Ihre Software, konformmit dem Cyber Resilience Act.
CheckOps erfasst alle Komponenten Ihrer Software, warnt Sie, sobald eine Sicherheitslücke eine davon betrifft, und bereitet die Meldungen und Nachweise vor, die die EU-Verordnung (CRA) verlangt.
Die EU-Verordnung gilt schrittweise. Die erste Pflicht ist bereits in Kraft.
Den CRA in 2 Minuten verstehen →Senden, überwachen, beheben, nachweisen.
Sie behalten Ihre Entwicklungswerkzeuge. CheckOps erhält die Komponentenliste jeder Version, gleicht sie täglich mit den Schwachstellen-Datenbanken ab, sagt Ihnen, was zuerst zu beheben ist, und macht daraus, was der CRA von Ihnen verlangt.
1 · Senden, aus Ihrer CI
Eine Zeile in Ihrer Auslieferungs-Pipeline (GitLab, GitHub, Kubernetes, AWS). Jede neue Version wird automatisch analysiert, ohne dass Sie Ihre Arbeitsweise ändern.
Alles, was der CRA verlangt, an einem Ort
Komponenteninventar, Überwachung der Schwachstellen, Warnungen, Meldungen und Berichte: ein Werkzeug, eine Rechnung, Daten in Frankreich.
Standardmäßig souverän
Ihre SBOMs kommen aus ganz Europa nach Frankreich, zu französischen Hostern. CheckOps wird von einem französischen Unternehmen herausgegeben: Ihre Daten werden nie außerhalb der Europäischen Union kopiert.
2 · Jede Komponente überwachen
Ein Quadrat pro Komponente Ihrer Software. Betrifft eine Lücke eine davon, leuchtet es auf; nach der Behebung oder der Einstufung als unbedenklich wird es wieder grün.
3 · Beheben, das Dringende zuerst
CheckOps ordnet Lücken nach der tatsächlichen Gefahr: bereits von Angreifern genutzt, wahrscheinlich oder für Sie harmlos. Zu jeder erklärt es verständlich, was sie ermöglicht, welche Version zu installieren ist, und öffnet die Korrektur für Sie.
- 1xz-utils 5.6.0 → 5.6.2Kritisch · bereits ausgenutzt · Übernahme des ServersKorrektur geöffnet
- 2openssl 3.0.7 → 3.0.15Hoch · Angriffsrisiko 12 % · kann den Dienst lahmlegenEinplanen
- 3lodash 4.17.20Für Sie harmlos: Die betroffene Funktion wird nicht genutztAls nicht betroffen erklärt
Passt zu den Werkzeugen, die Sie schon nutzen
CheckOps liest die Standardformate (CycloneDX, SPDX) und die Ergebnisse gängiger Sicherheitsscanner. Warnungen kommen per E-Mail oder direkt in Ihre GitLab- und Jira-Tickets.
4 · Nachweisen, fristgerecht
Nutzen Angreifer eine Lücke in Ihrem Produkt aus, gibt Ihnen der CRA 24 Stunden, um die Behörden zu warnen. CheckOps startet den Countdown und füllt jede Meldung vor.
Ein PDF, das Ihr Kunde versteht.
Für jede ausgelieferte Version ein datierter Sicherheitsbericht: Anzahl der Komponenten, offene Lücken, behobene Lücken, harmlose Lücken und warum. Lesbar für Kunden, Einkäufer oder Prüfer, ohne Fachwissen.
- Verweist auf die Verordnung (EU) 2024/2847 und Artikel 14 des CRA.
- Echte Notfälle zuerst: bereits von Angreifern ausgenutzte Lücken und Angriffswahrscheinlichkeit.
- Öffentliche Sicherheitsseite, wenn Sie möchten, um Ihre Kunden zu beruhigen und Meldungen zu empfangen.
Erstellt am 25.10.2026
Verordnung (EU) 2024/2847 (CRA)
Cyber Resilience Act: was sich für Ihre Produkte ändert.
Der Cyber Resilience Act (CRA), die EU-Verordnung über Cyberresilienz (EU 2024/2847), stärkt die Cybersicherheit von Hardware- und Softwareprodukten mit digitalen Elementen. Sie gilt für alles, was in der Europäischen Union verkauft wird, von Apps bis zu vernetzten Geräten.
