Wissen, was Sie ausgeliefert haben. Weiter scannen. Meldebereit sein.

Jedes ausgelieferte Firmware-Release im Blick. Alarm, sobald eine Komponente darin aktiv ausgenutzt wird. Die Meldung nach Artikel 14 liegt bereit.

Mit einem Produkt starten CRA-Walkthrough buchen

Provisioner ist Open Source, Apache 2.0·Auf GitHub ansehen

Für Hersteller im Sinne des EU-CRA. Kein CE-Kennzeichnungs-Tool, keine notifizierte Stelle.

So funktioniert es

Sie sagen alloy-it, was Sie ausgeliefert haben. alloy-it überwacht es weiter. Wird etwas ausgenutzt, sind Sie bereit.

Sie richten ein

ProduktGW-4200 Gateway

v2.4.1Hersteller-SBOM
v2.3.0Firmware-Binary
v2.2.0SBOM aus der CI

alloy-it

Produktinventar pro Release

Laufend gegen Schwachstellendaten gescannt, jeder Fund bewertet

Sie steuern

Für Behörden
Exploit-Incidents & Meldungen nach Artikel 14
24h-/72h-/14-Tage-Pakete, bereit zur Einreichung bei ENISA
Für Kunden
Sicherheitshinweise
Ihre öffentliche Advisory-Seite, CSAF und PDF
Für Ihr Team
Alarme, Triage & Nachweise
PSIRT-Alarme, begründete Entscheidungen, ein Neubau-Pfad

So sieht es im Produkt aus

alloy-it · Meldung · Exploit-Vorfälle

Exploit-ID	CVE	Produkt	Erste Kenntnis	24h-Frühwarnung	72h-Meldung	14d final	Status
EXP-2026-004	CVE-2026-1337	GW-4200 Gateway	vor 68 Std.	gesendet	in 4 Std.	in 12 T.	Meldung
EXP-2026-003	CVE-2026-0912	TX-90 Sensor	vor 3 T.	gesendet	gesendet	in 9 T.	Patch in Arbeit
EXP-2026-002	CVE-2025-8841	GW-4200 Gateway	vor 22 T.	gesendet	gesendet	eingereicht	Geschlossen

alloy-it bereitet die Nutzlast vor und verfolgt die Uhr. Sie reichen bei ENISA oder Ihrem nationalen CSIRT ein.

Jede ausgenutzte CVE bekommt ihre 24h-/72h-/14-Tage-Uhr, betroffene Releases sind bereits abgegrenzt. Sehen, was die Frist verlangt →

Gebaut für den Hersteller im Sinne der Verordnung

Für Sie

Hersteller

Artikel 13 und 14

Ebenfalls für Sie

Wesentliche Veränderung

Als Hersteller behandelt

Die Teams in dieser Organisation

Produktsicherheit und PSIRT

Lebendes Inventar, Triage, Kenntnis festhalten, SRP-fertiges Paket.

OEMs und industrielle Anbieter

Lange Supportzeiträume, Hersteller- versus Firmware-SBOM, Nachweispakete.

Gateway-Hersteller

Produkte bereits im Feld, Release für Release, plus optionale SDK-Verteilung.

Nicht dieses Produkt

Bevollmächtigte, Einführer, die nur einführen, Händler, Open-Source-Stewards, notifizierte Stellen und Behörden sind nicht der Käufer.

Jede CRA-Rolle sehen, die wir bedienen und die wir nicht bedienen

Eine Schleife. Vier Fähigkeiten.

Keine Sammlung getrennter Tools. Monitor erkennt, Notify grenzt die Behördenmeldung ab, Trace back findet den Ursprung, Reproduce liefert den Fix. Plattform-Übersicht ansehen →

Überwachen

Produktinventar und kontinuierlicher Scan

Behörden benachrichtigen

Bereitschaft für Artikel 14

Zurückverfolgen

Komponente → Release → Nachweis

Reproduzieren

Neubau und Fix ausliefern

Bereitschaft ist weniger aufwendig, als Sie denken

Kein SBOM-Programm nötig, um zu starten. Beginnen Sie mit dem, was Sie ausgeliefert haben.

Hier starten

Meldebereit sein

1Produkte anlegen
2Firmware-Releases am Markt erfassen
3Melderidentität ausfüllen

Ausnutzung erklären: Die Uhr startet, betroffene Releases sind abgegrenzt, die 24h-/72h-/14-Tage-Nutzlasten sind erstellt.

Dann automatisieren

Kontinuierliche Überwachung hinzufügen

1SBOM pro Release anhängen, per Upload oder aus der CI
2Oder eine aus dem Firmware-Binary ableiten
3alloy-it laufend neu scannen lassen

Aktiv ausgenutzte CVEs öffnen einen Incident, bevor jemand die Nachrichten bemerken muss.

Mit einem Produkt starten Dokumentation lesen →

Wie alloy-it auf CRA-Pflichten abbildet

Was die Verordnung verlangt und was Sie bekommen.

Der CRA verlangtalloy-it liefert

Maschinenlesbare Produkt-SBOMCycloneDX / SPDX pro Release oder aus der Firmware abgeleitet
Eine SBOM, die aktuell bleibtEine SBOM pro Release, laufend neu gescannt
Umgang mit SchwachstellenTriage auf Komponentenebene mit Begründung und Historie
Meldung aktiv ausgenutzter Schwachstellen (Art. 14)KEV-/EUVD-Überlagerung, Kenntnis-Uhr, SRP-fertiges JSON
Technische DokumentationEin Nachweispaket pro Release
Sicherheitsupdates im UnterstützungszeitraumDie exakte Umgebung neu aufbauen, die das Release gebaut hat
Toolchain-SBOM (optionale Tiefe)Blueprint-SBOM inklusive Build-Abhängigkeiten

Keine CE-Kennzeichnungssoftware, keine notifizierte Stelle. alloy-it bereitet die Nutzlast nach Artikel 14 vor; Sie reichen sie bei ENISA oder Ihrem CSIRT ein.

Was sich für Ihr Team ändert

Überwachung, Meldung und Neubau, vorher und nachher.

Heute

ÜberwachungNiemand scannt die Firmware im Feld erneut
MeldungFreitag 23:00: ein Exploit ist öffentlich, niemand weiß, welche Releases betroffen sind
NeubauNur ein Engineer kann das alte Release noch bauen

Mit alloy-it

ÜberwachungJedes Release täglich neu gescannt, jeder Fund mit Begründung bewertet
MeldungIncident offen, betroffene Releases gelistet, Frühwarnung entworfen
NeubauJeder baut die Umgebung aus dem gepinnten Blueprint neu auf