DER EINSTIEG — EINE PRODUKTFAMILIE, EIN FESTPREIS
Ihre erste Stückliste. Ihr Meldeprozess. Ein Nachweis, den Sie vorlegen können.
Seit dem 11. September 2026 gilt die Meldepflicht des Cyber Resilience Act. Zwei Fragen entscheiden dann über Ihr Unternehmen — und keine davon löst ein Werkzeug.
DIE FRAGE VOR ALLER TECHNIK
Wer bei Ihnen bemerkt es — und wer schreibt in 24 Stunden die Meldung?
Der Erstauftrag beantwortet beide, einmalig, für eine Produktfamilie.
Was Sie bekommen
Stückliste und Produktsteckbrief
Eine CycloneDX-Stückliste Ihrer Produktfamilie — in den meisten Fällen die erste, die Ihr Unternehmen je hatte. Dazu die Angaben, ohne die eine Stückliste nichts wert ist: Zielplattform und Architektur, Distribution und Patch-Stand, Build-Konfiguration, aktivierte Dienste und Netzexposition, Auslieferungsumfang.
Das Ist-Bild
Abgleich Ihrer Komponenten gegen die einschlägigen Schwachstellen- und Ausnutzungsquellen (OSV, EUVD, KEV) — einschließlich des Ergebnisses „kein ausgenutzter Treffer“, schriftlich und mit Datum.
Die vorab beantwortete Anwendbarkeitsprüfung
Der eigentliche Wert. Trifft ein Hinweis auf aktive Ausnutzung ein, sind die Fragen jedes Mal dieselben — und ihre Antworten hängen an Ihrem Produkt, nicht am Treffer. Wir beantworten sie einmal im Voraus und legen den Entscheidungspfad als ausfüllbares Formular an, mit vier zulässigen Endzuständen und Begründungspflicht. Aus einem 24-Stunden-Notfall wird eine Entscheidung von einer halben Stunde.
Der Meldeprozess auf Papier
Wer bemerkt, wer entscheidet, wer meldet, an wen, in welcher Frist — mit benannten Personen und Vertretern. Dazu eine real ausgefüllte 24-Stunden-Frühwarnung für Ihren plausibelsten Ernstfall.
Der Prüfbericht als PDF
Ihr Nachweis: was geprüft wurde, mit welchem Ergebnis, auf welcher Grundlage.
Die Probe aufs Exempel gehört dazu
Wir spielen den Prüfpfad einmal an einem realen, historischen Ausnutzungsfall durch, der zu einer Ihrer Komponenten passt — mit Zeitstempeln, Entscheidung und Begründung. Sie wissen vor dem Ernstfall, ob Ihr Prozess trägt.
Wie es abläuft
Zwei geführte Online-Sitzungen, dazwischen unsere Arbeit. Richtwert drei bis vier Wochen.
Ihr Quellcode verlässt Ihr Haus nicht. In der Sitzung teilen Ihre Leute den Bildschirm und führen das Erhebungswerkzeug auf Ihrem eigenen Rechner aus; wir führen durch die Fragen und sehen dieselben Ausgaben. Weitergegeben wird nur, was Sie vorher gesehen und freigegeben haben.
- Kein Besuchstag
- Keine Fremdinstallation
- Keine Freigabe eines Repositorys
Was der Erstauftrag nicht ist
Wir sagen das lieber vorher als im Ernstfall.
Wir beheben nicht
Bibliothek aktualisieren, Release bauen, Update ausliefern — das tun Ihre Entwickler ohnehin jede Woche, und die Bereitstellung von Sicherheitsupdates im Supportzeitraum ist Herstellerpflicht, die sich nicht delegieren lässt. Sie haben kein Behebungsproblem, sondern ein Erkennungs-, Einordnungs- und Nachweisproblem.
Wir reichen nicht ein
Wir bereiten Fristen, Entwürfe, Nutzerinformation und Nachweis vor; die Meldung geben Sie frei und reichen Sie ein.
Wir beraten nicht rechtlich
Unsere Aussagen zum CRA sind recherchiert und mit Fundstelle belegt, nicht anwaltlich geprüft. Für eine verbindliche Rechtsauskunft brauchen Sie einen Anwalt.
Wir untersuchen nicht Ihren Quellcode
Beurteilt wird, ob eine Schwachstelle in Ihrem ausgelieferten Produkt enthalten ist — anhand von Build- und Auslieferungsfakten. Ob der verwundbare Pfad zur Laufzeit erreicht wird, ist eine andere, tiefere Frage und nicht Teil des Auftrags.
Wo eine dieser Grenzen im Ernstfall greift, steht die Eskalationsadresse bereits am Tag des Angebots im Formular: an wen, mit welchem Auftragstext, in welchem Budgetrahmen, wer beauftragen darf.
Danach
Der Auftrag steht für sich. Kaufen Sie danach nichts mehr, haben Sie trotzdem mehr als vorher — und zwar nachweisfähig. Genau ein Teil lässt sich nicht einmalig erledigen: das Bemerken. Neue Hinweise auf aktive Ausnutzung entstehen laufend, auch wenn sich an Ihrem Produkt nichts ändert.
Dafür gibt es die laufende Überwachung als Anschlussangebot — nicht als Voraussetzung.
Preis und nächster Schritt
Festpreis für eine Produktfamilie, im Erstgespräch verbindlich genannt und vollständig auf einen späteren Piloten anrechenbar. Kostenlos ist er nicht: Ein Erstauftrag, den niemand bezahlt, wird auch von niemandem ernst genommen.
Der nächste Schritt ist ein Gespräch von dreißig Minuten, in dem wir eine Frage klären: Womit bauen Sie Ihr Produkt? Daran hängt, wie viel von der Stückliste automatisch entsteht — und ob Ihre Produktfamilie in den Zuschnitt passt. Wenn nicht, sagen wir das.
Die Angaben zum Cyber Resilience Act sind recherchiert und mit Fundstelle belegt, aber nicht anwaltlich geprüft. Sie ersetzen keine Rechtsberatung.