Platforma zgodności z CRA dla
producentów, importerów i dystrybutorów.
Oprogramowanie do zgodności z Cyber Resilience Act (CRA): SBOM, procesy obsługi podatności, raportowanie ENISA i dokumentacja techniczna. Wszystko w jednym miejscu.
Twoje SBOM — zwalidowane i wersjonowane
Wgraj plik CycloneDX lub SPDX. Walidujemy go względem kryteriów jakości BSI TR-03183, oceniamy jego kompletność i przechowujemy dokumentację gotową do audytu dla każdej wersji produktu.
Ocena jakości
Automatyczna ocena zgodności ze standardem BSI TR-03183 z rekomendacjami ulepszeń.
Drzewo zależności
Wizualizuj zależności bezpośrednie i tranzytywne z wykrywaniem zależności cyklicznych.
Porównywanie wersji
Porównuj SBOM między wersjami. Śledź, co się zmieniło i dlaczego.
Sprawdzanie licencji
Identyfikuj problematyczne kombinacje licencji w Państwa komponentach.
Znajdź podatności, zanim zrobią to regulatorzy
Każdy SBOM jest skanowany w wielu bazach danych podatności — NVD przez Trivy i OSV.dev (agregujący ostrzeżenia bezpieczeństwa z GitHub, Go, Rust i PyPI). Każde znalezisko jest wzbogacane o EPSS (Exploit Prediction Scoring System) z FIRST.org w celu oszacowania rzeczywistego prawdopodobieństwa wykorzystania w ciągu następnych 30 dni — dzięki czemu naprawiasz to, co atakujący faktycznie biorą na cel, a nie tylko to, co ma najwyższy wynik CVSS. Wersje produkcyjne i stagingowe są automatycznie ponownie skanowane, gdy bazy danych podatności się aktualizują, a wszystkie znaleziska są porównywane z katalogiem CISA Known Exploited Vulnerabilities.
Co dzieje się po przesłaniu pliku
Skanery tylko NVD vs. CRA Evidence
| Możliwość | Tylko NVD | CRA Evidence |
|---|---|---|
| Coverage | Ogólne CVE | NVD + GitHub + Go + Rust + PyPI |
| Analiza exploitów | CVSS (tylko ważność) | EPSS (rzeczywiste prawdopodobieństwo) |
| Alerty CISA KEV | Automatic | |
| Częstotliwość aktualizacji | Codzienna | Ciągła (zsynchronizowana z OSV.dev) |
| Dopasowanie wersji ekosystemu | Oparty na CPE | npm, Maven, Go, Cargo, NuGet, Gem |
| Obsługa VEX | Eksport ręczny (jeśli w ogóle) | Auto-szkic z triażu → Przegląd → Publikacja |
Dokumentacja Techniczna Naprawdę Gotowa na CRA
Artykuł 13 stanowi, że dokumentację techniczną należy przechowywać przez 10 lat po wprowadzeniu produktu na rynek. Generujemy pakiety Załącznik VII, certyfikaty i raporty zgodności, abyś nie był w rozsypce, gdy zapuka organ nadzoru rynku.
Eksport Dokumentacji Technicznej
Jeden ZIP ze wszystkim: manifest czytelny maszynowo (JSON), SBOM (CycloneDX/SPDX), poświadczenia, lista kontrolna zgodności i raporty atrybucji. Czytelny dla człowieka i maszyny, ustrukturyzowany zgodnie z Annex VII.
Deklaracja zgodności UE
Generuj dokumenty DoC UE z właściwym formatowaniem, wersjonowaniem i śledzeniem oznakowanie CE.
Raporty zgodności
PDF lub HTML. Podsumowanie podatności, inwentaryzacja komponentów, oceny jakości i status naprawy — w jednym raporcie gotowym dla audytorów.
Karta danych bezpieczeństwa
Kreator karty danych bezpieczeństwa Annex II. Utwórz szkic, zwaliduj i opublikuj. Eksportuj jako PDF, Markdown lub HTML.
Certyfikaty
Cykl życia certyfikatu: szkic, wydanie, unieważnienie. Niezmienne wydane certyfikaty z możliwością generowania PDF do pobrania.
Dokumenty wielojęzyczne
Generuj dokumenty w 6 językach: angielskim, hiszpańskim, niemieckim, francuskim, włoskim i polskim.
