Für Product-Security-Officer und CTOs von Herstellern mit digitalen Elementen
Für Unternehmen mit Software-, IoT- oder Industrieprodukten: SBOMfunk gleicht Ihre SBOMs täglich mit NVD, OSV und CISA KEV ab, zeigt bei einer neuen Schwachstelle, welche Produkte betroffen sind, und bereitet die Frühwarnung für die ENISA Single Reporting Platform vor — statt SBOM-Dateien, Advisory-Listen und Meldeformulare von Hand zusammenzusuchen.
Drei Probleme, die Ihre Compliance blockieren
24 Stunden. Dann droht Bußgeld.
Art. 14 CRA verpflichtet Sie ab 11.09.2026 zur Schwachstellenmeldung innerhalb von 24 Stunden — wenn eine aktiv ausgenutzte CVE Ihr Produkt betrifft. Keine Verlängerung, keine Ausnahme.
Ihre Abhängigkeitsliste ist keine CRA-konforme SBOM.
BSI TR-03183-2 definiert exakt welche Felder, Formate und Tiefe eine CRA-konforme SBOM haben muss. Eine Excel-Datei mit Paketlisten erfüllt diese Anforderungen nicht — und bei einem Audit wird das sichtbar.
Die ENISA-SRP-Integration selbst bauen? 3–6 Entwickler-Monate.
Die ENISA Single Reporting Platform ist Stand April 2026 noch in der Beta. Kein stabiler API-Spec, keine öffentliche Authentifizierungsmethode — aber der Stichtag rückt näher. Wer jetzt intern entwickelt, riskiert verlorene Zeit.
Vom GitHub-Commit zur ENISA-Meldung — in 5 Schritten
SBOMfunk schließt die Last-Mile zwischen Ihrem CI/CD-System und der ENISA Single Reporting Platform.
Warum SBOMfunk?
- Keine PSIRT-Abteilung nötig — SBOMfunk übernimmt den Prozess
- Läuft in Ihrer bestehenden CI/CD-Pipeline (GitHub Actions, GitLab CI)
- Keine manuelle NVD-Recherche — täglicher automatischer Abgleich
- ENISA-SRP-API direkt angebunden — erster Anbieter in Beta-Integration
- BSI TR-03183-konforme Ausgabe ab der ersten SBOM
Alles was Sie für CRA-Compliance brauchen
Von der SBOM-Generierung bis zur ENISA-Meldung — alle Schritte in einer Plattform.
SBOM-Generator
SBOM in Ihrer CI/CD-Pipeline — CycloneDX + SPDX, 30+ Ökosysteme (Maven, npm, pip, Go, Cargo, NuGet)
Vulnerability-Dashboard
Täglich gegen NVD/OSV/CISA-KEV geprüft — Sie sehen sofort welche CVEs aktiv ausgenutzt werden
ENISA-SRP-Wizard
3-Stufen-Meldekette (24h/72h/14d) halbautomatisch ausgefüllt und direkt übermittelt
24h-Frist-Timer
Automatischer Alert wenn eine kritische CVE Ihren Meldefrist-Counter startet
Disclosure-Policy-Generator
security.txt nach RFC 9116 generiert — plus Kundenmitteilungs-Templates für B2B-Benachrichtigung
Compliance-Dashboard
Portfolio-View über alle Repositories — auf einen Blick sehen welche Produkte compliant sind
Eingerichtet in 30 Minuten
Drei Schritte von der Installation bis zur ersten ENISA-Meldung.
GitHub-Action oder CLI installieren
SBOMfunk in Ihrer GitHub Action oder GitLab CI in 3 Zeilen einbinden. Erster SBOM-Export beim nächsten Build.
Täglich automatischer Vuln-Abgleich
SBOMfunk gleicht Ihre SBOM täglich gegen NVD, OSV und CISA-KEV ab. Bei kritischen CVEs — sofortige Benachrichtigung Ihres Teams.
ENISA-Meldung generieren und einreichen
Wenn ein aktiv ausgenutztes CVE Ihr Produkt betrifft, generiert SBOMfunk das 24h-Frühwarnformular. Sie prüfen, ergänzen und senden — kein Blanko-Formular mehr.
Wie viele Tage bis zum Stichtag haben Sie noch?
Jedes Unternehmen, das Software, IoT-Geräte oder Embedded-Produkte in der EU verkauft, ist ab 11.09.2026 meldepflichtig. Sind Sie bereit?
Vertrauen durch Transparenz
Keine Versprechen ohne Belege — nur faktische Aussagen über unsere Sicherheits- und Compliance-Maßnahmen.
DSGVO-konform
Alle Daten werden ausschließlich auf Supabase eu-central-1 (Frankfurt) gespeichert. Keine Weiterleitung an US-Server.
Made in EU
SBOMfunk ist ein europäisches Produkt, entwickelt für europäische Compliance-Anforderungen. Wir kennen den CRA aus erster Hand.
BSI-konform
SBOMfunk generiert SBOMs nach BSI TR-03183-2 — mit CycloneDX 1.6 und SPDX 3.0 in den von BSI empfohlenen Feldformaten.
ISO 27001 — Roadmap
RoadmapISO 27001-Zertifizierung ist für Q4 2026 in Planung. Aktuell: AES-256-Verschlüsselung at rest, TLS 1.3 in transit.
Transparente Preise für jeden Bedarf
Keine Einrichtungsgebühr.
