Erkenne, was zählt
Befunde, betroffene Komponenten und Schweregrade in einer klaren Übersicht.
DEIN PRODUKT. UNTER DER OBERFLÄCHE.
Schau tiefer.
Liefere mit Klarheit.
Von den Komponenten deines Produkts bis zu den Risiken, die du prüfen musst. Mache die Nachweise deiner Software sichtbar.
Repository / SBOM → Befunde → Nachweise
01 / ABHÄNGIGKEITEN PRÜFENILLUSTRATIVE VISUALISIERUNG
VOM BILD ZUM NUTZEN
Beginne mit dem Produkt, das du auslieferst.
Verbinde ein Repository mit Lesezugriff auf einen bestimmten Commit oder lade eine SBOM hoch. Jeder Befund braucht eine rückverfolgbare Quelle.
Beispielscan ansehen sample-productIllustrativer Scan
1,284Komponenten identifiziert
package-lock.jsonproduct.cdx.json Quelle an Commit gebunden a3f9c21
Ein Scan von Anfang bis Ende
Erkenne, was in deinem Produkt steckt.
KROMSE identifiziert Komponenten und gleicht sie mit Schwachstellenmeldungen ab. Verfolge den Weg von der Quelldatei bis zur betroffenen Version.
- Quelle
- Komponenten
- Befunde
- Menschliche Prüfung
Illustrativer Scan
kromse — Scan
Commit a3f9c21
- Repository verbinden – nur Lesezugriff
- Commit a3f9c21 festlegen
- Abhängigkeitsbaum auflösen
- SBOM erstellen (CycloneDX)
- Mit Schwachstellendaten abgleichen
- Befunde verständlich erklären
- Auswirkungen auf dein Produkt prüfen
1284Komponenten aufgelöst
Rückverfolgbare Nachweise
Menschliche Prüfung erforderlich
Befunde
- Bekannte Ausnutzunglibwebp 1.2.4CVE-2023-4863
Diese Schwachstelle wird andernorts bereits ausgenutzt. Das belegt eine Ausnutzung irgendwo auf der Welt, aber keinen Vorfall in deinem Produkt. Dein Build enthält die betroffene Version.
- Hochopenssl 3.0.8CVE-2023-0464
In diesem Beispiel ist eine verwundbare Version vorhanden. Die Erreichbarkeit wurde für diesen Befund nicht festgestellt. Prüfe die Nachweise und die Exposition deines Produkts, bevor du die Auswirkungen bewertest.
- Mittelexpress 4.17.1CVE-2024-29041
Ein Update ist verfügbar. In diesem Beispiel ist keine Ausnutzung dokumentiert.
Entwurf nach Artikel 14 nach deiner Bestätigung
Angaben, die KROMSE nicht kennen kann, bleiben als markierte Lücken für einen Menschen stehen. Es wird nichts geraten.
Beispielhafter Ablauf. KROMSE greift nur lesend auf das Repository zu, legt einen genauen Commit fest und schreibt nichts zurück.
Nur lesender ZugriffBestimmter Commit
Ein beispielhafter Ablauf mit Musterbefunden, keine Ergebnisse deines Produkts. Die Scan-Dauer hängt von den Eingaben und der Abdeckung ab. Vorgänge und Berichtsentwürfe erfordern Entscheidungen deines Teams.
Vom Befund zum nächsten Schritt
Weniger entschlüsseln. Mehr verstehen.
KROMSEBeispielproduktIllustratives BeispielKlar sehen, was Aufmerksamkeit braucht
3Befunde zur Prüfung
Bekannte Ausnutzung
Was das bedeutet
Diese Schwachstelle wird andernorts bereits ausgenutzt. Das belegt eine Ausnutzung irgendwo auf der Welt, aber keinen Vorfall in deinem Produkt. Dein Build enthält die betroffene Version.
Wisse, was zu prüfen ist
Erkenne, was der Scan belegt, was unklar bleibt und was dein Team entscheiden muss.
Halte Nachweise zusammen
Übernimm Befunde und dokumentierte Entscheidungen in einen internen CRA-Berichtsentwurf zur Prüfung.
