Für DevOps-, Compliance- und Security-Teams

CRA Evidence Platform

Die Compliance-Plattform für EU-Hersteller, Importeure und Händler. SBOMs, VEX, vulnerability workflows, ENISA reporting, and technical documentation, all in one place.

Entwickelt für die Integration in Ihre CI/CD-Pipeline und zur Abdeckung aller Produktlebenszykluspflichten gemäß der EU-Cyber-Resilienz-Verordnung.

Demo anfragen
CRA-Lieferkette: Hersteller, Importeur und Händler verbunden mit dem EU-CRA-Hub
Artefakt-Verwaltung

Ihre SBOMs, validiert und versioniert

Laden Sie eine CycloneDX- oder SPDX-Datei hoch. Wir validieren sie gegen die BSI TR-03183 Qualitätskriterien, bewerten die Vollständigkeit und führen prüfungsfertige Aufzeichnungen für jede Produktversion.

CycloneDX und SPDX Das Format wird beim Upload automatisch erkannt. CycloneDX 1.6 Schema-Validierung, SPDX 2.2+ Parsing.
TR-03183 Qualitätsbewertung Gewichtete Metriken für PURL, Hashes, Lieferant, Lizenz und Versionsvollständigkeit.
HBOM- und VEX-Unterstützung Hardware Bill of Materials und Vulnerability Exploitability eXchange Extraktion aus CycloneDX.
Visualisierung des Abhängigkeitsgraphen Interaktiver Mermaid.js-Komponentenbaum mit transitiver Abhängigkeitserweiterung und Klick-Navigation.
Versionsvergleich und Drift-Erkennung SBOMs zwischen Versionen vergleichen. Neue, entfernte und geänderte Komponenten erkennen.
VEX-Erstellung Erstellen und veröffentlichen Sie Vulnerability Exploitability eXchange-Erklärungen direkt in der Anwendung. Export als CycloneDX VEX.
CycloneDX SPDX HBOM VEX SARIF

Qualitätsbewertung

Automatische Bewertung nach BSI TR-03183 Standard mit Verbesserungsempfehlungen.

Abhängigkeitsbaum

Direkte und transitive Abhängigkeiten visualisieren mit Erkennung zirkulärer Abhängigkeiten.

Versionsvergleich

Vergleichen Sie SBOMs über Versionen hinweg. Verfolgen Sie, was sich geändert hat und warum.

Lizenzprüfung

Identifizieren Sie problematische Lizenzkombinationen in Ihren Komponenten.

Schwachstellen-Scanning

Neue CVEs in Minuten erkennen, nicht Tagen

Wir synchronisieren Schwachstelleninformationen aus NVD, OSV.dev, CISA KEV und EPSS alle 15 Minuten und überprüfen die Ergebnisse anschließend mit einem unabhängigen Scanner. Schnellere Erkennung, weniger blinde Flecken.

Synchronisierung alle 15 Minuten NVD/cvelistV5, OSV.dev, CISA KEV und EPSS werden im 15-Minuten-Takt aktualisiert.
Unabhängige Verifizierungsebene Der Scanner prüft die Ergebnisse separat, sodass in einer Quelle übersehene Funde dennoch erkannt werden.
Priorisierung auf EPSS-Basis Jeder Fund wird mit EPSS-Daten angereichert, damit sich Teams auf die wahrscheinliche reale Ausnutzung konzentrieren können, nicht nur auf den reinen Schweregrad.
Automatische erneute Scans und Abgleich mit KEV Produktions- und Staging-Versionen werden automatisch erneut gescannt, und die Funde werden mit dem CISA KEV-Katalog abgeglichen.
Behebungsverfolgung Fünfstufiger Lebenszyklus pro Schwachstelle: Start, Behebung, Verifizierung, Release. Statusverfolgung pro betroffener Version.
Unterdrückungsverwaltung Falsch-Positive mit Begründung, Ablaufdaten und Freigabe-Workflows unterdrücken.
Erreichbarkeitsanalyse Markieren Sie Komponenten als erreichbar oder nicht erreichbar, um das zu priorisieren, was wirklich relevant ist.
CSAF-Advisories Vollständiger Advisory-Lebenszyklus: Import, Validierung, Veröffentlichung. Vom Entwurf bis zur Endversion mit semantischem Diff. Konform mit CRA Art. 11.
Vulnerability Knowledge Base Five authoritative sources aggregated into a single local knowledge base: NVD/cvelistV5, OSV.dev, GitHub Security Advisories, CISA KEV, and EPSS. Synced every 15 minutes. Our vulnerability scanner runs as an independent verification layer for zero blind spots.
Automatisierter VEX-Workflow und Abdeckungsverfolgung Triage-Entscheidungen erzeugen automatisch VEX-Entwürfe: Unterdrückungen, Verwerfungen und Änderungen des Behebungsstatus fließen alle in die VEX-Bridge ein. Stapelweise prüfen und mit einem Klick veröffentlichen. VEX nach CycloneDX 1.6 pro Version exportieren. Verfolgen Sie den Abdeckungsgrad über alle bewerteten Schwachstellen hinweg in einer einzigen prüfungsreifen Kennzahl.
Korrelierte Schwachstelleninformationen
15-Minuten-Synchronisierung
Quelle NVD / cvelistV5 Grundlegende CVE-Updates
Quelle OSV.dev Ökosystemspezifische Hinweise
Quelle CISA KEV Bekannte ausgenutzte Schwachstellen
Quelle EPSS Wahrscheinlichkeit realer Ausnutzung
Schritt 1 Zusammenführen und verifizieren

