Leistungen

Sieben Leistungen, alle online.

Sie laden Firmware oder Unterlagen hoch, und die Analyse startet von selbst; alles Dringende prüft ein Mensch. Die Entwürfe der ENISA-Meldungen und der Meldekanal sind in der Überwachung enthalten.

01 · Hersteller und Eigenmarken

Für Hersteller und Eigenmarken.

Trägt das Produkt Ihren Namen oder Ihre Marke, haben Sie die Pflichten des Herstellers, egal ob Sie es selbst hergestellt haben oder ein anderes Unternehmen für Sie (Art. 3 Nr. 13 und Art. 21). Die Meldepflicht gilt bereits.

Firmware-Analyse

Sie laden die kompilierte Firmware oder die Komponentenliste aus Ihrem Build-System hoch, und die Plattform analysiert sie selbstständig: was das Produkt enthält, in welchen Versionen und welche bekannten Schwachstellen es mitbringt. Wenn Sie unter Ihrer Marke verkaufen und die Firmware nicht haben, fragen Sie das Unternehmen, das das Gerät für Sie herstellt. Gemessen am öffentlichen Image von OpenWrt 25.12.5 im Oktober 2026: Die Komponentenliste erreichte bei den Prüfungen nach BSI TR-03183-2 9,6 von 10 Punkten, gegenüber 2,5 direkt aus dem Scanner, und ihren Komponenten wurden 610 bekannte Schwachstellen zugeordnet.

Eine Software-Stückliste (SBOM) im Format CycloneDX, mit einer Kennzahl für ihre Qualität
Die bekannten Schwachstellen jeder Komponente, sortiert nach Schweregrad und danach, ob sie ausgenutzt werden
Die wahrscheinliche CRA-Kategorie des Produkts, ermittelt mit derselben Logik wie im Selbsttest
Ein technischer Bericht auf der Plattform

Tägliche Überwachung

Wir halten die Komponentenliste jeder Version aktuell und gleichen sie jeden Tag mit öffentlichen Schwachstellenquellen und den Katalogen ausgenutzter Schwachstellen ab (CISA KEV und die europäische Schwachstellendatenbank der ENISA, EUVD).

Eine Warnung, sobald wir eine ausgenutzte Schwachstelle sehen, die eine Komponente Ihres Produkts betrifft
Eine schriftliche Entscheidung zu jeder relevanten Schwachstelle: ob sie Sie betrifft und warum
Eine regelmäßige Zusammenfassung dessen, was geprüft wurde
Ein Nachweis, dass Sie überwacht haben, für eine Behörde oder einen Kunden, der danach fragt

Meldungen über die Plattform der ENISA

Wenn Sie melden müssen, läuft die Uhr. Die Plattform eröffnet einen Fall mit den Fristen für 24 Stunden, 72 Stunden und den Abschlussbericht und bereitet jedes Feld der einheitlichen Meldeplattform der ENISA auf Englisch vor, mit einer Übersetzung in Ihre Sprache daneben, damit Sie alles prüfen können. Die Meldung geht an das CSIRT des Mitgliedstaats, in dem Ihre Hauptniederlassung liegt (Art. 14 Abs. 7). Die Plattform der ENISA hat keine API, deshalb reicht ein Mensch jede Meldung ein: Das geschieht nicht automatisch.

Frühwarnung: 24 Stunden
Meldung: 72 Stunden
Abschlussbericht: 14 Tagenachdem die Korrektur verfügbar ist; bei einem schwerwiegenden Sicherheitsvorfall einen Monat nach der Meldung

Entwürfe der Frühwarnung (24 Std.), der Meldung (72 Std.) und des Abschlussberichts
Ein Hinweis für Ihre betroffenen Nutzer (Art. 14 Abs. 8)
Einreichung durch Ihren primären Vertreter, also die Person, die für Ihr Unternehmen auf der Plattform der ENISA registriert ist, oder durch uns als sekundären Vertreter mit Ihrer Genehmigung
Bis Ihr primärer Vertreter verifiziert ist und uns eingeladen hat, reicht er die Meldung mit unserem Text ein
Ein Protokoll, wer welche Meldung wann eingereicht hat

Meldekanal für Schwachstellen

Für Produkte, die Sie ab dem 11. Dezember 2027 in Verkehr bringen, verlangt der CRA eine Strategie für die koordinierte Offenlegung von Schwachstellen und eine Adresse, unter der man Ihnen Schwachstellen melden kann. Wir richten beides ein und nehmen die Meldungen für Sie entgegen.