So funktioniert’s
In drei Schritten zum ersten Scan
- 01
Konto erstellen
Ein Arbeitsbereich für deine Produkte, Befunde und Nachweise.
Vollständige Erklärung lesen
Erstelle einen Arbeitsbereich für deine Produkte, Scan-Nachweise und Befunde. Dein Team prüft die Auswirkungen und entscheidet, welche Befunde einen Vorgang benötigen.
- 02
GitHub verbinden oder SBOM hochladen
Wähle ein Repository mit Lesezugriff oder lade eine CycloneDX- oder SPDX-SBOM hoch.
Vollständige Erklärung lesen
Die KROMSE GitHub App hat ausschließlich Lesezugriff. Du bestimmst, welche Repositories sie sehen darf. Kein Repository zur Hand? Lade stattdessen eine CycloneDX- oder SPDX-SBOM hoch, die der Scan dann prüft.
- 03
Verstehen, was in deinem Produkt steckt
Prüfe die Befunde, verifiziere ihre Auswirkungen und entscheide über das weitere Vorgehen.
Vollständige Erklärung lesen
KROMSE prüft Komponenten aus dem gescannten Commit oder deiner hochgeladenen SBOM anhand unterstützter Schwachstellenquellen. Befunde und Abdeckungsgrenzen werden festgehalten, damit dein Team sie vor weiteren Schritten prüfen kann.
02 / DEN NACHWEISEN FOLGEN
Der Scan ist erst der Anfang.
Dokumentiere die Entscheidung deines Teams und die zugehörigen Nachweise. Übernimm sie in einen internen CRA-Berichtsentwurf. Fehlende Angaben bleiben sichtbar, eine menschliche Prüfung ist weiterhin erforderlich.
Deinen Arbeitsbereich öffnenNachweise dokumentiertMenschliche Prüfung erforderlich
ILLUSTRATIVE VISUALISIERUNG
Deine Scan-Ergebnisse
Befunde verstehen – auch ohne Sicherheitsfachwissen
KROMSE gliedert Befunde in fünf Teile. Das gibt deinem Team einen Ausgangspunkt, um die Auswirkungen auf das Produkt zu bewerten.
Unsicherheit wird festgehalten
“Diese Schwachstelle wird andernorts bereits ausgenutzt. Das belegt eine Ausnutzung irgendwo auf der Welt, aber keinen Vorfall in deinem Produkt.”
Eine bekannte Ausnutzung an anderer Stelle belegt keine Ausnutzung in deinem Produkt. KROMSE macht diesen Unterschied ausdrücklich deutlich.
Vollständige Erklärung lesen
Der Abgleich einer Komponente mit einer Sicherheitsmeldung beweist allein nicht, dass dein Produkt ausnutzbar ist. KROMSE zeigt Erreichbarkeit nur, wenn ein unterstütztes Analysewerkzeug dafür Nachweise aus diesem Scan geliefert hat. Andernfalls bleibt sie ungeprüft. Dein Team bewertet die Auswirkungen auf das Produkt.
Und dann: der nächste Schritt
Nachdem dein Team bestätigt hat, dass ein Befund ein von euch auf dem EU-Markt angebotenes Produkt betrifft, kann KROMSE einen Vorgang eröffnen und eure Entscheidung festhalten. Ihr entscheidet, wann ein interner Entwurf nach Artikel 14 erstellt wird. Fehlende Angaben bleiben für die menschliche Prüfung markiert. Die erfassten Termine sind eine Arbeitshilfe, keine rechtliche Feststellung.
Warum jetzt
Artikel 14 gilt vor dem Rest der Verordnung
Der Cyber Resilience Act gilt für Produkte mit digitalen Elementen, die auf dem EU-Markt in Verkehr gebracht werden. Die Meldepflicht beginnt vor dem allgemeinen Geltungsbeginn: Nach Artikel 71 Absatz 2 gilt Artikel 14 ab dem 11. September 2026, Kapitel IV ab dem 11. Juni 2026 und die Verordnung allgemein ab dem 11. Dezember 2027.