Mehrere Informationsquellen werden korreliert und anschließend erneut mit einem unabhängigen Scanner geprüft.

Schritt 2 Priorisieren, was zählt

KEV- und EPSS-Daten heben die Funde hervor, die am ehesten zu echten Betriebsproblemen werden.

KEV-Treffer Nach EPSS priorisiert
Ergebnis Verifizierte Funde gelangen schneller in die Bearbeitung

Automatische erneute Scans halten Produktions- und Staging-Versionen aktuell, während der Workflow auf aktive Risiken fokussiert bleibt.

Technische Dokumentation

Anhang-VII-Pakete, bei Bedarf bereit

Artikel 13 schreibt 10 Jahre technische Dokumentation vor. Wir erstellen die Anhang VII-Pakete, Zertifikate und Konformitätsberichte, damit Anfragen der Marktüberwachung Sie nicht unvorbereitet treffen.

Technischer Datei-Export

Ein ZIP mit allem: maschinenlesbares Manifest (JSON), SBOMs (CycloneDX/SPDX), Bescheinigungen, Compliance-Checkliste und Attributionsberichte. Menschen- und maschinenlesbar, strukturiert gemäß Annex VII.

EU-Konformitätserklärung

EU-DoC-Dokumente mit korrekter Formatierung, Versionierung und CE-Kennzeichnung-Verfolgung erstellen.

Compliance-Berichte

PDF oder HTML. Schwachstellenübersicht, Komponenteninventar, Qualitätsbewertungen und Behebungsstatus in einem Bericht, den Sie Prüfern vorlegen können.

Sicherheitsdatenblatt

Annex II Sicherheitsdatenblatt-Assistent. Entwerfen, validieren, veröffentlichen. Export als PDF, Markdown oder HTML.

Zertifikate

Zertifikats-Lebenszyklus: Entwurf, Ausstellung, Widerruf. Unveränderliche ausgestellte Zertifikate mit herunterladbarer PDF-Erstellung.

Mehrsprachige Dokumente

Generate documents in 8 languages: English, Spanish, German, French, Italian, Polish, Dutch, and Swedish.

Annex I Bereitschaft

Bewerten Sie Ihr Produkt anhand aller 20 wesentlichen Cybersicherheitsanforderungen aus CRA Annex I Teil I. Verfolgen Sie, was erfüllt ist und was fehlt.

Artefakt-Signierung

Sigstore-basierte Signierung für SBOMs und Artefakte. Schlüssellose und schlüsselbasierte Modi mit Signaturverifizierung für die Integrität der Lieferkette.

Supportzeitraum-Verfolgung

Definieren und verfolgen Sie den vorgeschriebenen Mindestsupportzeitraum von 5 Jahren gemäß CRA Art. 13(5). Benachrichtigungen, wenn Produkte das Supportende erreichen.

ENISA-Meldungen

Verpassen Sie keine ENISA-Frist mehr

Artikel 14 sieht zwei Meldewege mit getrennten Fristen vor: Schwachstellen und schwere Vorfälle. Wir decken beide mit strukturierten Vorlagen und einem Countdown-Tracking ab.