Eine Strategie für die koordinierte Offenlegung von Schwachstellen, auf Englisch und in Ihrer Sprache
Eine security.txt-Datei auf Ihrer Website, jede Woche geprüft
Eine Meldeadresse auf Ihrer Domain, die bei uns ankommt
Eine erste Antwort an die meldende Person und ein Vorschlag für Sie

Automatisierter Sicherheitstest für Cloud, Web und API

Er prüft den Teil Ihres Produkts, der im Internet liegt: die Cloud, die Website und die API, mit denen Gerät und App kommunizieren. Claude, das KI-Modell von Anthropic, führt ihn mit einem festen Satz nicht zerstörerischer Werkzeuge aus, nur auf Domains, die Sie per DNS-Eintrag oder Datei auf Ihrer Website als Ihre bestätigt haben, und nur mit Ihrer online unterzeichneten Genehmigung, in der Sie Umfang und Zeitfenster festlegen. Heute ist der Test passiv: Er wertet nur aus, was normale Anfragen zeigen. Portscans und vorlagenbasierte Prüfungen kommen später.

passive Prüfungen heute: DNS · Zertifikate und TLS · Header · E-Mail · security.txt · Subdomains

Befunde mit Schweregrad (CVSS 4.0) und Hinweisen zur Behebung
Jeder Befund den Anforderungen aus Anhang I des CRA zugeordnet
Ein Bericht auf der Plattform
Ein zweiter Durchlauf, sobald Sie die Befunde behoben haben

02 · Einführer und Händler

Für Einführer und Händler.

Ab dem 11. Dezember 2027 müssen Sie jedes Produkt prüfen, bevor Sie es in Verkehr bringen (Einführer, Art. 19) oder bevor Sie es verkaufen (Händler, Art. 20). Die Bestellungen für Ware, die nach diesem Datum verkauft wird, geben Sie im Laufe des Jahres 2027 auf.

was Sie nach Artikel 19 Absatz 2 prüfen müssen

Der Hersteller hat die Konformitätsbewertung durchgeführt und verfügt über die technische Dokumentation.
Das Produkt trägt die CE-Kennzeichnung, und die EU-Konformitätserklärung liegt bei.
Die Informationen und Anleitungen nach Anhang II liegen in einer Sprache bei, die die Nutzer verstehen.
Typ, Charge oder Seriennummer, die Kontaktdaten des Herstellers und das Ende des Unterstützungszeitraums sind angegeben.
Der Hersteller hat ein Verfahren zur Behandlung von Schwachstellen (Art. 19 Abs. 1 und Anhang I Teil II).

Außerdem müssen Sie die EU-Konformitätserklärung zehn Jahre lang aufbewahren, oder für den Unterstützungszeitraum, falls er länger ist (Art. 19 Abs. 6). Erfahren Sie von einer Schwachstelle, müssen Sie den Hersteller informieren und, bei einem erheblichen Risiko, die Marktüberwachungsbehörden (Art. 19 Abs. 5).

Lieferanten- und Produktprüfung

Für jedes Modell, das Sie importieren, prüfen wir, was Artikel 19 des CRA verlangt, bevor Sie es in den Verkauf bringen, und bewahren die Nachweise auf, falls eine Behörde fragt. Ihre Lieferanten können Unterlagen und Firmware über eine Einladung von Ihnen direkt auf die Plattform hochladen, auf einer Seite auf Englisch.