Gotowość na Annex I
Oceń swój produkt pod kątem wszystkich 20 podstawowych wymagań cyberbezpieczeństwa z Annex I Część I CRA. Śledź spełnione i brakujące wymagania.
Podpisywanie artefaktów
Podpisywanie SBOM i artefaktów oparte na Sigstore. Tryb bez klucza i z kluczem z weryfikacją podpisów dla integralności łańcucha dostaw.
Śledzenie okresu wsparcia
Definiuj i śledź obowiązkowy minimalny 5-letni okres wsparcia zgodnie z Art. 13(5) CRA. Alerty, gdy produkty zbliżają się do końca wsparcia.
Spełniaj każdy termin raportowania ENISA
CRA Artykuł 14 wymaga powiadamiania ENISA o aktywnie wykorzystywanych podatnościach i poważnych incydentach. Dwa osobne tory z różnymi terminami. CRA Evidence obsługuje oba z ustrukturyzowanymi szablonami i śledzeniem odliczania.
Wczesne ostrzeżenie
Wstępne powiadomienie o podatności w ciągu 24 godzin od wykrycia. Identyfikator CVE, dotknięte produkty i ocena złożoności ataku.
Szczegółowe powiadomienie
Analiza techniczna z harmonogramem naprawy, obejściami i rozszerzoną oceną skutków w ciągu 72 godzin.
Raport końcowy
Potwierdzenie rozwiązania ze szczegółami trwałej poprawki, harmonogramem wdrożenia i wnioskami. 14 dni dla podatności, 30 dni dla incydentów.
Dashboard Producenta, Importera i Dystrybutora
CRA nakłada różne obowiązki na producentów (Art. 13), importerów (Art. 19) i dystrybutorów (Art. 20). Każda rola otrzymuje własną przestrzeń roboczą z procesami, które są dla niej istotne.
Zarządzanie produktami i wersjami
Produkty zorganizowane według kategorii CRA: Domyślna, Ważna Klasa I/Klasa II, Krytyczny. Każda wersja śledzi swój stan wydania, środowisko i poziom przechowywania.
Pełny pipeline artefaktów
Prześlij SBOM, HBOM i VEX dla każdej wersji. Ocena jakości i skanowanie podatności uruchamiają się automatycznie.
Zarządzanie podatnościami i incydentami
Śledzenie CVE, procesy naprawcze, powiadomienia ENISA. Panel bezpieczeństwa klasyfikuje wszystko według wyniku EPSS i oznacza wpisy CISA KEV.
Generowanie dokumentacji technicznej
Eksport Annex VII pakuje wszystko do ZIP: czytelne maszynowo SBOM, listy kontrolne zgodności, raporty atrybucji i deklaracje zgodności. Gotowy na zautomatyzowane audyty nadzoru rynku.
Powiadomienia dla klientów
System powiadamiania o podatnościach dla klientów. Szablony wielojęzyczne z zarządzaniem listami dystrybucyjnymi.
Znaczniki zaufania
Osadzane znaczniki zaufania zgodności na stronach Państwa produktów. Link do publicznej weryfikacji statusu zgodności z CRA.
Śledzenie oceny zgodności
Śledź swoją ścieżkę oceny na podstawie kategorii produktu: samoocena (Domyślna), kontrola wewnętrzna (Ważna Klasa I) lub ocena przez stronę trzecią (Ważna Klasa II, Krytyczny).
Proces weryfikacji Art. 19
Krok po kroku — lista kontrolna wymogów Art. 19: weryfikacja oznakowania CE, przegląd Annex II, identyfikacja importera na produkcie, zebranie deklaracji zgodności UE, końcowe zatwierdzenie.
Rejestr producentów
Śledź swoich producentów: kontakty, przedstawiciele UE, metadane CVD/CSAF. Ustal częstotliwość ponownej weryfikacji dla każdego z nich.
Decyzje o wstrzymaniu dystrybucji
Znaleziono problem? Zablokuj produkt. Zapisz uzasadnienie, powiadom zainteresowane strony i zgłoś do organu nadzoru. Wszystko jest rejestrowane.
Wyzwalacze ponownej weryfikacji
Nowa podatność? Duża aktualizacja? Zbliża się termin przeglądu? Otrzymasz alert o konieczności ponownej weryfikacji.
