CSAF 2.0 · Cyber Resilience Act · Made in Germany
Security Advisories, die ankommen.
Secvisory macht Sie zum CSAF Trusted Provider – ohne eigene Infrastruktur. Schreiben, prüfen, signieren und verteilen Sie Advisories und halten Sie jede CRA-Frist ein.
- Kostenloser Starter-Plan
- Hosting in Deutschland
- Kein Lock-in
app.secvisory.com/dashboard
Veröffentlicht
128
+12 diesen Monat
Abonnenten
2,418
+184
Feed-Abrufe
41.2k
letzte 7 Tage
Feed-Abrufe30 Tage
Neueste Advisories im Netzwerk live
Example CorpSVY-2026-0142TLP:CLEAR9.8 Kritisch
Nordwerk RoboticsNWR-SA-2026-019TLP:CLEAR7.2 Hoch
Muster MedicalMMA-2026-004TLP:CLEAR6.1 Mittel
Demo DevicesDD-2026-077TLP:CLEAR8.6 Hoch
Hersteller, die ihre Kunden schützen (Beispiel-Logos)
Beispiel Automation
Muster Medical
Demo Devices
Example Networks
Sample Smart Home
Placeholder Software
Muster Industrie
Nordwerk Robotics
Plattform
Alles, was ein Trusted Provider braucht
Von der ersten Zeile im Editor bis zum signierten ROLIE-Feed – in einer Plattform, die den Standard kennt.
Erstellen
CSAF-Editor mit Live-Validierung
Geführtes Formular, alle Felder oder rohes JSON – jede Eingabe wird sofort gegen alle CSAF-2.0-Tests geprüft. Optionale KI-Vorschläge beschleunigen Beschreibungen und Remediations.
app.secvisory.com/advisories/SVY-2026-0142/edit
GeführtAlle FelderJSON
Titel
Authentifizierungsumgehung im Web-Interface
CVE
CVE-2026-31337
CVSS v3.1
9.8
Produkt
Controller X200 · Firmware < 4.2.1
Remediation
Update auf Firmware 4.2.1 oder neuer
KI-Vorschlag übernehmen?
Validierung0/5
- 6.1.1 Fehlende Definition der Produkt-ID
- 6.1.7 Mehrere Scores mit gleicher Version
- 6.1.13 PURL-Syntax
- 6.1.27 Profil-Tests (Security Advisory)
- 6.3.x Informative Tests
Zur Prüfung einreichen
Zusammenarbeiten
Vier-Augen-Freigabe
Kein Advisory geht ungeprüft raus: Autor:innen reichen ein, Reviewer:innen geben frei. Jede Version bleibt nachvollziehbar und unveränderlich.
app.secvisory.com/reviews/SVY-2026-0142
SVY-2026-0142 · Version 2
eingereicht von Sofia M. · vor 12 Min
14"title": "Auth-Bypass im Web-Interface",
15−"cvss_v3": { "baseScore": 8.1 },
15+"cvss_v3": { "baseScore": 9.8 },
16"product_ids": ["CSAFPID-X200"],
17+"remediations": [{ "category": "vendor_fix" }]
TB
Thomas B.: Score passt jetzt zum Vektor. Freigabe ✓
1 KommentarSMTB
Verteilen
OpenPGP-Signaturen
Jedes Dokument wird signiert und gehasht. Eigene Schlüssel, Rotation und optional HashiCorp Vault Transit – private Schlüssel verlassen nie den Signer.
Verteilen
Trusted-Provider-Distribution
provider-metadata.json, ROLIE-Feeds, index.txt und changes.csv werden automatisch gepflegt – unter Ihrer eigenen Domain in /.well-known/csaf/.
example-corp.csaf.secvisory.com/.well-known/csaf/
/.well-known/csaf/
provider-metadata.json
white/
2026/
svy-2026-0142.json
svy-2026-0142.json.sha512
svy-2026-0142.json.asc
index.txt
changes.csv
feed-tlp-white.json
Kanonisiert
SHA-512 erzeugt
OpenPGP signiert
ROLIE-Feed aktualisiert
CDN invalidiert
0x7A3F…C91E
Ed25519 · rotiert 2026-09
Verteilen
Öffentliches Security-Portal
Ihre Marke, Ihre Advisories: Herstellerseite mit Suche nach CPE und PURL, Produktseiten, PDF-Export, CVD-Policy und Hall of Fame.
security.example-corp.com
EC
Example Corp · Security Center
CSAF Trusted Provider · 128 Advisories
pkg:generic/x200@4.2.0
Authentifizierungsumgehung im Web-Interface
SVY-2026-0142·Controller X200
Pufferüberlauf im Modbus-Parser
SVY-2026-0139·Gateway G5
Offenlegung von Konfigurationsdaten
SVY-2026-0131·HMI Panel 7
Schwache TLS-Konfiguration
SVY-2026-0127·Cloud Connector
Compliance
Produktkatalog & SBOM
Der Katalog entsteht aus Ihren product_trees. Versionsbereiche, End of Support und SBOMs in CycloneDX und SPDX an einem Ort.
app.secvisory.com/catalog
Produktkatalogaus product_tree abgeleitet
Controller X200CycloneDX
4.0.x4.1.x4.2.1
Gateway G5SPDX
2.3.02.4.x
HMI Panel 7End of SupportCycloneDX
1.9.x
Zusammenarbeiten
Abos & Benachrichtigungen
Kunden abonnieren Hersteller oder einzelne Produkte und werden sofort oder im täglichen Digest per E-Mail informiert.
