dimensione dei file sono integrati e tutto viene registrato nell'audit log.
Certificati di verifica
Generate certificati PDF che attestano la conformità alla diligenza dovuta. Includono i dettagli del distributore, l'ambito, la data e un numero di verifica univoco.
Azioni di blocco distribuzione
Qualcosa non va? Bloccate la distribuzione. La motivazione viene registrata e le autorità e i produttori vengono notificati.
Vista del portafoglio
Visualizzate tutte le Vostre verifiche in un unico punto. Filtrate per stato, prodotto o data di completamento per trovare ciò che richiede attenzione.
Avanzamento della conformità
Barre di avanzamento visive per ogni prodotto. Potete vedere a colpo d'occhio a che punto è ogni verifica e cosa manca.
Si integra nella Vostra pipeline di build
Sono disponibili un CLI e un'API REST. Caricate SBOM, avviate scansioni e controllate i rilasci dal CI. Funziona con GitHub Actions, GitLab CI o qualsiasi strumento in grado di eseguire comandi shell.
$ docker run --rm \
-e CRA_EVIDENCE_API_KEY="cra_xxx" \
-v /var/run/docker.sock:/var/run/docker.sock \
craevidence/cli:latest \
upload-sbom \
--product my-app \
--version 2.1.0 \
--image my-app:2.1.0 \
--scan --fail-on high
Upload successful!
Product my-app (created new)
Version 2.1.0 (created new)
Components 142
Quality Score 87%
Vulnerabilities
Critical 0
High 0
Medium 3
Low 1
Funziona con gli strumenti che già utilizzate
Progettato per essere affidabile con i Vostri dati di conformità
Accesso basato sui ruoli
Ruoli Owner, Admin, Member, Viewer. Chiavi API con ambito e permessi granulari.
SSO e MFA
SAML 2.0, OAuth Google e Microsoft, provisioning SCIM. Autenticazione multifattore TOTP.
Crittografia
AES-256 per i dati a riposo, TLS 1.3 in transito. Hashing delle password con Argon2id.
Multi-tenancy
Isolamento completo dei tenant. Ogni query rispetta i confini dell'organizzazione.
Registrazione di audit
Tracciabilità completa di tutte le azioni. Audit trail interrogabile con esportazione CSV.
Limitazione della frequenza
Limitazione della frequenza a finestra mobile sugli endpoint di login, API e caricamento.
Sicurezza dei contenuti
Header CSP rigorosi, protezione CSRF, sanitizzazione HTML e HSTS.
Conservazione 10 anni
Dati di produzione conservati per 10 anni ai sensi dell'Art. 13 del CRA. Conservazione basata sui livelli.
Non siete sicuri che il CRA si applichi a Voi?
Individuate i Vostri obblighi prima di sottoscrivere qualsiasi cosa. Questi strumenti sono gratuiti e non richiedono un account.
Nessuna registrazione richiesta. Richiede circa 2 minuti.
CRA Compliance Platform
Guardatelo in azione: generate il vostro primo SBOM in pochi minuti
14-day free trial. No credit card required. Cancel anytime.