Vollständige Erklärung lesen
Sobald ein Hersteller von einer aktiv ausgenutzten Schwachstelle in seinem Produkt Kenntnis erlangt, hat er nach Artikel 14 24 Stunden für eine Frühwarnung und 72 Stunden für die anschließende Meldung. 24 Stunden reichen nicht, um erst herauszufinden, was im Produkt steckt. Das muss vorher bekannt sein.
Geltungsbeginn
- Kapitel IV (Artikel 35 bis 51)
- Artikel 14 – Meldepflichten
- Allgemeiner Geltungsbeginn
Quelle: Artikel 71 Absatz 2 Unterabsatz 2 des Cyber Resilience Act.
CRA-Leitfaden öffnen
Die Verordnung
Was der Cyber Resilience Act regelt – und ab wann
Die Verordnung (EU) 2024/2847, der Cyber Resilience Act, ist am 10. Dezember 2024 in Kraft getreten. Als erstes EU-Gesetz legt sie verbindliche Cybersicherheitspflichten für die Produkte selbst fest, statt für die Organisationen, die sie betreiben. Sie erfasst nahezu alle Produkte mit digitalen Elementen, die in der EU verkauft werden.
Was geregelt wird
Der CRA gilt für Produkte mit digitalen Elementen: Hardware oder Software, deren bestimmungsgemäße Verwendung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließt. Der Anwendungsbereich ist bewusst weit gefasst: vernetzte Industrieanlagen, Verbrauchergeräte, mobile und Desktop-Anwendungen, Betriebssysteme und zugrunde liegende Bibliotheken. Produkte, die bereits unter sektorspezifische EU-Regeln fallen, etwa Medizinprodukte, Kraftfahrzeuge und die zivile Luftfahrt, sind ausgenommen und bleiben diesen Regelwerken unterstellt.
Wer die Pflichten trägt
In erster Linie der Hersteller: Wer ein Produkt mit digitalen Elementen entwickelt und unter eigenem Namen oder eigener Marke auf dem EU-Markt in Verkehr bringt. Einführer und Händler haben eigene Pflichten. Wer als Händler ein Produkt wesentlich verändert, kann im Sinne des CRA zum Hersteller werden. Ein Sitz außerhalb der EU befreit nicht davon. Entscheidend ist das Inverkehrbringen auf dem Unionsmarkt.
Geltungsbeginn
Die Verordnung gilt stufenweise. Artikel 71 Absatz 2 legt die Termine fest. Die Meldepflicht beginnt mehr als ein Jahr vor dem allgemeinen Geltungsbeginn.
Inkrafttreten
Am 20. November 2024 im Amtsblatt veröffentlicht, zwanzig Tage später in Kraft getreten.
✓ In Kraft
Kapitel IV – Artikel 35 bis 51
Grundlagen der Konformitätsbewertung: Notifizierung der Stellen, die Produkte bewerten werden.
✓ In Kraft
Artikel 14 – Meldepflichten
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden. Diese Pflicht bringt erstmals konkrete Meldefristen mit sich.
Allgemeiner Geltungsbeginn
Das vollständige Regelwerk: grundlegende Anforderungen, Konformitätsbewertung und CE-Kennzeichnung. Ab diesem Zeitpunkt dürfen nichtkonforme Produkte nicht rechtmäßig auf dem EU-Markt in Verkehr gebracht werden.
Die Fristen nach Artikel 14
Sobald ein Hersteller von einer aktiv ausgenutzten Schwachstelle in seinem Produkt Kenntnis erlangt, beginnen feste Fristen. Sie sind bewusst kurz und knüpfen an die Kenntnis an, nicht erst an eine Bestätigung oder eine fertige Behebung.
24 Stunden
Frühwarnung
An das als Koordinator benannte CSIRT und an die ENISA, ab Kenntnis der aktiv ausgenutzten Schwachstelle.
72 Stunden
Schwachstellenmeldung
Die inhaltliche Meldung mit verfügbaren Abhilfe- oder Minderungsmaßnahmen und gegebenenfalls Angaben dazu, wie das Produkt betroffen ist.
14 Tage
Abschlussbericht
Nachdem eine Abhilfe- oder Minderungsmaßnahme verfügbar ist: Was ist passiert und was wurde unternommen?
