Hur CRA Evidence startade
Det började 2025, när Joan Romero för första gången hörde talas om Cyber Resilience Act.
Från den punkten började han koppla det till hela sin karriär som Cloud Engineer och SRE. Vi bygger och levererar fler produkter än någonsin, men vi tar inte hand om cybersäkerheten. Incidenterna fortsätter att öka.
Cyber Resilience Act finns på grund av det. Europa såg problemet och beslutade att agera. Joan bestämde sig för att hjälpa team att ta sig igenom det och började bygga CRA Evidence.
Det blev verklighet 2026. Det första kapitlet gick via CEEI, Europeiska centret för företag och innovation i furstendömet Asturien. Med deras hjälp kom företaget igång.
Varför CRA Evidence byggdes
Fler digitala produkter når Europa varje år, från industriella styrenheter till hemmaenheter, och cyberresiliensförordningen är den första förordningen som kräver att var och en av dem ska bära verklig säkerhetsbevisning under hela sin livstid. Vi ville hjälpa de team som utför det arbetet.
Ingen ägde tydligt cyberresiliensförordningen. Inte teknik, inte juridik, inte produkt. Vi byggde CRA Evidence för att det arbetet ska ha ett hem: spårat, korrigerat och revisionsklart under det tioårsfönster som förordningen kräver.
Varje produkt med digitala element som säljs i EU ska utformas, tillverkas och underhållas med verklig cybersäkerhetsdokumentation under hela sin livscykel, och dokumentationen ska bevaras i minst tio år.
Förordning (EU) 2024/2847, artiklarna 13–14 · parafraserat
Det är det arbetet vi bygger för.
CRA gäller olika beroende på roll. Vi anpassar oss till varje roll.
Tillverkare, importörer och distributörer har olika skyldigheter enligt förordningen. CRA Evidence levererar rätt arbetsflöde för var och en.
Tillverkare
Du bygger produkter med digitala element. De tyngsta CRA-skyldigheterna faller på dig.
- SBOM-validering mot BSI TR-03183
- Kontinuerlig sårbarhetövervakning med nya CVE:er detekterade inom 15 minuter
- Generator för EU-försäkran om överensstämmelse
- User Information & Instructions (UII) builder
- Efterlevnadsspårning på versionsnivå
Importörer
Du tar in produkter på EU-marknaden. Du måste verifiera tillverkarens efterlevnad innan du säljer.
- Verifieringschecklistor för artikel 19
- Begäran om tillverkarens dokumentation
- Bevislagring med revisionsspår
- Register för marknadsövervakning
Distributörer
Du säljer produkter i EU men tillverkar eller importerar dem inte. Lättare skyldigheter.
- Arbetsflöden för efterlevnadsverifiering
- Åtkomst till produktdokumentation
- Vägledning för artikel 20
- Incidenteskaleringsvägar
Frågorna vi hör gång på gång
Varje team som förbereder sig inför CRA arbetar sig igenom samma grunder:
- Vilket format ska min SBOM vara i?
- Hur spårar jag sårbarheter i 300 beroenden?
- Vad ingår exakt i en teknisk fil?
- Hur bevisar jag efterlevnad för en marknadsövervakningsmyndighet?
Regleringen är komplicerad nog. Dina verktyg behöver inte vara det.
Redo att förenkla CRA-efterlevnad?
Kartlägg skyldigheter, generera bevis och håll dig revisionsredo för alla produktversioner före den 11 december 2027.