24h

Frühwarnung

Erste Schwachstellenmeldung innerhalb von 24 Stunden nach Entdeckung. CVE-ID, betroffene Produkte und Bewertung der Angriffskomplexität.

72h

Detaillierte Meldung

Technische Analyse mit Behebungszeitplan, Workarounds und erweiterter Auswirkungsbewertung innerhalb von 72 Stunden.

14d

Abschlussbericht

Bestätigung der Behebung mit Details zur dauerhaften Lösung, Bereitstellungszeitplan und gewonnenen Erkenntnissen. 14 Tage für Schwachstellen, 30 Tage für Vorfälle.

Fristenerinnerungen Automatische Benachrichtigungen vor Ablauf jeder Verpflichtung
ENISA SRP bereit Strukturierte Payloads für die ENISA Single Reporting Platform. Day-one-Integration sobald die API gestartet wird.
Einreichungshistorie Vollständiger Audit-Trail aller generierten Meldungen und Statusverfolgung
Vorfallmanagement Separater Workflow für schwerwiegende Vorfälle (Art. 14(3)). 30-Tage-Abschlussbericht gegenüber 14 Tagen für Schwachstellen.
PDF-Berichte & Fristenüberschreitungswarnungen Frühwarnung, Detailbericht und Abschlussbericht als PDF. Dashboard-Countdown bei nahenden Fristen.
CSIRT-Koordination Gleichzeitige Meldung an ENISA und Ihr nationales CSIRT gemäß Artikel 14.
Hardware und Firmware

Entwickelt für Produkte mit Hardwarekomponenten

Maschinen, eingebettete Systeme und IoT-Geräte brauchen mehr als nur Software-SBOMs. CRA Evidence unterstützt den gesamten Lebenszyklus von Hardwareprodukten.

HBOM-Verfolgung Hardware Bill of Materials mit 15 Komponententypen, darunter Sensoren, Aktoren und Mikrocontroller.
Firmware-SBOM-Analyse Laden Sie eine SBOM aus Ihren Firmware- oder Hardwarekomponenten hoch und prüfen Sie die gesamte eingebettete Software automatisch auf bekannte CVEs.
CE-Kennzeichnungs-Workflow Verfolgen Sie die Konformitätsbewertung mit vollständigem Prüfpfad. Erstellen Sie EU-Konformitätserklärungen.
Physische Kennzeichnung Digitale Produktpässe mit QR-Codes für Hardwareprodukte.
Für jede CRA-Rolle entwickelt

Hersteller-, Importeur- & Händler-Dashboards

Der CRA legt Herstellern (Art. 13), Importeuren (Art. 19) und Händlern (Art. 20) unterschiedliche Pflichten auf. Jede Rolle erhält ihren eigenen Arbeitsbereich mit den Workflows, die für sie tatsächlich relevant sind.

Produkt- & Versionsverwaltung

Produkte nach CRA-Kategorie organisiert: Standard, Wichtige Klasse I/Klasse II, Kritisch. Jede Version verfolgt ihren Veröffentlichungsstatus, ihre Umgebung und ihre Aufbewahrungsstufe.

Vollständige Artefakt-Pipeline

SBOM, HBOM und VEX pro Version hochladen. Qualitätsbewertung und Schwachstellen-Scanning starten automatisch.

Schwachstellen- & Vorfallmanagement

CVE-Verfolgung, Behebungs-Workflows, ENISA-Meldungen. Das Sicherheits-Dashboard ordnet alles nach EPSS-Score und markiert CISA KEV Einträge.

Erstellung technischer Unterlagen

Der Annex VII-Export bündelt alles in einem ZIP: maschinenlesbare SBOMs, Compliance-Checklisten, Attributionsberichte und Konformitätserklärungen. Bereit für automatisierte Marktüberwachungsprüfungen.

Kundenbenachrichtigungen

Schwachstellenbenachrichtigungssystem für nachgelagerte Kunden. Mehrsprachige Vorlagen mit Verteilerlistenverwaltung.

Vertrauenssiegel

Einbettbare Compliance-Vertrauenssiegel für Ihre Produktseiten. Verlinken Sie auf die öffentliche Verifizierung Ihres CRA-Compliance-Status.

Verfolgung der Konformitätsbewertung

Verfolgen Sie Ihren Bewertungsweg basierend auf der Produktkategorie: Selbstbewertung (Standard), interne Kontrolle (Wichtige Klasse I) oder Drittpartei (Wichtige Klasse II, Kritisch).

