Provetry oder Verimu: Was passt für den CRA?
Auf dieser Seite
Verimu und Provetry sind beide Dienste, die für den Cyber Resilience Act gebaut sind, beide aus der EU betrieben, und ihre kostenpflichtigen Tarife beginnen sogar bei denselben Preisen. Sie packen aber nicht dasselbe in jeden Tarif und decken nicht dieselben Dokumente ab. Diese Seite beschreibt, was beide anbieten, Stand November 2026, nach den öffentlichen Seiten von Verimu und unseren eigenen, damit Sie sie an dem messen können, was für Sie zählt.
In einem Satz
Verimu prüft Ihre Repositories in der CI, erzeugt ein SBOM pro Commit und benachrichtigt Sie über neue Schwachstellen, mit einem CRA-Meldeablauf und PDF-Berichten im Tarif Professional. Provetry begleitet ein Produkt von seinen Lock-Dateien bis zu seinen CRA-Pflichten: SBOM bei jeder Version, Überwachung ausgenutzter Schwachstellen, die Meldefristen nach Artikel 14 mit Entwürfen für die ENISA-Plattform, VEX, die Strategie für die koordinierte Offenlegung von Schwachstellen, CSAF-Hinweise und die technische Dokumentation.
Im Vergleich
Bei beiden Diensten steht der Tarif, der eine Funktion enthält, in Klammern. Preise ohne Mehrwertsteuer. „Nicht angegeben“ heißt, dass wir es im November 2026 nicht auf den öffentlichen Seiten von Verimu gefunden haben; die Funktion kann trotzdem existieren.
| Verimu | Provetry | |
|---|---|---|
| Modell | Gehostet, Infrastruktur in der EU | Gehostet, in der EU |
| Preis | Kostenlos, danach 49 € (Starter) oder 149 € (Professional) pro Monat; Enterprise auf Anfrage; 20 % Rabatt bei jährlicher Zahlung | Kostenlos für ein Produkt, danach 49 €, 149 € oder 399 € pro Monat; 20 % Rabatt bei jährlicher Zahlung |
| SBOM-Eingabe | Prüfung in der CI (GitHub, GitLab, Bitbucket), Kommandozeilenwerkzeug; npm, pip, Maven, NuGet, Cargo, Go, Composer, Bundler | Lock-Dateien aus 8 Ökosystemen oder CycloneDX- und SPDX-SBOMs in JSON; aus der CI in den kostenpflichtigen Tarifen |
| SBOM-Ausgabe | CycloneDX (Free); CycloneDX und SPDX pro Commit (Starter); alle Formate (Professional) | CycloneDX 1.6 (alle Tarife); SPDX 2.3 und 3.0.1 (kostenpflichtige Tarife); ein SBOM pro Version aufbewahrt (bis zu 3 Versionen im kostenlosen Tarif) |
| Benachrichtigungen zu neuen Schwachstellen | Wöchentliche Übersicht (Free); in Echtzeit (Starter) | Wöchentliche Übersicht (Free); in Echtzeit (Starter) |
| Bekannte ausgenutzte Schwachstellen | CISA KEV und die EU-Liste der ENISA, EUVD (Professional) | CISA KEV und EUVD (Starter) |
| EPSS | Nicht angegeben | Ja (alle Tarife) |
| VEX | Nicht angegeben | Hält Ihre Bewertungen fest und exportiert OpenVEX (alle Tarife); öffentlicher VEX-Feed (kostenpflichtige Tarife) |
| Erreichbarkeit | Nicht angegeben | Vorschläge aus Ihrer CI, mit Nachweis (kostenpflichtige Tarife); auf Funktionsebene für npm, PyPI und Java (Pro und Consultant) |
| Meldungen nach Artikel 14 | Meldeablauf 24 h, 72 h, 14 Tage (Professional) | Meldefall ab dem Zeitpunkt der Kenntnisnahme, Fristen-Countdown, Entwürfe entlang der Felder der ENISA-Plattform (Starter) |
| Offenlegungsstrategie, security.txt, CSAF-Hinweise | Nicht angegeben | Ja, mit einer öffentlichen Sicherheitsseite pro Produkt (kostenpflichtige Tarife) |
| CRA-Berichte und -Dokumentation | CRA-Konformitätsberichte als PDF, Konformitätswert pro Projekt (Professional) | Geführtes Dossier, Entwurf der EU-Konformitätserklärung, Konformitätsbericht als PDF (Pro und Consultant) |
| Slack und Teams | Ja (Starter) | Ja (Starter) |
| Audit-Protokoll | Ja (Professional) | Ja (Pro und Consultant) |
| Sprachen der Oberfläche | Englisch (die einzige, die wir gefunden haben) | Englisch, Französisch, Deutsch |
Wann Verimu besser passen kann
- Die Prüfung soll in Ihrer Pipeline laufen und den Build anhalten. Das Kommandozeilenwerkzeug von Verimu läuft als CI-Stufe mit einem Schweregrad-Schwellenwert, auf GitHub, GitLab oder Bitbucket.
- Sie committen oft und wollen ein SBOM pro Commit, nicht pro Version.
Wann Provetry besser passen kann
- Sie wollen die Überwachung ausgenutzter Schwachstellen und die Meldefristen schon im ersten kostenpflichtigen Tarif. Bei Verimu kommen CISA KEV, EUVD und der Meldeablauf mit Professional, bei Provetry mit Starter.
- Sie brauchen die Dokumente rund um das SBOM. VEX-Erklärungen, die Offenlegungsstrategie und die Kontaktadresse, die der CRA erwartet (zum Beispiel in
security.txt), CSAF-Hinweise, ein Sicherheitspaket zum Teilen mit Käufern, eine geführte technische Dokumentation nach Anhang VII und den Entwurf einer EU-Konformitätserklärung. Die öffentlichen Seiten von Verimu nennen CRA-Konformitätsberichte als PDF, den Rest haben wir dort nicht gefunden. - Sie wollen wissen, ob eine Schwachstelle Ihren Code tatsächlich erreicht, mit Erreichbarkeitsvorschlägen aus Ihrer CI.
- Ihr Team arbeitet auf Deutsch oder Französisch. Anwendung und Hilfe von Provetry gibt es auf Englisch, Französisch und Deutsch, ebenso die Offenlegungsstrategie, die Provetry erstellt.
Was Sie vor der Wahl prüfen sollten
- Lassen Sie sich von beiden Anbietern eine Demo an einem Ihrer Produkte zeigen und sehen Sie sich an, was Sie einer Marktüberwachungsbehörde vorlegen würden: das SBOM, die VEX-Entscheidungen, die Meldeentwürfe, die technische Akte.
- Wer schreibt die Meldungen an die ENISA? Nach Artikel 14 ist eine Frühwarnung innerhalb von 24 Stunden fällig, nachdem Sie von einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt Kenntnis erlangt haben. Prüfen Sie, welcher Tarif in welchem Werkzeug Ihnen an diesem Tag gibt, was Sie brauchen.
- Fällt Ihr Produkt überhaupt unter den CRA? Viele SaaS-Produkte nicht. Der kostenlose Check sagt es Ihnen in wenigen Minuten.
Provetry ist nicht mit Verimu verbunden. Die Angaben oben wurden am 13. November 2026 anhand der Startseite und der Preisseite von Verimu geprüft; wenn sich etwas geändert hat oder fehlt, schreiben Sie uns an hello@provetry.com, und wir korrigieren es.
Quellen
- Verimu
- Preise von Verimu
- Preise von Provetry
- Verordnung (EU) 2024/2847, die Cyberresilienz-Verordnung, Artikel 14 und Anhang VII