Ja, wenn Sie in der EU ein Produkt verkaufen, das Software enthält: eine App, beim Kunden installierte Abo-Software, ein vernetztes Gerät, eine programmgesteuerte Maschine.
Wissen, was in Ihren Produkten steckt
Die Liste der Softwarekomponenten jeder Version aktuell halten, wie die Zutatenliste eines Gerichts. Man nennt sie SBOM.
CheckOps erhält sie aus Ihren Werkzeugen und bewahrt sie für jede Version auf.Lücken während des gesamten Supportzeitraums beheben
Veröffentlichte Sicherheitslücken in Ihren Komponenten überwachen und kostenlose Korrekturen liefern, in der Regel mindestens 5 Jahre lang.
CheckOps warnt Sie, sobald eine Lücke Sie betrifft.Ausgenutzte Lücke binnen 24 Stunden melden
Nutzen Angreifer eine Lücke in Ihrem Produkt aus: Frühwarnung binnen 24 Std., Meldung binnen 72 Std., Abschlussbericht binnen 14 Tagen, an die ENISA und Ihr nationales CSIRT (in Deutschland das BSI).
CheckOps bereitet jeden Schritt vor und startet den Countdown.Konformität nachweisen und die CE-Kennzeichnung anbringen
Die getroffenen Maßnahmen dokumentieren und sie Behörden, Kunden und bei Ausschreibungen vorlegen können.
CheckOps erstellt für jede Version datierte PDF-Berichte.Kleines Glossar: SBOM, CVE, VEX, EUVD, NIS2
- SBOM
- „Software Bill of Materials“: die Liste der Komponenten einer Software, mit ihren Versionen.
- CVE
- Die öffentliche Nummer einer Sicherheitslücke, zum Beispiel CVE-2024-3094.
- VEX
- Eine Erklärung, ob eine Lücke Ihr Produkt wirklich betrifft oder nicht, und warum.
- EUVD
- Die europäische Schwachstellendatenbank, betrieben von der ENISA, der EU-Agentur für Cybersicherheit.
- NIS2
- Eine weitere EU-Richtlinie, die die Sicherheit von Organisationen statt von Produkten betrifft.
Nur gewarnt, wenn es Sie betrifft.
Jeden Tag werden Dutzende Sicherheitslücken veröffentlicht. CheckOps gleicht sie mit den Komponenten jeder Ihrer Versionen ab und warnt Sie nur, wenn eines Ihrer Produkte betroffen ist: welches Produkt, welche Version, welche Korrektur.
- Europäische Quellen zuerst: die Schwachstellendatenbank der ENISA (EUVD), ergänzt durch die großen internationalen Datenbanken.
- Nach Dringlichkeit geordnet: Schweregrad, bereits beobachtete Angriffe, Angriffswahrscheinlichkeit.
- Schneller behoben: ein Ticket für Ihre Entwickler oder ein freigabebereiter Update-Vorschlag.
Alle Schwachstellen-Datenbanken, in einer vereint.
Jede Sicherheitslücke wird von mehreren Stellen veröffentlicht, in Europa wie in den USA, jede mit eigenen Angaben. CheckOps führt sie in einer eigenen, in Frankreich gehosteten Datenbank zusammen und macht daraus einen klaren Eintrag pro Lücke.
- EUVDENISA · Europäische UnionReferenz
- CERT-FRANSSI · FrankreichWarnungen
- NVDNIST · USADetails
- KEVCISA · bereits ausgenutztDringlichkeit
- EPSSFIRST · AngriffswahrscheinlichkeitScore
- OSV + GitHubOpen-Source-Pakete· wird aktiviertPakete
- Debian · Ubuntu · AlpineHinweise der Distributionen· wird aktiviertSysteme
Gemacht für alle, die Software ausliefern.
Sie verkaufen ein Produkt
Der CRA macht Sie zum Hersteller. Führen Sie eine SBOM pro Version und melden Sie fristgerecht.
- SBOM und VEX pro Version
- Geführte CRA-Meldungen
- Öffentliche Sicherheitsseite
Sie liefern für andere
Ihre Kunden verlangen Nachweise. Geben Sie ihnen bei jeder Lieferung einen Bericht.