Starter
Für kleinste Hersteller und erste CRA-Erkundung
- Bis zu 5 Repositories
- SBOM-Generierung (CycloneDX 1.6 + SPDX 3.0)
- Vulnerability-Dashboard (NVD/OSV täglich)
- ENISA-SRP-Formular-Generator (manueller Submit)
- Disclosure-Policy-Generator (security.txt RFC 9116)
- E-Mail-Support (48h-Reaktionszeit)
Pro
KMU-Hersteller mit mehreren Produkten und eigenem Entwicklungsleiter
- Bis zu 25 Repositories
- Alles aus Starter, plus:
- Auto-Submit an ENISA SRP
- CISA-KEV-Integration (aktiv ausgenutzte CVEs priorisiert)
- 3-Stufen-Meldekette (24h/72h/14d automatisch)
- E-Mail + Chat-Support (24h-Reaktionszeit)
Enterprise
Hersteller mit großem Portfolio und On-Prem-Bedarf
- Unbegrenzte Repositories
- Alles aus Pro, plus:
- On-Prem-Scanner-Option
- Multi-Tenant-Unterstützung
- Audit-Trail-Export (PDF für BSI-Marktaufsicht)
- Dedicated Support (4h-SLA)
Häufige Fragen
Alles Wichtige zu SBOMfunk und CRA-Compliance.
Sie brauchen eine SBOM nach BSI TR-03183? Sie müssen aktiv ausgenutzte Schwachstellen an die ENISA melden?
SBOMfunk führt Sie vom Commit zur ENISA-Meldung — ohne Excel.
138 Tage. Dann gilt CRA-Meldepflicht.
CRA-Compliance für EU-Produkthersteller: Was Sie jetzt wissen müssen
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist eine EU-weite Verordnung, die verbindliche Cybersicherheitsanforderungen für alle Hersteller von Produkten mit digitalen Elementen einführt. Sie gilt für Software, Hardware mit Software-Komponenten und eingebettete Systeme, die auf dem EU-Markt vertrieben werden — von vernetzten IoT-Geräten über industrielle Steuerungssoftware bis hin zu Enterprise-SaaS. Ab dem 11. September 2026 tritt die kritischste Pflicht in Kraft: die 24-Stunden-Meldepflicht bei aktiv ausgenutzten Schwachstellen.
Was ist eine SBOM und warum brauchen Hersteller sie?
Eine Software Bill of Materials (SBOM) ist ein maschinenlesbares Verzeichnis aller Software-Komponenten eines Produkts — einschließlich Bibliotheken, Abhängigkeiten und deren Versionen. Der CRA verpflichtet Hersteller zur Erstellung und Pflege einer SBOM als Grundlage für das Schwachstellenmanagement. Das BSI hat in der Technischen Richtlinie TR-03183-2 konkrete Anforderungen an Format und Inhalt festgelegt: Pflichtfelder, unterstützte Formate (CycloneDX 1.6 und SPDX 3.0) und die erforderliche Komponententiefe. Eine einfache Liste von Abhängigkeiten oder eine Excel-Tabelle erfüllt diese Anforderungen nicht.
Was ist die ENISA Single Reporting Platform?
Die ENISA Single Reporting Platform (SRP) ist die zentrale EU-Meldeplattform, über die Hersteller aktiv ausgenutzte Schwachstellen gemäß Art. 14 CRA melden müssen. Der Meldeprozess ist dreistufig: 24-Stunden-Frühwarnung, 72-Stunden-Notification und ein 14-Tage-Final-Report. Stand April 2026 befindet sich die SRP noch in der Beta-Phase — SBOMfunk ist einer der ersten Anbieter mit direkter API-Integration und testet die Plattform aktiv für seine Nutzer.
Wer ist betroffen? Produktklassen im CRA
Der CRA unterscheidet vier Produktklassen mit unterschiedlichen Anforderungen: die Default-Kategorie (Selbstbewertung möglich), Klasse I (erhöhte Anforderungen, z. B. Sicherheitssoftware und Consumer-IoT), Klasse II (Drittpartei-Bewertung erforderlich, z. B. kritische Infrastruktur-Komponenten) und kritische Produkte. Nicht sicher, in welche Klasse Ihr Produkt fällt? Unser kostenloser CRA-Pflicht-Check beantwortet diese Frage in 2 Minuten.
Wie hilft SBOMfunk bei der CRA-Compliance?
SBOMfunk automatisiert den gesamten CRA-Compliance-Workflow: SBOM-Generierung direkt aus Ihrer CI/CD-Pipeline (GitHub Actions, GitLab CI, CLI), täglicher Abgleich gegen NVD, OSV und CISA-KEV zur Erkennung aktiv ausgenutzter Schwachstellen, automatischer Start des 24h-Frist-Timers und halbautomatische Generierung der ENISA-SRP-Meldung. Ergänzt wird dies durch einen Disclosure-Policy-Generator (security.txt nach RFC 9116) und einen Compliance-Dashboard-Portfolio-View. Für IoT-Hersteller, Embedded-Software-Teams, Medizintechnik-Hersteller und Industrial-Software-ISVs bietet SBOMfunk branchenspezifische Workflows, die die jeweiligen regulatorischen Besonderheiten (MDR-Abgrenzung, UNECE R155-Überschneidung, ASPICE-Kompatibilität) berücksichtigen.
Der CRA-Stichtag am 11. September 2026 ist weniger als 138 Tage entfernt. Hersteller, die jetzt mit dem Aufbau ihrer SBOM-Infrastruktur beginnen, haben ausreichend Zeit für Tests, Onboarding und die Integration der ENISA-SRP. Wer wartet, riskiert Marktverbot — oder einen Bußgeldbescheid von bis zu 15 Mio. EUR.