So funktioniert es
Sechs Schritte, fast alle automatisch
Wie Provetry arbeitet: was von selbst läuft, was eine zertifizierte Sicherheitsfachperson prüft und was Ihre Entscheidung bleibt.
- Art. 14(2)(b)Meldungnoch 2 T 18 h
- Art. 14(2)(c)AbschlussberichtBeginnt mit Auslieferung der Korrektur
Entwurf · Frühwarnung
# Early warning: actively exploited vulnerability
Regulation (EU) 2024/2847, Article 14(2)(a)
Product: Gateway firmware 4.2 (connected device)
Affected component: libwebp 1.3.1 (fixed in 1.3.2)
Member States where the product is available: FR, IE- 1
Ein Produkt anlegen und seinen Anwendungsbereich prüfen
Benennen Sie das Produkt, beantworten Sie die Fragen zum Anwendungsbereich und wählen Sie seine Kategorie. Provetry hält seine Klasse, das Konformitätsbewertungsverfahren und den Unterstützungszeitraum fest, zu dem Sie sich verpflichten, samt Enddatum.
- 2
Die Software-Stückliste erstellen
Verbinden Sie Ihr Git-Repository (nur lesend) oder laden Sie eine Lock-Datei, ein Container-Image oder eine vorhandene SBOM hoch. Provetry erzeugt für jede Version eine Stückliste in CycloneDX und SPDX, einschließlich transitiver Abhängigkeiten, und bewahrt die SBOM jeder Version in Ihrer technischen Dokumentation auf.
- 3
Jede Komponente täglich überwachen
Jede Komponente wird mit öffentlichen Schwachstellendaten (OSV) und vor allem mit den Katalogen aktiv ausgenutzter Schwachstellen abgeglichen: CISA KEV und die Europäische Schwachstellendatenbank (EUVD). Sie können angeben, dass eine Schwachstelle in Ihrem Produkt nicht ausnutzbar ist, mit Ihrer Begründung: Dieser Nachweis bleibt erhalten.
- 4
Wird eine Komponente ausgenutzt, startet die Uhr
Sie werden sofort benachrichtigt, per E-Mail und im Dashboard. Die Frühwarnung ist bereits mit den Daten Ihres Produkts entworfen: betroffene Versionen, Mitgliedstaaten, in denen es verkauft wird, Kontakte. Sie entscheiden, ob sie zutrifft, und übermitteln sie über die einheitliche Meldeplattform der ENISA.
- 5
Meldung, Abschlussbericht und Information der Nutzer
Die 72-Stunden-Meldung und der Abschlussbericht folgen auf dieselbe Weise, mit Erinnerungen vor jeder Frist, dazu ein Hinweis für Ihre Nutzer, den Sie anpassen und versenden können.
- 6
Ihre Akte bis Dezember 2027 bereithalten
Geführte technische Dokumentation, Strategie für die koordinierte Offenlegung von Schwachstellen und security.txt-Datei, EU-Konformitätserklärung: erstellt aus dem, was Provetry bereits über das Produkt weiß.
Viele dieser Schwachstellen liegen in Code, den Ihr Produkt nie ausführt. Ihre CI sagt Ihnen, welche, mit Nachweis: zur Erreichbarkeit.
Fachkundige Prüfung
Wer was liest, bevor es Sie erreicht
| Dokument | Erstellt | Von einer Fachperson geprüft | Von Ihnen entschieden |
|---|---|---|---|
| SBOM, Schwachstellentreffer, Benachrichtigungen | Automatisch, sofort | Nein, damit nichts wartet | Welche Schwachstellen zutreffen |
| CRA-Bereitschaftsauditbericht | Automatisch | Immer, vor der Auslieferung | Der Maßnahmenplan |
| Technische Dokumentation, Offenlegungsstrategie | Aus Ihren Daten entworfen | Immer, vor der Auslieferung | Die endgültige Fassung |
| Frühwarnung, Meldung und Abschlussbericht an die ENISA | Sofort entworfen | Mit der Option „Geprüfte Meldungen“ | Ob gemeldet wird und was Sie senden |
Die prüfende Person ist eine nach CISSP, OSCP und CEH zertifizierte Sicherheitsfachperson. Provetry erteilt keine Rechtsberatung.