Provetry oder sbomify: Was passt für den CRA?
Auf dieser Seite
sbomify ist eine Plattform zur Verwaltung von SBOMs, Open Source, als gehosteter Dienst oder auf Ihren eigenen Servern verfügbar. Sie legt Ihre SBOMs nach Produkt ab, prüft sie auf Schwachstellen und veröffentlicht sie, mit VEX-Erklärungen und Sicherheitshinweisen, in einem Trust Center, das Ihre Kunden besuchen können. Provetry deckt einen Teil desselben Gebiets ab, geht aber von Ihren Lock-Dateien aus und ist um die Pflichten des Cyber Resilience Act herum gebaut, insbesondere die Meldefristen nach Artikel 14. Diese Seite beschreibt, was beide anbieten, Stand November 2026, nach den öffentlichen Seiten von sbomify und unseren eigenen.
In einem Satz
sbomify ist ein Ort, um SBOMs, VEX und Sicherheitshinweise aufzubewahren, zu teilen und zu veröffentlichen, mit einem CRA-Assistenten im Tarif Business. Provetry begleitet ein Produkt von seinen Lock-Dateien bis zu seinen CRA-Pflichten: SBOM bei jeder Version, Überwachung ausgenutzter Schwachstellen, die Meldefristen nach Artikel 14 mit Entwürfen für die ENISA-Plattform, die Strategie für die koordinierte Offenlegung von Schwachstellen und die technische Dokumentation.
Im Vergleich
Bei beiden Diensten steht der Tarif, der eine Funktion enthält, in Klammern. Preise ohne Mehrwertsteuer. sbomify nennt seine Preise in Dollar. „Nicht angegeben“ heißt, dass wir es im November 2026 nicht auf den öffentlichen Seiten von sbomify gefunden haben; die Funktion kann trotzdem existieren.
| sbomify | Provetry | |
|---|---|---|
| Modell | Open Source; gehostet oder selbst gehostet (Enterprise bietet eine dedizierte oder selbst gehostete Instanz) | Gehostet, in der EU |
| Preis | Community kostenlos; Business 159 $ pro Monat bei jährlicher Abrechnung oder 199 $ monatlich; Enterprise auf Anfrage | Kostenlos für ein Produkt, danach 49 €, 149 € oder 399 € pro Monat; 20 % Rabatt bei jährlicher Zahlung |
| Testphase | 14 Tage Business | Ein kostenloser Tarif für ein Produkt |
| Tarifgrenzen | 1 Produkt und 5 Komponenten (Community); 5 und 200 (Business); unbegrenzt (Enterprise) | 1 Produkt (Free); 3, 10 oder 50 Produkte |
| SBOM-Eingabe | SBOMs, die Sie bereitstellen, CycloneDX und SPDX, einschließlich SPDX 3.0 | Lock-Dateien aus 8 Ökosystemen oder CycloneDX- und SPDX-SBOMs in JSON; aus der CI in den kostenpflichtigen Tarifen |
| Schwachstellenprüfung | OSV wöchentlich (Community); OSV und Dependency-Track täglich (Business) | Wöchentliche Übersicht (Free); Benachrichtigungen in Echtzeit (Starter) |
| Ausgenutzte Schwachstellen, EPSS | Nicht angegeben | Überwachung von CISA KEV und EUVD (Starter); EPSS (alle Tarife) |
| VEX | CycloneDX, OpenVEX und CSAF | Hält Ihre Bewertungen fest und exportiert OpenVEX (alle Tarife); öffentlicher VEX-Feed (kostenpflichtige Tarife) |
| Sicherheitshinweise und security.txt | CSAF-2.0-Feed, security.txt | CSAF-Hinweise, Offenlegungsstrategie und security.txt (kostenpflichtige Tarife) |
| Teilen mit Kunden | Trust Center: öffentlich (Community), privat oder unter Ihrer eigenen Domain (Business) | Ein Sicherheitspaket pro Produkt mit SBOM und VEX, öffentlich oder per Link (kostenpflichtige Tarife) |
| Meldungen nach Artikel 14 | Nicht angegeben | Meldefall ab dem Zeitpunkt der Kenntnisnahme, Fristen-Countdown, Entwürfe entlang der Felder der ENISA-Plattform (Starter) |
| CRA-Berichte und -Dokumentation | CRA-Assistent: Produktprofil, SBOM-Konformität, Sicherheit und Schwachstellen, Nutzerinformationen, Prüfung und Export eines Pakets (Business) | Geführtes Dossier, Entwurf der EU-Konformitätserklärung, Konformitätsbericht als PDF (Pro und Consultant) |
| Erreichbarkeit | Nicht angegeben | Vorschläge aus Ihrer CI, mit Nachweis (kostenpflichtige Tarife) |
| Sonstiges | Kryptografie-Inventar (CBOM), Transparency Exchange API (Business) | Sicherheitsfragebögen beantwortet aus Ihren Daten, Behebungszeiten gemessen an Ihren Zielen (kostenpflichtige Tarife) |
Wann sbomify besser passen kann
- Sie wollen es selbst betreiben oder den Code lesen. sbomify ist Open Source und lässt sich auf eigenen Servern installieren.
