Kostenloses Werkzeug
Generator für eine Offenlegungsstrategie
Beantworten Sie ein paar Fragen und erhalten Sie eine Strategie für die koordinierte Offenlegung von Schwachstellen in Ihren Produkten, bereit zur Veröffentlichung auf Ihrer Website. Auf Deutsch, Englisch oder Französisch.
Läuft vollständig in Ihrem Browser: Nichts, was Sie eingeben oder öffnen, wird an uns gesendet oder gespeichert.
Eine Arbeitsgrundlage, keine Rechtsberatung: Lassen Sie sie anwaltlich prüfen, vor allem den Absatz zum rechtlichen Schutz.
Was der CRA verlangt
Anhang I Teil II der Cyberresilienz-Verordnung verlangt von jedem Hersteller, eine Strategie für die koordinierte Offenlegung von Schwachstellen aufzustellen und umzusetzen, eine Kontaktadresse für Schwachstellenmeldungen anzugeben und Informationen über behobene Schwachstellen in einem öffentlichen Hinweis mit den Nutzern zu teilen. Diese Pflichten gelten ab dem 11. Dezember 2027; die Pflicht, aktiv ausgenutzte Schwachstellen der ENISA zu melden, gilt seit dem 11. September 2026.
Die Offenlegungsstrategie nützt nur, wenn man sie findet: Verlinken Sie sie auf Ihrer Sicherheitsseite und im Feld Policy Ihrer security.txt-Datei.
Weitere kostenlose Werkzeuge
- security.txt-Generator und -Prüfer
Erstellen Sie die RFC-9116-Datei, die Forschenden sagt, wo sie eine Schwachstelle melden können, oder prüfen Sie Ihre vorhandene.
- CVSS-3.1-Rechner
Bewerten Sie eine Schwachstelle anhand ihrer acht Basismetriken, oder fügen Sie einen Vektor ein, um ihn zu lesen.
- CVSS-4.0-Rechner
Die neuere CVSS-Version, berechnet mit dem Referenzverfahren von FIRST: Basismetriken oder ein beliebiger eingefügter Vektor.
- EPSS-Score abfragen
Wie wahrscheinlich eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird: der aktuelle Score von FIRST, für bis zu 30 CVEs auf einmal.
- SBOM-Generator
Erzeugen Sie aus Ihren Lock-Dateien eine SBOM in CycloneDX oder SPDX: npm, pnpm, Yarn, Python, Go, Rust, Java, .NET, PHP und Ruby.
- SBOM-Viewer und -Prüfer
Öffnen Sie eine CycloneDX- oder SPDX-Datei: ihre Komponenten und was der CRA erwartet, das noch fehlt.