Digital Product Passports

Erstellen Sie dynamische, öffentlich zugängliche Digital Product Passports für jede Version. QR-Codes, JSON-LD und PDF-Export — mehrsprachig und maschinenlesbar.

Mehrsprachige Dokumente

Erstellen Sie technische Dokumentation, Konformitätsberichte und Digital Product Passports in 8 EU-Sprachen: Englisch, Spanisch, Deutsch, Französisch, Italienisch, Polnisch, Niederländisch und Schwedisch.

Art. 19 Verifizierungs-Workflow

Schritt-für-Schritt-Checkliste für die Anforderungen von Art. 19: CE-Kennzeichnungsprüfung, Annex II Prüfung, Importeur-Kennung auf dem Produkt, EU-Konformitätserklärung gesammelt, endgültige Freigabe.

Herstellerverzeichnis

Behalten Sie den Überblick über Ihre Hersteller: Kontakte, EU-Bevollmächtigte, CVD/CSAF-Metadaten. Legen Sie fest, wie oft jeder erneut verifiziert werden muss.

Auslieferungsstopp-Entscheidungen

Problem gefunden? Produkt sperren. Begründung erfassen, Beteiligte benachrichtigen und an die Behörde melden. Alles wird dokumentiert.

Auslöser für erneute Verifizierung

Neue Schwachstelle gefunden? Größeres Update veröffentlicht? Überprüfungsdatum steht an? Sie erhalten eine Benachrichtigung zur erneuten Verifizierung.

Verifizierungen klonen

Eine neue Version desselben Produkts prüfen? Klonen Sie die vorherige Verifizierung. Checklistenstatus und Herstellerdaten werden übernommen.

Verifizierungs-Dashboard

Sehen Sie auf einen Blick, wo alles steht: wie viele Produkte verifiziert, ausstehend, gesperrt oder zur erneuten Verifizierung fällig sind.

Art. 20 Sorgfaltspflicht-Checkliste

Alles, was Art. 20 verlangt, in einer Checkliste: Produkt-ID und Rückverfolgbarkeit, CE-Kennzeichnung, EU-Erklärung, Herstellerkontakte, Anomalieerkennung.

CE-Nachweis-Upload

Laden Sie Ihre CE-Kennzeichnungsnachweise hoch: Fotos, Scans, Zertifikate. Dateityp- und Größenprüfungen sind integriert und alles wird im Audit-Log erfasst.

Verifizierungszertifikate

PDF-Zertifikate erstellen, die die Einhaltung der Sorgfaltspflicht belegen. Enthält Händlerangaben, Umfang, Datum und eindeutige Verifizierungsnummer.

Auslieferungsstopp-Maßnahmen

Etwas stimmt nicht? Vertrieb stoppen. Die Begründung wird erfasst und Behörden sowie Hersteller werden benachrichtigt.

Portfolio-Ansicht

Alle Verifizierungen auf einen Blick. Filtern Sie nach Status, Produkt oder Abschlussdatum, um zu sehen, was Aufmerksamkeit erfordert.

Compliance-Fortschritt

Visuelle Fortschrittsbalken pro Produkt. Sehen Sie auf einen Blick, wie weit jede Verifizierung fortgeschritten ist und was noch fehlt.

CI/CD & Automatisierung

Passt in Ihre Build-Pipeline

Es gibt ein CLI und eine REST API. Laden Sie SBOMs hoch, starten Sie Scans und steuern Sie Releases aus CI. Funktioniert mit GitHub Actions, GitLab CI oder jedem Tool, das Shell-Befehle ausführen kann.

CLI-Tool SBOM/HBOM/VEX hochladen, scannen, Status prüfen, Releases verwalten und Versionen vom Terminal aus vergleichen.
Schweregrad-Fehlerschwellenwerte CI-Builds bei kritischen oder hohen Schwachstellen fehlschlagen lassen. Pro Pipeline konfigurierbar.
Bereichsbezogene API-Schlüssel Feingranulare Berechtigungen: sbom:read, sbom:write, vuln:read, vuln:write und mehr. Ratenlimitiert und auditiert.
Webhooks Empfangen Sie Ereignisse für Schwachstellenentdeckungen, ENISA-Fristenwarnungen und andere Compliance-Ereignisse.
Richtlinien-Engine Policy-as-Code-Regeln für Lizenzen, Schwachstellen-Schwellenwerte, Qualitätsbewertungen und blockierte Komponenten. Geltungsbereich von global bis pro Version.
Release-Freigabestufen Konfigurierbare Freigabe-Workflows vor Versionsveröffentlichungen. Manuelle Freigabestufen und automatische Bedingungsprüfungen.
# Docker-Image scannen und SBOM hochladen
$ docker run --rm \
-e CRA_EVIDENCE_API_KEY="cra_xxx" \
-v /var/run/docker.sock:/var/run/docker.sock \
craevidence/cli:latest \
upload-sbom \
--product my-app \
--version 2.1.0 \
--image my-app:2.1.0 \
--scan --fail-on high

