Provetry oder Dependency-Track: Was passt für den CRA?
Auf dieser Seite
OWASP Dependency-Track ist die Referenzplattform aus der Open-Source-Welt für die Verwaltung von SBOMs: Sie geben ihr SBOMs, sie führt ein Inventar aller Komponenten Ihres Portfolios und prüft sie laufend gegen Schwachstellendaten. Provetry deckt einen Teil desselben Gebiets ab, ist aber um eine einzige Verordnung herum gebaut, den Cyber Resilience Act, und die Pflichten, die damit einhergehen. Provetry öffnet im November 2026; Dependency-Track ist heute verfügbar. Diese Seite beschreibt, was beide können, Stand November 2026, damit Sie das passende wählen, oder beide.
In einem Satz
Dependency-Track ist eine kostenlose, selbst gehostete Plattform, um Komponenten und Schwachstellen in großem Maßstab zu verfolgen. Provetry ist ein gehosteter Dienst, der ein Produkt von seinen Lock-Dateien bis zu seinen CRA-Pflichten begleitet: SBOM, Überwachung ausgenutzter Schwachstellen, die Meldefristen nach Artikel 14, die Strategie für die koordinierte Offenlegung von Schwachstellen und die technische Dokumentation.
Im Vergleich
Bei Provetry steht der Tarif, der eine Funktion enthält, in Klammern. Preise ohne Mehrwertsteuer.
| Dependency-Track | Provetry | |
|---|---|---|
| Verfügbarkeit | Verfügbar | Öffnet im November 2026 |
| Modell | Open Source (Apache 2.0, OWASP), selbst gehostet | Gehosteter Dienst |
| Preis | Kostenlos; Sie zahlen die Server und die Zeit für den Betrieb | Kostenlos für ein Produkt, danach 49 €, 149 € oder 399 € pro Monat |
| SBOM-Eingabe | CycloneDX-SBOMs aus Ihrem Build oder von Ihren Lieferanten | Lock-Dateien aus 8 Ökosystemen oder CycloneDX- und SPDX-SBOMs in JSON; aus der CI in den kostenpflichtigen Tarifen |
| SBOM-Ausgabe | CycloneDX, bis 1.7 | CycloneDX 1.6 (alle Tarife; bis zu 3 Versionen im kostenlosen); SPDX 2.3 und 3.0.1 (kostenpflichtige Tarife) |
| Bekannte ausgenutzte Schwachstellen | CISA KEV und die EU-Liste der ENISA, seit Version 5.1 (August 2026); Liste von VulnCheck optional | CISA KEV und die EU-Liste der ENISA (EUVD) |
| EPSS | Ja | Ja |
| VEX | Importiert und exportiert CycloneDX-VEX | Hält Ihre Bewertungen fest und exportiert OpenVEX (alle Tarife); öffentlicher VEX-Feed (kostenpflichtige Tarife) |
| Erreichbarkeit | Nein | Vorschläge aus Ihrer CI, mit Nachweis (kostenpflichtige Tarife): bei Go auf Funktionsebene, sonst auf Paketebene; bei npm, PyPI und Java auf Funktionsebene für die bisher zugeordneten Sicherheitshinweise (Pro und Consultant) |
| Richtlinien und Lizenzen | Policy-Engine, Lizenz-Compliance | Keine Lizenz-Compliance |
| Meldungen an die ENISA nach Artikel 14 | Nein | Meldefall ab dem Zeitpunkt der Kenntnisnahme, Fristen-Countdown, Entwürfe entlang der Felder der ENISA-Plattform (kostenpflichtige Tarife) |
| Offenlegungsstrategie, Kontaktadresse, CSAF-Hinweise | Nein | Ja, mit einer öffentlichen Sicherheitsseite pro Produkt (kostenpflichtige Tarife) |
| Technische Dokumentation nach dem CRA | Nein | Geführtes Dossier und Entwurf der EU-Konformitätserklärung (Pro und Consultant) |
| Größenordnung | Für große Portfolios gebaut, Hochverfügbarkeit seit 5.0 | Kleine und mittlere Hersteller, bis zu 50 Produkte |
Wann Dependency-Track die bessere Wahl ist
- Sie wollen alles selbst hosten, aus internen Richtlinien oder Gründen der Souveränität, und Sie haben jemanden, der es betreibt. Version 5.0 (Juni 2026) braucht PostgreSQL und zwei Container; sie skaliert horizontal und kostet keine Lizenzgebühr.
- Sie verwalten ein großes Portfolio von Anwendungen, mit Richtlinien über Teams hinweg, Lizenzregeln und Integrationen in Jira, DefectDojo, Slack oder Teams.
- Ihre SBOMs gibt es schon in CycloneDX, von Ihrem Build erzeugt oder von Lieferanten erhalten, und Sie brauchen vor allem einen Ort, um sie aufzubewahren und zu überwachen.
Wann Provetry die bessere Wahl ist
- Der CRA ist der Grund, warum Sie das tun. Dependency-Track sagt Ihnen, dass eine Komponente eine ausgenutzte Schwachstelle hat. Provetry lässt Sie außerdem ab dem Zeitpunkt der Kenntnisnahme einen Meldefall eröffnen, zählt die Fristen nach Artikel 14 herunter, bereitet Frühwarnung, Meldung und Abschlussbericht in der Form vor, die die Plattform der ENISA verlangt, und hält fest, wer wann was entschieden hat.
- Sie haben noch keine SBOM-Pipeline. Provetry erstellt die SBOM bei jeder Version aus den Lock-Dateien, die Sie bereits haben, und hält die SBOM jeder Version getrennt.
- Sie brauchen die Dokumente rund um die SBOM. Die Offenlegungsstrategie und die Kontaktadresse für Meldungen, die der CRA erwartet (zum Beispiel in
security.txt), CSAF-Sicherheitshinweise, einen öffentlichen VEX-Feed, die technische Dokumentation nach Anhang VII und einen Entwurf der EU-Konformitätserklärung. - Sie wollen keinen Server betreiben. Keine Datenbank zu sichern, kein Wartungsfenster für Upgrades.
Beide nutzen
Sie schließen sich nicht aus. Ein Team kann Dependency-Track als internes Inventar behalten und Provetry für die Produkte nutzen, die auf dem EU-Markt bereitgestellt werden, samt ihrer CRA-Unterlagen. Beide lesen Standard-CycloneDX-JSON, sodass dieselbe SBOM an beide gehen kann.
Was Sie vor der Wahl prüfen sollten
- Wer wird es betreiben? Eine selbst gehostete Plattform ist nur kostenlos, wenn jemand Zeit hat, ihre Updates einzuspielen, sie zu sichern und zu aktualisieren. Der Wechsel von Version 4 auf 5 erforderte eine einmalige Migration und ein Wartungsfenster.
- Wer schreibt die Meldungen an die ENISA? Nach Artikel 14 ist eine Frühwarnung innerhalb von 24 Stunden fällig, nachdem Sie von einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt Kenntnis erlangt haben. Entscheiden Sie jetzt, welches Werkzeug und welche Person sie erstellt.
- Fällt Ihr Produkt überhaupt unter den CRA? Viele SaaS-Produkte nicht. Der kostenlose Check sagt es Ihnen in wenigen Minuten.
Dependency-Track ist ein OWASP-Projekt. Provetry ist weder mit OWASP noch mit dem Projekt Dependency-Track verbunden. Die obigen Angaben wurden im November 2026 anhand der unten genannten Quellen geprüft; wenn sich etwas geändert hat, schreiben Sie uns an hello@provetry.com, und wir korrigieren es.