Für schwerwiegende Sicherheitsvorfälle gilt ein paralleler Ablauf: Frühwarnung innerhalb von 24 Stunden, Vorfallsmeldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. 24 Stunden reichen nicht, um erst herauszufinden, was im Produkt steckt. Das muss bekannt sein, bevor die Frist beginnt.
Welche Nachweise du vorlegen können musst
Anhang I legt die grundlegenden Anforderungen fest. Beim Umgang mit Schwachstellen entstehen insbesondere die folgenden überprüfbaren Nachweise:
- Eine SBOM in einem gängigen, maschinenlesbaren Format, die mindestens die direkten Abhängigkeiten des Produkts abdeckt.
- Identifizierung und Dokumentation der im Produkt enthaltenen Schwachstellen und Komponenten.
- Unverzügliche Behebung, unter anderem durch kostenlose und sicher verteilte Sicherheitsupdates.
- Regelmäßige Tests und Überprüfungen der Produktsicherheit.
- Eine Strategie zur koordinierten Offenlegung von Schwachstellen und eine Kontaktadresse für Meldungen.
- Öffentliche Informationen über behobene Schwachstellen, sobald ein Update verfügbar ist.
Was Verstöße kosten können
Artikel 64 legt die Obergrenzen fest. Die Mitgliedstaaten bestimmen die konkreten Sanktionen. In jeder Kategorie gilt der jeweils höhere der beiden Beträge.
- 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes
- Verstöße gegen die grundlegenden Cybersicherheitsanforderungen in Anhang I oder gegen die Pflichten nach Artikel 13 und 14.
- 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
- Verstöße gegen die übrigen Pflichten, die die Verordnung Wirtschaftsakteuren auferlegt.
- 5 Mio. € oder 1 % des weltweiten Jahresumsatzes
- Unrichtige, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder Marktüberwachungsbehörden.
Quelle: Verordnung (EU) 2024/2847, insbesondere Artikel 13, 14, 64 und 71 sowie Anhang I. Diese Zusammenfassung dient der Orientierung und ist keine Rechtsberatung. KROMSE bestimmt nicht, ob die Verordnung auf dein Produkt anwendbar ist.
Preise
Kostenlos starten. Nach Bedarf wachsen.
Lerne dein erstes Produkt im kostenlosen Arbeitsbereich kennen. Erweitere Kapazität und Betreuung, wenn dein Team wächst.
Free
0 €/ Monat
Teste KROMSE an einem echten Produkt mit begrenztem Nutzungsumfang.
- 1 Produkt, 1 verbundenes Repository
- 2 Scans innerhalb von jeweils 30 Tagen
- Jeder Befund vollständig und verständlich erklärt
- Keine KI-Nutzung im kostenlosen Tarif
- Scan-Artefakte werden 7 Tage gespeichert
Dein Produkt kostenlos scannen
Keine Kreditkarte erforderlich.
Basic
49 €/ Monat
Für kleine Teams, die ein oder zwei Produkte auf den CRA vorbereiten.
- Bis zu 3 Produkte
- Mehr Kapazität für Scans und Nachweise
- 10 € KI-Guthaben pro Monat
- CRA-Berichtsentwürfe nach Artikel 14
Kostenlos starten, später erweitern
Veröffentlichter Preis. Die Abrechnung startet nach der Beta.
Für wachsende Teams
Pro
249 €/ Monat
Für Teams mit mehreren Produkten und verbindlichen Meldefristen.
- Bis zu 10 Produkte
- 50 € KI-Guthaben pro Monat
- Kontinuierliche Überwachung und Fristenverfolgung
- Vollständiges Prüfprotokoll und Nachweisexport
Kostenlos starten, später erweitern
Veröffentlichter Preis. Die Abrechnung startet nach der Beta.
Enterprise
Vertrieb kontaktieren
Umfang und Preis werden für dein Produktportfolio vereinbart.
- Scans von Repositories und SBOMs
- Befunde, Nachweise und Berichtsentwürfe
- Vereinbarte Kapazität für deinen Arbeitsbereich
- Compliance-Entscheidungen prüft dein Team
Vertrieb kontaktieren
Verfügbarkeit und Leistungsumfang werden in einem schriftlichen Angebot bestätigt.
