Funktionen
CRA-Meldungen, PSIRT und SBOM
Eine Forscherin meldet eine Lücke in Ihrem Produkt. Ab dann wissen alle, wo die Meldung liegt, welche Frist läuft und was Ihre Kunden erfahren.
Schwachstellenmeldungen kommen per Mail an irgendein Postfach, und ob eine Meldung an die Behörde nötig ist, entscheidet sich unter Zeitdruck.
So hilft Complass
Meldungen an einer Stelle annehmen
Ein eigenes Meldeformular für Ihr Unternehmen, dazu security.txt nach RFC 9116 und ein Entwurf Ihrer Richtlinie zur koordinierten Offenlegung, den Sie prüfen und anpassen.
Prüfen mit klarem Status
Eingegangen, in Prüfung, bestätigt, behoben, veröffentlicht: jede Meldung hat ihren Status und ihre Notizen. Ist der Eingang nach 5 Arbeitstagen nicht bestätigt, erinnert Complass.
Meldepflicht nach Art. 14 CRA im Blick
Ist die Schwachstelle aktiv ausgenutzt, legen Sie aus der Meldung direkt einen CRA-Vorfall an: Frühwarnung, Meldung, Abschlussbericht, Zwischenbericht auf Anforderung und Information der Nutzer, jeweils mit berechneter Frist und den verlangten Inhalten.
Zulieferer nicht vergessen
Steckt die Schwachstelle in einer eingebauten Komponente, erinnert Complass daran, den Hersteller der Komponente zu informieren.
Sicherheitshinweis für Ihre Kunden
Aus der Meldung entsteht ein Sicherheitshinweis im Format CSAF, auf Wunsch mit Freigabe durch eine zweite Person, veröffentlicht auf Ihrer Hinweisseite und per E-Mail an Ihre Abonnenten, mit Versandnachweis.
Gesetzlicher und normativer Bezug
- Art. 13 CRAArtikel 13 CRA Pflichten der Hersteller(1) Wenn sie ein Produkt mit digitalen Elementen in den Verkehr bringen, gewährleisten die Hersteller, dass dieses Produkt gemäß den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I konzipiert, entwickelt und hergestellt worden ist. (2) Für die Zwecke der Erfüllung von Absatz 1 führen die Hersteller eine Bewertung der Cybersicherheitsrisiken durch, die ein Produkt mit digitalen Elementen birgt, und …Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
- Art. 14 CRAArtikel 14 CRA Meldepflichten der Hersteller(1) Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA. Der Hersteller meldet diese aktiv ausgenutzte Schwachstelle über die gemäß Artikel 16 eingerichtete einheitliche Meldeplattform. (2) Für die Zwecke der Mitteilung gemäß Absatz 1 legt der …Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
- CRA Anhang I Teil II
- BSI TR-03183-2
- RFC 9116
CRA-Meldefristen kostenlos berechnen, ohne Anmeldung
Die Seite beschreibt Funktionen von Complass und ist keine Rechtsberatung.
SBOM: wissen, was im Produkt steckt ab Professional: SBOM, Pakete vergleichen
SBOM je Produkt und Version
Import aus CycloneDX 1.4 bis 1.6 und SPDX 2.2 und 2.3, aus Excel oder per Erfassungsskript. Mit „Stand speichern“ entsteht eine unveränderliche Fassung mit Prüfsumme.
Was hat sich geändert
Zwei Fassungen vergleichen: hinzugekommene, entfernte und geänderte Komponenten auf einen Blick.
Export nach BSI TR-03183-2
CycloneDX 1.6, SPDX 2.3 und SPDX 3.0.1 sowie VEX, vor der Ausgabe gegen die Pflichtfelder geprüft.
CE-Cyber-Akte, CSAF und VEX auf der Seite Produkt-Compliance
Häufige Fragen
Übermittelt Complass die Meldung an die ENISA?
Nein. Complass berechnet die Fristen und bereitet die Inhalte je Meldestufe vor. Die Meldung geben Sie auf der Meldeplattform ab und tragen Zeitpunkt und Aktenzeichen ein.
Was brauche ich dafür?
Schwachstellenmeldungen, CRA-Vorfälle und Sicherheitshinweise gehören zum Regelwerk CRA. SBOM und CE-Cyber-Akte gehören zum Baustein Vulnerability-Management.
Ist die Richtlinie zur Offenlegung fertig?
Sie ist ein Entwurf aus Ihren Angaben. Prüfen und passen Sie ihn an, bevor Sie ihn veröffentlichen.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.