Upload successful!

Product       my-app (created new)
Version       2.1.0 (created new)
Components    142
Quality Score 87%

Vulnerabilities
  Critical    0
  High        0
  Medium      3
  Low         1
GitHub Actions GitLab CI Jenkins Jedes CI-System
Integrationen

Funktioniert mit Ihren vorhandenen Tools

Jira

Erstellen Sie Issues für Schwachstellen direkt

Slack

Echtzeit-Benachrichtigungen zu Schwachstellen und Fristen

GitHub

Synchronisierung von Sicherheitshinweisen und Repository-Integration

Dependency-Track

SBOMs aus bestehenden Instanzen importieren

Microsoft Teams

Benachrichtigungen in Ihren Teams-Kanälen

ENISA-Fristen

Automatische Erinnerungen nach 24 Std., 72 Std., 14/30 Tagen

Lieferantenportal

Kundenorientierte SBOM-Freigabe mit Zugriffskontrolle

Generischer Webhook

Ereignisse an jeden HTTP-Endpunkt senden

Sicherheit & Vertrauen

Entwickelt, um das Vertrauen für Ihre Compliance-Daten zu verdienen

Zugriffskontrolle
Rollenbasierter Zugriff

Owner-, Admin-, Member- und Viewer-Rollen. Bereichsbezogene API-Schlüssel mit feingranularen Berechtigungen.

SSO & MFA

SAML 2.0, Google & Microsoft OAuth, SCIM-Provisionierung. TOTP-Mehrfaktorauthentifizierung.

Datenschutz
Verschlüsselung

AES-256 im Ruhezustand, TLS 1.3 bei der Übertragung. Argon2id-Passwort-Hashing.

Mandantenfähigkeit

Vollständige Mandantentrennung. Jede Abfrage erzwingt Organisationsgrenzen.

Beobachtbarkeit
Audit-Protokollierung

Vollständige Rückverfolgbarkeit aller Aktionen. Abfragbarer Audit-Trail mit CSV-Export.

Ratenbegrenzung

Gleitendes Fenster Rate Limiting für Login-, API- und Upload-Endpunkte.

Compliance
Inhaltssicherheit

Strikte CSP-Header, CSRF-Schutz, HTML-Sanitisierung und HSTS.

10 Jahre Aufbewahrung

Produktionsdaten werden gemäß CRA Art. 13 10 Jahre aufbewahrt. Stufenbasierte Aufbewahrung.

Kostenlose Tools

Nicht sicher, ob der CRA für Sie gilt?

Klären Sie Ihre Pflichten, bevor Sie sich anmelden. Diese Tools sind kostenlos und erfordern kein Konto.

CRA-Anwendbarkeitsprüfer 11-Fragen-Assistent zur Bestimmung, ob der Cyber Resilience Act auf Ihr Produkt zutrifft. Deckt Branchenausnahmen, Konnektivitätsanforderungen und Produktklassifizierung ab.
CRA-Rollen-Quiz Finden Sie heraus, ob Sie nach dem CRA Hersteller, Importeur oder Händler sind. Verschiedene Rollen haben unterschiedliche Pflichten.
Teilbare Ergebnisse Teilen Sie Ihre Ergebnisse mit Kollegen oder Rechtsabteilungen über einen eindeutigen Link. Verfügbar in allen 8 europäischen Sprachen.
CRA-Anwendbarkeitsprüfung ausprobieren Kostenloses CRA-Quiz ausprobieren

Keine Registrierung erforderlich. Dauert etwa 2 Minuten.

CRA Compliance Platform

In Aktion erleben: Erstellen Sie Ihr erstes SBOM in Minuten

14-day free trial. No credit card required. Cancel anytime.