Behalten Sie Dependency-Track. Behalten Sie Ihre SBOM-Pipeline. Behalten Sie Slack. CRAnotify hängt sich an deren Ende und macht aus ihren Funden einen regulatorischen Fall mit Frist, manipulationssicherem Registereintrag und Dossier. Es ersetzt keines davon.
Ein Signal ist nie eine Einreichung. Alles, was hereinkommt, wird ein Fall, den eine Person lesen, einstufen und freigeben muss. CRAnotify sendet nie etwas an eine Behörde an Ihrer Stelle: Es bereitet die Einreichung vor, Sie reichen sie auf der zentralen Meldeplattform der ENISA ein, mit bereits geschriebener Meldung.
Ein security.txt und ein öffentliches Formular pro Produkt bedeuten, dass die Meldung mit Datum und Uhrzeit in Ihrem Register landet, nicht in irgendeinem Postfach. Kommt sie stattdessen per Telefon, legen Sie den Fall von Hand an.
Pushen Sie CycloneDX oder SPDX direkt aus dem Build, oder verbinden Sie Dependency-Track mit URL und API-Token. Komponenten und Schwachstellen liegen neben dem Produkt — wenn Sie die Meldung schreiben, ist die Frage nach den betroffenen Produkten schon beantwortet.
Die 24-Stunden-Frühwarnung, die 72-Stunden-Meldung und jede Eskalation erscheinen in Slack oder Teams — oder auf einem Endpunkt von Ihnen, per Webhook oder API. Der Countdown selbst lebt im Fall: Fällt ein Kanal aus, verschiebt sich die Frist nicht.
Jede Zeile sagt, was heute ist. „Verfügbar“ ist keine Behauptung in diesem Text: Es wird aus dem laufenden Code gelesen, sodass ein Konnektor, der nicht existiert, nicht als bereit erscheinen kann.
Woher die Stückliste Ihrer Produkte kommt.
| Technologie | Was sie Ihnen gibt | Wie Sie sie verbinden | Status |
|---|---|---|---|
 CycloneDX |
Die Stückliste des Builds, direkt im Fall | API · Push aus der CI | verfügbar |
 SPDX |
Dasselbe, wenn Ihre Toolchain SPDX spricht | API · Push aus der CI | verfügbar |
 GitHub |
Die Zusammensetzung Ihrer Repositories, ohne Abtippen | Mit einem Klick verbinden (OAuth) | geplant |
 GitLab |
Wie GitHub, auch für selbst betriebene Instanzen | Mit einem Klick verbinden (OAuth) | in Kürze |
 Dependency-Track |
Es scannt weiter, Sie tippen keine CVE mehr ab | Instanz-URL + API-Schlüssel | in Kürze |
 Snyk |
Projektinventar und Issues als Eingangsdaten | API-Token | in Kürze |
 Mend |
SCA als Quelle der Zusammensetzung | API-Token | geplant |
 JFrog Xray |
Artefakte und Scans aus der Registry | URL + API-Schlüssel | geplant |
Vorgeschlagene Treffer. Ob eine Schwachstelle ausgenutzt wird und ob sie Ihr Produkt betrifft, stufen Sie ein.
| Technologie | Was sie Ihnen gibt | Wie Sie sie verbinden | Status |
|---|---|---|---|
 OSV.dev |
Mögliche Treffer zwischen Ihren SBOMs und bekannten Schwachstellen | Keine Zugangsdaten: offener Feed | geplant |
 CISA KEV · EUVD · CVE |
Dieselben Treffer aus öffentlichen Katalogen. Es schlägt vor: die Ausnutzung stufen Sie ein | Katalog-URL | geplant |
Die Behebungsarbeit dort, wo sie ohnehin stattfindet. Ein gelöstes Ticket schlägt ein Datum vor: es legt es nicht fest.
| Technologie | Was sie Ihnen gibt | Wie Sie sie verbinden | Status |
|---|---|---|---|
 Jira |
Fall und Ticket bleiben dieselbe Geschichte. Cloud und Server/Data Center | OAuth oder Token für selbst betriebene Instanzen | geplant |
 ServiceNow |
Dasselbe für Teams, die Änderungen aus ServiceNow steuern | Instanz-URL + Zugangsdaten | in Kürze |
 Azure DevOps |
Repos und Boards an einem Ort | OAuth | geplant |
| GitHub Issues |
Wenn die Behebung schon in Issues lebt | Dieselbe Verbindung wie GitHub | geplant |
 Linear |
Für Teams, die dort arbeiten | OAuth | geplant |
Ein Spiegel des Dossiers. Das manipulationssichere Register bleibt in CRAnotify.
| Technologie | Was sie Ihnen gibt | Wie Sie sie verbinden | Status |
|---|---|---|---|
 Confluence |
Ein Spiegel des Dossiers dort, wo Ihre Dokumentation schon liegt. Das maßgebliche Register bleibt hier | OAuth oder Token für selbst betriebene Instanzen | geplant |
 Microsoft SharePoint |
Derselbe Spiegel, für Teams auf Microsoft 365 | OAuth (Graph) | geplant |
 Google Drive |
Derselbe Spiegel auf Workspace | OAuth | geplant |
Der Countdown dort, wo ihn wirklich jemand sieht.
| Technologie | Was sie Ihnen gibt | Wie Sie sie verbinden | Status |
|---|---|---|---|
 Webhook |
Fallereignisse, signiert in das System geschoben, das Sie schon betreiben | HTTPS-Endpunkt | verfügbar |
 Slack |
Der Countdown dort, wo das Team ohnehin hinschaut | Mit einem Klick verbinden (OAuth) | geplant |
 Microsoft Teams |
Dieselben Alarme, für Teams auf Microsoft | URL des Incoming Webhooks | geplant |
 PagerDuty |
Die 24-Stunden-Frist an die Person mit Rufbereitschaft, nicht an ein geteiltes Postfach | Routing-Key | geplant |
 Opsgenie |
Dasselbe, wenn die Rufbereitschaft in Opsgenie lebt | API-Schlüssel | geplant |
| Technologie | Was sie Ihnen gibt | Wie Sie sie verbinden | Status |
|---|---|---|---|
 Microsoft Entra ID |
Anmeldung mit der Unternehmensidentität, ohne ein weiteres Passwort | OIDC / SAML | geplant |
| Technologie | Was sie Ihnen gibt | Wie Sie sie verbinden | Status |
|---|---|---|---|
 ENISA · Single Reporting Platform |
Die Meldung fertig und im erwarteten Format vorausgefüllt. Die Einreichung bleibt Ihre Sache: Wir senden nichts an Ihrer Stelle, weder jetzt noch später | ENISA hat die offiziellen APIs noch nicht veröffentlicht | APIs nicht veröffentlicht |
Die Verbindungen bewegen die Daten. Was als meldepflichtige Schwachstelle zählt, wer sie freigibt und wann sie zur Behörde geht: Alle drei entscheiden Sie. Was CRAnotify tut, ist jeden Schritt dieser Entscheidung festzuhalten, in Reihenfolge, mit Zeitstempel — der Teil, den Sie brauchen, wenn Sie Monate später jemand fragt, warum Sie getan haben, was Sie getan haben.
Vor dem 11. September 2026
Kein Ergebnis für „“.
Versuchen Sie es mit einem Artikel der Verordnung (Art. 13, Art. 14), einem Produktbegriff (Dossier, Register, SBOM) oder schreiben Sie an support@cranotify.eu.