Klonowanie weryfikacji
Weryfikujesz nową wersję tego samego produktu? Sklonuj poprzednią weryfikację. Stan listy kontrolnej i dane producenta zostaną przeniesione.
Panel weryfikacji
Sprawdź na pierwszy rzut oka status: ile produktów jest zweryfikowanych, oczekujących, zablokowanych lub wymaga ponownej weryfikacji.
Lista kontrolna należytej staranności Art. 20
Wszystko, czego wymaga Art. 20, w formie listy kontrolnej: identyfikator produktu i identyfikowalność, oznakowanie CE, deklaracja UE, dane kontaktowe producenta, wykrywanie anomalii.
Przesyłanie dowodów CE
Prześlij dowody oznakowania CE: zdjęcia, skany, certyfikaty. Wbudowana kontrola typu i rozmiaru pliku, a wszystko jest rejestrowane w audycie.
Certyfikaty weryfikacji
Generuj certyfikaty PDF potwierdzające należytą staranność. Zawierają dane dystrybutora, zakres, datę i unikalny numer weryfikacji.
Działania wstrzymujące dystrybucję
Coś jest nie tak? Wstrzymaj dystrybucję. Uzasadnienie jest rejestrowane, a organy nadzoru i producenci są powiadamiani.
Widok portfolio
Przeglądaj wszystkie weryfikacje w jednym miejscu. Filtruj według statusu, produktu lub daty zakończenia, aby znaleźć to, co wymaga uwagi.
Postęp zgodności
Wizualne paski postępu dla każdego produktu. Na pierwszy rzut oka widać, jak daleko jest każda weryfikacja i co pozostało.
Wpasowuje się w Państwa pipeline budowania
Dostępne są CLI i REST API. Przesyłaj SBOM, uruchamiaj skanowanie i kontroluj wydania z poziomu CI. Działa z GitHub Actions, GitLab CI lub czymkolwiek, co może uruchomić polecenie w terminalu.
$ docker run --rm \
-e CRA_EVIDENCE_API_KEY="cra_xxx" \
-v /var/run/docker.sock:/var/run/docker.sock \
craevidence/cli:latest \
upload-sbom \
--product my-app \
--version 2.1.0 \
--image my-app:2.1.0 \
--scan --fail-on high
Upload successful!
Product my-app (created new)
Version 2.1.0 (created new)
Components 142
Quality Score 87%
Vulnerabilities
Critical 0
High 0
Medium 3
Low 1
Działa z narzędziami, których już używasz
Stworzone, aby zapewnić bezpieczeństwo Państwa danych zgodności
Dostęp oparty na rolach
Role: Właściciel, Administrator, Członek, Przeglądający. Klucze API z zakresem uprawnień i szczegółową kontrolą dostępu.
SSO i MFA
SAML 2.0, Google i Microsoft OAuth, provisioning SCIM. Uwierzytelnianie wieloskładnikowe TOTP.
Szyfrowanie
AES-256 dla danych w spoczynku, TLS 1.3 podczas przesyłania. Haszowanie haseł Argon2id.
Wielodostępność
Pełna izolacja organizacji. Każde zapytanie wymusza granice organizacyjne.
Dzienniki Audytu
Pełna identyfikowalność wszystkich działań. Przeszukiwalna ścieżka audytu z eksportem do CSV.
Limitowanie częstotliwości
Limitowanie częstotliwości metodą okna przesuwnego na endpointach logowania, API i przesyłania plików.
Bezpieczeństwo treści
Rygorystyczne nagłówki CSP, ochrona CSRF, sanityzacja HTML i HSTS.
Przechowywanie przez 10 lat
Dane produkcyjne przechowywane przez 10 lat zgodnie z Art. 13 CRA. Retencja oparta na poziomach.
Nie masz pewności, czy CRA Cię dotyczy?
Poznaj swoje obowiązki, zanim się zarejestrujesz. Te narzędzia są bezpłatne i nie wymagają konta.
Bez rejestracji. Zajmuje około 2 minuty.
Rozpocznij tworzenie systemu dowodów CRA już teraz.
Mapuj obowiązki, generuj dowody i bądź gotowy na audyt przed 11 grudnia 2027. 14-dniowy bezpłatny okres próbny, bez karty kredytowej.
Utwórz bezpłatne konto