- Ihre SBOMs gibt es schon, aus Ihrem Build oder von Ihren Lieferanten, und Sie brauchen einen einzigen Ort, um sie aufzubewahren und zu veröffentlichen.
- Ihre Kunden verlangen ein öffentliches Trust Center, mit SBOMs, VEX und Zertifikaten wie SOC 2 oder ISO 27001 in einem Portal, gegebenenfalls unter Ihrer eigenen Domain.
- Sie brauchen ein Kryptografie-Inventar oder die Transparency Exchange API.
Wann Provetry besser passen kann
- Sie haben noch keine SBOM-Pipeline. Provetry erstellt das SBOM aus den Lock-Dateien, die Sie schon haben, bei jeder Version.
- Sie wollen die Überwachung ausgenutzter Schwachstellen und die Meldefristen im selben Werkzeug. Provetry überwacht CISA KEV und die EU-Liste der ENISA, lässt Sie ab dem Zeitpunkt der Kenntnisnahme einen Meldefall eröffnen, zählt die Fristen von 24 Stunden, 72 Stunden und für den Abschlussbericht herunter und bereitet jede Meldung in der Form vor, die die ENISA-Plattform verlangt. Auf den öffentlichen Seiten von sbomify haben wir das nicht gefunden.
- Ihr Team arbeitet auf Deutsch oder Französisch. Anwendung und Hilfe von Provetry gibt es auf Englisch, Französisch und Deutsch, ebenso die Offenlegungsstrategie, die Provetry erstellt.
Beide nutzen
Beide lesen dieselben Formate. Ein Team kann sbomify als SBOM-Ablage und Trust Center behalten und Provetry für die Meldefristen und die CRA-Akte der Produkte nutzen, die auf dem EU-Markt bereitgestellt werden, und dasselbe CycloneDX- oder SPDX-SBOM an beide senden.
Was Sie vor der Wahl prüfen sollten
- Prüfen Sie, wie beide zählen, was Sie haben. Die Tarife von sbomify zählen Produkte und Komponenten, die von Provetry Produkte; fragen Sie, wie Ihr eigenes Portfolio gezählt würde.
- Wer schreibt die Meldungen an die ENISA? Nach Artikel 14 ist eine Frühwarnung innerhalb von 24 Stunden fällig, nachdem Sie von einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt Kenntnis erlangt haben. Legen Sie jetzt fest, welches Werkzeug und welche Person sie erstellt.
- Fällt Ihr Produkt überhaupt unter den CRA? Viele SaaS-Produkte nicht. Der kostenlose Check sagt es Ihnen in wenigen Minuten.
Provetry ist nicht mit sbomify verbunden. Die Angaben oben wurden am 13. November 2026 anhand der Preis- und der Funktionsseite von sbomify und seines GitHub-Repositorys geprüft; wenn sich etwas geändert hat oder fehlt, schreiben Sie uns an hello@provetry.com, und wir korrigieren es.