Die Checkliste nach Art. 19 für jedes Modell, mit Nachweisen und Status
Firmware-Analyse: was darin steckt und welche bekannten Schwachstellen sie enthält, um zu sehen, ob das Produkt zu seinen Unterlagen passt
Eine technische Einschätzung zu jedem Modell
Die EU-Konformitätserklärung und die Akte, zehn Jahre lang archiviert
Überwachung der Modelle, solange Sie sie verkaufen, mit einer Warnung, wenn eine schwere Schwachstelle auftaucht

Schnellprüfung vor dem Kauf

Bevor Sie eine Bestellung abschließen, schicken Sie uns Unterlagen und Firmware eines Modells, und wir geben Ihnen eine technische Einschätzung, ob Sie es mit dem, was vorliegt, ab dem 11. Dezember 2027 verkaufen können: geeignet, mit Zweifeln oder nicht geeignet, jeweils mit Begründung.

Eine Einschätzung in drei Stufen, mit Begründung
Was dem Lieferanten fehlt, damit Sie es anfordern können
Bekannte Schwachstellen in der Firmware

Abrechnung

Pro Produkt oder Modell und Monat.

Firmware-Analyse: Einmalig, wenn Sie das Produkt anlegenvon Ihnen Kompilierte Firmware oder eine SBOM
tägliche Überwachung: Pro Produkt und Monatvon Ihnen Jede neue Firmware-Version
ENISA-Meldungen: In der Überwachung enthaltenvon Ihnen Der Sachverhalt und Ihre Prüfung jedes Entwurfs
Meldekanal: In der Überwachung enthaltenvon Ihnen Eine Sicherheitsadresse auf Ihrer Domain, an uns weitergeleitet
Sicherheitstest: Pro Test oder in der Monatsgebührvon Ihnen Bestätigung der Domain und eine unterzeichnete Genehmigung
Lieferantenprüfung: Pro Modell und Monatvon Ihnen Eine Einladung an jeden Lieferanten
Schnellprüfung: Pro Prüfungvon Ihnen Unterlagen und Firmware eines Modells

Die Preise stehen in einem schriftlichen Angebot für die Produkte oder Modelle, die wir abdecken sollen.

Grenzen

Was wir nicht tun.

Wir zertifizieren keine Produkte und sind keine notifizierte Stelle: Artikel 39 des CRA schließt das für alle aus, die auch beraten.
Wir entscheiden nicht, was gemeldet wird. Diese Pflicht hat der Hersteller: Wir bereiten die Meldung vor und reichen sie mit Ihrer Genehmigung ein.
Wir testen nicht das physische Gerät, weder im Labor noch über Funk. Alles, was wir heute anbieten, läuft online.
Wir führen noch keine aktiven Scans durch. Der automatisierte Test wertet nur aus, was normale Anfragen zeigen.
Wir testen nichts, von dem Sie nicht nachgewiesen haben, dass es Ihnen gehört, und nichts ohne Ihre schriftliche Genehmigung.

Plattform in der EU gehostet

wie wir anfangen

Ein Produkt reicht für den Anfang.

01Sie schreiben uns Welche Produkte Sie herstellen oder importieren, wie sie vernetzt sind und wo Sie sie verkaufen.
02Wir antworten mit einem Angebot Mit einer ersten Einschätzung, was der CRA von Ihnen verlangt und bis wann, und einem Preis pro Produkt für die Leistungen, die Sie brauchen.
03Gegenseitiges NDA Unterzeichnet, bevor wir Ihre Firmware, Ihren Code oder Ihre Lieferanten sehen.
04Einladung zur Plattform Ein Konto auf app.duravigil.com, auf dem Sie Firmware oder Unterlagen hochladen; die Analyse startet von selbst. Eine offene Registrierung gibt es nicht.
05Tägliche Überwachung Ab dann prüfen wir jedes Produkt oder Modell jeden Tag, über seinen Unterstützungszeitraum oder solange Sie es verkaufen, monatlich abgerechnet.

Angebot anfordern Selbsttest starten