- PDF-Bericht pro Lieferung
- Prüfung in der CI
- GitLab- und Jira-Tickets
Sie betreiben Infrastrukturen
Verfolgen Sie die Cluster aller Ihrer Kunden auf einem Bildschirm.
- Mehrkundenansicht
- Kubernetes-Agent
- NIS2-Score pro Kunde
Kostenlos starten, später wachsen.
Preise pro Monat zzgl. MwSt., ohne Vertragsbindung. Keine Überraschungen: Über ein Limit hinaus wird nichts extra berechnet.
Zum Testen mit einem Produkt.
- 1 Produkt
- 30 Analysen pro Monat
- Warnungen per E-Mail
- VEX, CRA-Meldungen, NIS2-Score
Für ein kleines Team.
- 5 Produkte
- 500 Analysen pro Monat
- 1 überwachter Kubernetes-Cluster
- 3 Warnkanäle
Für Hersteller mit mehreren Produkten.
- 20 Produkte
- 3.000 Analysen pro Monat
- 5 überwachte Kubernetes-Cluster
- 10 Warnkanäle
Für IT-Dienstleister und MSPs.
- 100 Produkte
- 20.000 Analysen pro Monat
- 20 überwachte Kubernetes-Cluster
- Mehrkundenansicht
CRA-Meldungen, Berichte und NIS2-Score in allen Tarifen enthalten. Eine Analyse = eine hochgeladene Komponentenliste oder ein Scanner-Ergebnis. Mehr als 100 Produkte: Enterprise-Tarif auf Anfrage (contact@checkops.eu).
Bevor Sie loslegen.
Was ist der Cyber Resilience Act (CRA)?
Der Cyber Resilience Act, die EU-Verordnung über Cyberresilienz (EU 2024/2847), legt Regeln zur Cybersicherheit für alle Hardware- und Softwareprodukte mit digitalen Elementen fest, die in der Europäischen Union verkauft werden: Sicherheit ab Entwurf, Behebung von Lücken während des Supportzeitraums, Meldung ausgenutzter Lücken und CE-Kennzeichnung.
Gilt der CRA für mein Unternehmen?
Ja, wenn Sie auf dem europäischen Markt ein Produkt anbieten, das Software enthält (App, vernetztes Gerät, eingebettete Software). Die Meldung aktiv ausgenutzter Schwachstellen ist seit dem 11. September 2026 Pflicht; der Rest der Verordnung gilt ab dem 11. Dezember 2027.
Werden meine SBOMs mit jemandem geteilt?
Nein. Sie werden in Frankreich gespeichert und sind nur für Ihre Organisation sichtbar. Die öffentliche Sicherheitsseite gibt es nur, wenn Sie sie aktivieren, Produkt für Produkt.
Was ist eine SBOM und wie bekomme ich sie?
Eine SBOM (Software Bill of Materials) ist die Liste der Komponenten einer Software, mit ihren Versionen. Die meisten Entwicklungswerkzeuge können sie automatisch erzeugen; CheckOps gibt Ihnen die Zeile für Ihre Auslieferungs-Pipeline.
Welche Werkzeuge werden unterstützt?
CycloneDX und SPDX sowie die Ausgaben von Syft, Trivy, Grype, OSV-Scanner, SARIF, GitLab-Sicherheitsberichten, Trivy Operator, Harbor und AWS Inspector.
Welches Bußgeld droht bei Verstößen gegen den CRA?
Bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen die grundlegenden Anforderungen, je nachdem, welcher Betrag höher ist (Artikel 64). Kleinst- und Kleinunternehmen werden für eine verspätete Frühwarnung nicht sanktioniert.
Was ist der Unterschied zu Dependency-Track?
Dependency-Track ist ein sehr gutes Open-Source-Werkzeug, das Sie selbst installieren und pflegen. CheckOps ist ein in Frankreich betriebener Dienst, der CRA-Meldungen, den NIS2-Score, PDF-Berichte und die Mehrkundenansicht ergänzt.
Brauche ich eine Kreditkarte zum Testen?
Nein. Der kostenlose Tarif ist zeitlich nicht begrenzt. Sie wechseln zu einem bezahlten Tarif, wenn Sie ihn brauchen.