Das Problem
Wenn heute jemand fragt „ist die Schwachstelle CVE-X in Produkt Y verbaut?", können die wenigsten kleinen und mittleren Hersteller das aus dem Stand beantworten – vor allem, wenn Embedded-Linux, Zukaufkomponenten und Firmware verschiedener Generationen im Umlauf sind. Ab dem 11. September 2026 ist das keine Kür mehr, sondern für aktiv ausgenutzte Schwachstellen meldepflichtig.
Für wen
Der CRA Autopilot richtet sich an deutsche Hersteller mit digitalen Produktkomponenten – Maschinensteuerungen, Messgeräte, Sensorik, Gebäudeautomation, IoT, Industrie-PCs, Embedded-Linux-Produkte, Robotik, Ladegeräte, Zutrittskontrollen. Typischerweise 10 bis 250 Mitarbeitende, mit eigener Entwicklung, aber ohne dedizierte Security- oder Compliance-Funktion.
Was der CRA Autopilot leisten wird
- SBOM-Erhebung, automatisiert wo möglich, manueller Upload als Fallback
- Kontinuierlicher CVE-Abgleich Ihrer Komponenten, mit Kennzeichnung aktiv ausgenutzter Schwachstellen
- Meldepflicht-Ampel pro Produkt und Version: unauffällig, beobachten, meldepflichtig
- Nachweis-Export: ein zeitgestempelter Bericht als Beleg, dass Sie sich gekümmert haben – für den Ernstfall und für Ausschreibungen
- Klartext-Erklärung jedes Fundes für Geschäftsführung ohne Security-Hintergrund
Kein Quellcode nötig
Ein häufiger Einwand zuerst beantwortet: Die SBOM-Erhebung liest ausschließlich Paketverwaltungs-Metadaten aus fertigen Artefakten – Docker-Images, Yocto-Manifeste, Lockfiles. Ihr proprietärer Anwendungscode wird nicht eingesehen, nicht hochgeladen, nicht gespeichert. Für besonders sicherheitssensible Kunden ist zusätzlich ein On-Premise-Scan geplant, bei dem nur die fertige SBOM zu uns übertragen wird.
Pilotphase statt Warteliste.
Der CRA Autopilot entsteht gerade – mit echten Herstellern aus Robotik-, Embedded- und Industrieumfeld. Fordern Sie den kostenlosen Betroffenheits-Check an, und wir melden uns persönlich.