Preise pro Arbeitsbereich und Monat, zuzüglich Mehrwertsteuer. Kostenpflichtige Tarife starten nach der Beta; aktuell ist keine Zahlung möglich. Starte kostenlos. KROMSE informiert dich, sobald du eine Tarifgrenze erreichst.
Alle Tarife vergleichenSprich mit uns über Enterprise
Erzähl uns, was du entwickelst, wie viele Produkte du hast und was dein Team benötigt. Du kannst uns auch unter info@kromse.com kontaktieren.
Umfang und Grenzen
Die Software bereitet vor. Menschen entscheiden.
Ein Compliance-Nachweis muss auch dann standhalten, wenn ihn jemand infrage stellt. Dafür muss klar sein, wo die Software aufhört und die Verantwortung eines Menschen beginnt.
01Nachweise, keine Zertifizierung
KROMSE zertifiziert dich nicht. CRA-Konformität beruht auf der Erklärung des Herstellers. Ein Scan liefert dafür Nachweise, ersetzt die Erklärung aber nicht.
02Entwürfe ohne automatischen Versand
KROMSE reicht deinen Bericht nach Artikel 14 nicht ein. Die Software erstellt einen Entwurf und markiert offene Angaben. Ein Mensch prüft, vervollständigt und übermittelt ihn.
03Unsicherheit klar benannt
KROMSE behauptet nicht, dass eine verwundbare Abhängigkeit in deinem Produkt ausnutzbar ist. Es zeigt, dass die Komponente vorhanden ist, und erklärt, was damit belegt ist und was nicht.
04Fehlende Angaben sichtbar
KROMSE erfindet keine fehlenden Angaben. Unbekanntes bleibt als Lücke markiert und wird nicht durch plausibel klingende Vermutungen ersetzt.
05Klarer regulatorischer Umfang
Scans liefern Nachweise zur Produktsicherheit. Separate Arbeitsbereiche zur Vorbereitung auf NIS2 und die EU-KI-Verordnung ordnen Informationen für die menschliche Prüfung. Ein Scan-Ergebnis wird dadurch nicht zur Feststellung der Rechtskonformität.
Fragen
Was du vielleicht noch wissen möchtest
Brauche ich ein GitHub-Repository?
Nein. Du kannst ein GitHub-Repository verbinden oder eine CycloneDX- oder SPDX-SBOM hochladen.
Was liest KROMSE aus meinem Code?
Die GitHub App hat ausschließlich Lesezugriff auf die Repositories, die du auswählst. KROMSE löst den Abhängigkeitsbaum an einem bestimmten Commit auf und schreibt nichts in dein Repository.
Ist der kostenlose Arbeitsbereich zeitlich begrenzt?
Nein. Die Begrenzung betrifft die Kapazität: ein Produkt und zwei Scans im Monat. Es gibt keinen Countdown. Deine aktuellen Grenzen und deine Nutzung siehst du direkt im Produkt.
Kann ich schon bezahlen?
Noch nicht. Die Abrechnung ist deaktiviert, es ist kein Zahlungsanbieter angebunden. Die veröffentlichten Preise helfen dir bei der Planung. Wenn du schon jetzt mehr Kapazität brauchst, kontaktiere den Vertrieb.
Macht KROMSE mein Produkt CRA-konform?
KROMSE erstellt Nachweise und Dokumentenentwürfe. Die Konformitätserklärung bleibt beim Hersteller und setzt voraus, dass ein Mensch die zusammengestellten Informationen prüft.
Welche Sprachen werden unterstützt?
Die Website ist auf Englisch, Spanisch, Französisch und Deutsch verfügbar. Die Produktoberfläche ist derzeit auf Englisch. Befunde werden verständlich statt in Fachjargon formuliert.
Kostenlos scannen
Finde heraus, was wirklich in deinem Produkt steckt
Ein Repository oder eine SBOM, ein genauer Commit und Befunde für die Person, die dafür Verantwortung trägt. Kostenlos und ohne Bezahlvorgang.
Erstelle ein Konto und verbinde ein Repository oder lade eine SBOM hoch.