servizi

Sette servizi, tutti online.

Caricate firmware o documenti e l'analisi parte da sola; una persona esamina ciò che è urgente. Le bozze delle notifiche all'ENISA e il canale di segnalazione sono inclusi nel monitoraggio.

01 · fabbricanti e marchi white label

Per fabbricanti e marchi white label.

Se il prodotto porta il vostro nome o il vostro marchio, che l'abbiate fabbricato voi o un'altra azienda per voi, avete gli obblighi del fabbricante (art. 3, punto 13, e art. 21). L'obbligo di notifica si applica già.

Analisi del firmware

Caricate il firmware compilato, o l'elenco dei componenti del vostro sistema di build, e la piattaforma lo analizza da sola: che cosa contiene il prodotto, in quali versioni e quali vulnerabilità note presenta. Se vendete con il vostro marchio e non avete il firmware, chiedetelo all'azienda che fabbrica il dispositivo per voi. Misurato sull'immagine pubblica di OpenWrt 25.12.5 a ottobre 2026: l'elenco dei componenti ha ottenuto 9,6 su 10 nei controlli BSI TR-03183-2, contro 2,5 così come esce dallo scanner, e ai suoi componenti sono state associate 610 vulnerabilità note.

Una distinta base del software (SBOM) in CycloneDX, con un punteggio della sua qualità
Le vulnerabilità note di ogni componente, ordinate per gravità e in base al fatto che siano sfruttate o meno
La probabile categoria CRA del prodotto, ricavata con la stessa logica del test
Un rapporto tecnico nella piattaforma

Monitoraggio quotidiano

Teniamo aggiornato l'elenco dei componenti di ogni versione e lo confrontiamo ogni giorno con le fonti pubbliche di vulnerabilità e con i cataloghi delle vulnerabilità sfruttate (il KEV della CISA e la banca dati europea delle vulnerabilità dell'ENISA, EUVD).

Un avviso appena vediamo una vulnerabilità sfruttata che colpisce un componente del vostro prodotto
Una decisione scritta su ogni vulnerabilità rilevante: se vi riguarda e perché
Un riepilogo periodico di ciò che è stato esaminato
Una traccia che dimostra che stavate sorvegliando, per l'autorità o il cliente che la chieda

Notifiche tramite la piattaforma dell'ENISA

Quando dovete notificare, il tempo corre. La piattaforma apre un caso con le scadenze di 24 ore, 72 ore e relazione finale, e prepara in inglese ogni campo della piattaforma unica di segnalazione dell'ENISA, con accanto la traduzione nella vostra lingua, perché lo rivediate. La notifica arriva al CSIRT dello Stato membro in cui avete lo stabilimento principale (art. 14, par. 7). La piattaforma dell'ENISA non ha API, quindi ogni notifica la presenta una persona: non è automatica.

preallarme: 24 h
notifica: 72 h
relazione finale: 14 giornida quando è disponibile la correzione; per un incidente grave, un mese dopo la notifica

Le bozze del preallarme (24 h), della notifica (72 h) e della relazione finale
Un avviso per gli utilizzatori interessati (art. 14, par. 8)
La presentazione da parte del vostro rappresentante principale, cioè la persona registrata per la vostra azienda sulla piattaforma dell'ENISA, oppure da parte nostra come rappresentante secondario, con la vostra autorizzazione
Finché il vostro rappresentante principale non è stato verificato e non ci ha invitati, presenta lui la notifica con il nostro testo
Un registro di chi ha presentato ogni notifica e quando

Canale di segnalazione delle vulnerabilità

Per le unità immesse sul mercato dall'11 dicembre 2027 il CRA chiede una politica di divulgazione coordinata delle vulnerabilità e un indirizzo a cui segnalarvi le falle. Prepariamo entrambi e riceviamo le segnalazioni per voi.

Una politica di divulgazione in inglese e nella vostra lingua
Un file security.txt sul vostro sito, controllato ogni settimana
Un indirizzo per le segnalazioni sul vostro dominio, che arriva a noi
Una prima risposta al ricercatore e una proposta per voi

Test di sicurezza automatico di cloud, web e API

Esamina la parte del vostro prodotto che vive su internet: il cloud, il sito web e le API con cui parlano il dispositivo e l'app. Lo esegue Claude, il modello di IA di Anthropic, con un insieme fisso di strumenti non distruttivi, solo sui domini che avete verificato come vostri con un record DNS o un file sul vostro sito, e solo con la vostra autorizzazione firmata online, in cui fissate il perimetro e la finestra temporale. Oggi il test è passivo: osserva solo ciò che mostrano le richieste normali. La scansione delle porte e i controlli basati su template arriveranno più avanti.

controlli passivi di oggi: DNS · certificati TLS · intestazioni · posta elettronica · security.txt · sottodomini

I risultati con la loro gravità (CVSS 4.0) e come correggerli
Ogni risultato collegato ai requisiti dell'allegato I del CRA
Un rapporto nella piattaforma
Una seconda esecuzione dopo che avete corretto

02 · importatori e distributori

Per importatori e distributori.

Dall'11 dicembre 2027 dovrete verificare ogni prodotto prima di immetterlo sul mercato (importatore, art. 19) o prima di venderlo (distributore, art. 20). Gli ordini per la merce venduta dopo quella data si fanno nel corso del 2027.

cosa vi chiederà di verificare l'articolo 19, paragrafo 2

Che il fabbricante abbia svolto la valutazione della conformità e disponga della documentazione tecnica.
Che il prodotto rechi la marcatura CE e sia accompagnato dalla dichiarazione di conformità UE.
Che sia accompagnato dalle informazioni e dalle istruzioni dell'allegato II in una lingua facilmente comprensibile per gli utilizzatori.
Che siano indicati il tipo, il lotto o il numero di serie, i recapiti del fabbricante e la data di fine del periodo di assistenza.
Che il fabbricante abbia un processo di gestione delle vulnerabilità (art. 19, par. 1, e allegato I, parte II).

Dovrete inoltre conservare la dichiarazione di conformità UE per dieci anni, o per il periodo di assistenza se è più lungo (art. 19, par. 6). Se venite a conoscenza di una vulnerabilità, dovrete informarne il fabbricante e, in caso di rischio significativo, le autorità di vigilanza del mercato (art. 19, par. 5).

Verifica di fornitori e prodotti

Per ogni referenza che importate verifichiamo ciò che l'articolo 19 del CRA richiede prima di metterla in vendita, e conserviamo le prove nel caso un'autorità le chieda. I vostri fornitori possono caricare documenti e firmware direttamente sulla piattaforma a partire da un vostro invito, su una pagina in inglese.

La lista di controllo dell'art. 19 per ogni referenza, con le prove e il loro stato
L'analisi del firmware: che cosa contiene e quali vulnerabilità note ha, per vedere se il prodotto corrisponde ai documenti
Un verdetto tecnico su ogni referenza
La dichiarazione di conformità UE e il fascicolo archiviati per dieci anni
Il monitoraggio delle referenze finché le vendete, con un avviso se compare una vulnerabilità grave

Verifica rapida prima dell'acquisto

Prima di chiudere un ordine ci mandate la documentazione e il firmware di un modello, e vi diamo un verdetto tecnico sulla possibilità di venderlo dall'11 dicembre 2027 con quello che c'è: idoneo, dubbio o non idoneo, e perché.

Un verdetto su tre livelli, con le sue ragioni
Che cosa manca al fornitore, così potete chiederglielo
Le vulnerabilità note del firmware

fatturazione

Per prodotto o referenza, al mese.

analisi del firmware: Una volta, quando aggiungete il prodottoda parte vostra Firmware compilato o una SBOM
monitoraggio quotidiano: Per prodotto al meseda parte vostra Ogni nuova versione del firmware
notifiche ENISA: Incluso nel monitoraggioda parte vostra I fatti, e la vostra revisione di ogni bozza
canale di segnalazione: Incluso nel monitoraggioda parte vostra Un indirizzo di sicurezza sul vostro dominio, inoltrato a noi
test di sicurezza: A test, o nel canone mensileda parte vostra Verifica del dominio e autorizzazione firmata
verifica dei fornitori: Per referenza al meseda parte vostra Un invito a ogni fornitore
verifica rapida: A verificada parte vostra Documentazione e firmware di un modello

I prezzi sono in una proposta scritta, per i prodotti o le referenze da coprire.

limiti

Cosa non facciamo.

Non certifichiamo prodotti e non siamo un organismo notificato: l'articolo 39 del CRA lo esclude per chi fa anche consulenza.
Non decidiamo che cosa si notifica. Quell'obbligo è del fabbricante: noi prepariamo la notifica e, con la vostra autorizzazione, la presentiamo.
Non testiamo il dispositivo fisico, né in laboratorio né via radio. Tutto ciò che offriamo oggi è online.
Non eseguiamo ancora scansioni attive. Il test automatico guarda solo ciò che mostrano le richieste normali.
Non testiamo nulla di cui non abbiate dimostrato la titolarità, e niente senza la vostra autorizzazione scritta.

Piattaforma ospitata nell'UE

come iniziamo

Per iniziare basta un prodotto.

01Ci scrivete Quali prodotti fabbricate o importate, come si collegano e dove li vendete.
02Rispondiamo con una proposta Un primo quadro di ciò che il CRA vi chiede e delle scadenze, e un prezzo per prodotto per i servizi di cui avete bisogno.
03NDA reciproco Firmato prima che vediamo il vostro firmware, il vostro codice o i vostri fornitori.
04Invito alla piattaforma Un account su app.duravigil.com, dove caricate il firmware o i documenti e l'analisi parte da sola. Non c'è una registrazione aperta.
05Monitoraggio quotidiano Da quel momento controlliamo ogni giorno ogni prodotto o referenza, per il suo periodo di assistenza o finché lo vendete, con fatturazione mensile.

Chiedete una proposta Fate il test