Benachrichtigungenlive
Neues Advisory: Controller X200
SVY-2026-0142 · Kritisch 9.8 · Update verfügbar
Tagesdigest · 3 Advisories
Gateway G5, HMI Panel 7, Cloud Connector
Version 2 veröffentlicht
SVY-2026-0139 · Remediation ergänzt
Compliance
CRA-Fälle mit Art.-14-Fristen
24 Stunden Frühwarnung, 72 Stunden Meldung, Abschlussbericht: Fristen laufen ab Kenntnisnahme, Erinnerungen kommen automatisch, Entwürfe für ENISA sind vorbereitet.
app.secvisory.com/cra/cases/CRA-2026-007
CRA-2026-007 · Aktiv ausgenutzt
Kenntnisnahme: 08.10.2026, 06:14 Uhr
Frühwarnung in
17:42:09
24h
Frühwarnung
72h
Meldung
14d
Abschlussbericht
Fall angelegt, Zeitpunkt dokumentiert
Entwurf Frühwarnung vorbereitet
Freigabe durch CISO
So arbeitet Secvisory
Ein Workflow. Vom Fund bis zum Feed.
Scrollen Sie durch den Lebenszyklus eines Advisories.
01 · Erstellen
Schreiben ohne Spezifikation im Kopf
Der Editor führt durch alle Pflichtfelder, validiert live und zeigt Fehler, bevor sie entstehen.
- Geführt, alle Felder oder JSON
- Alle CSAF-2.0-Tests live
- Optionale KI-Vorschläge
app.secvisory.com/advisories/SVY-2026-0142/edit
GeführtAlle FelderJSON
Titel
Authentifizierungsumgehung im Web-Interface
CVE
CVE-2026-31337
CVSS v3.1
9.8
Produkt
Controller X200 · Firmware < 4.2.1
Remediation
Update auf Firmware 4.2.1 oder neuer
KI-Vorschlag übernehmen?
Validierung0/5
- 6.1.1 Fehlende Definition der Produkt-ID
- 6.1.7 Mehrere Scores mit gleicher Version
- 6.1.13 PURL-Syntax
- 6.1.27 Profil-Tests (Security Advisory)
- 6.3.x Informative Tests
Zur Prüfung einreichen
02 · Prüfen
Vier Augen sehen mehr
Reviewer:innen sehen Änderungen als Diff, kommentieren und geben frei. Erst dann wird veröffentlicht.
- Getrennte Rollen
- Unveränderliche Versionen
- Lückenloses Audit-Log
app.secvisory.com/reviews/SVY-2026-0142
SVY-2026-0142 · Version 2
eingereicht von Sofia M. · vor 12 Min
14"title": "Auth-Bypass im Web-Interface",
15−"cvss_v3": { "baseScore": 8.1 },
15+"cvss_v3": { "baseScore": 9.8 },
16"product_ids": ["CSAFPID-X200"],
17+"remediations": [{ "category": "vendor_fix" }]
TB
Thomas B.: Score passt jetzt zum Vektor. Freigabe ✓
1 KommentarSMTB
03 · Verteilen
Signiert. Gehasht. Gefunden.
Nach der Freigabe entstehen Signaturen, Hashes, ROLIE-Feeds und provider-metadata.json – unter Ihrer Domain.
- OpenPGP mit Schlüsselrotation
- /.well-known/csaf/ pro Hersteller
- CDN-Auslieferung
example-corp.csaf.secvisory.com/.well-known/csaf/
/.well-known/csaf/
provider-metadata.json
white/
2026/
svy-2026-0142.json
svy-2026-0142.json.sha512
svy-2026-0142.json.asc
index.txt
changes.csv
feed-tlp-white.json
Kanonisiert
SHA-512 erzeugt
OpenPGP signiert
ROLIE-Feed aktualisiert
CDN invalidiert
0x7A3F…C91E
Ed25519 · rotiert 2026-09
04 · Informieren
Kunden erfahren es zuerst
Abonnent:innen werden sofort oder im Digest benachrichtigt – genau für die Produkte, die sie einsetzen.
- Abos pro Hersteller oder Produkt
- Sofort oder täglicher Digest
- Öffentliches Portal mit Suche
Benachrichtigungenlive
Neues Advisory: Controller X200
SVY-2026-0142 · Kritisch 9.8 · Update verfügbar
Tagesdigest · 3 Advisories
Gateway G5, HMI Panel 7, Cloud Connector
Version 2 veröffentlicht
SVY-2026-0139 · Remediation ergänzt
app.secvisory.com/advisories/SVY-2026-0142/edit
GeführtAlle FelderJSON
Titel
Authentifizierungsumgehung im Web-Interface
CVE
CVE-2026-31337
CVSS v3.1
9.8
Produkt
Controller X200 · Firmware < 4.2.1
Remediation
Update auf Firmware 4.2.1 oder neuer
KI-Vorschlag übernehmen?
Validierung0/5
- 6.1.1 Fehlende Definition der Produkt-ID
- 6.1.7 Mehrere Scores mit gleicher Version
- 6.1.13 PURL-Syntax
- 6.1.27 Profil-Tests (Security Advisory)
- 6.3.x Informative Tests
Zur Prüfung einreichen
In Zahlen
Gebaut für den Ernstfall
0h
CRA-Frühwarnung immer im Blick
0%
CSAF-2.0-Tests bei jedem Upload
0 Min
bis zum ersten Advisory
0
Server, die Sie betreiben müssen
Use Cases
Für jede Branche mit Produkten im Feld
Vom Steuerungshersteller bis zum SaaS-Anbieter – Advisories, die Kunden wirklich nutzen.
Cyber Resilience Act
Die Uhr läuft. Sie sind vorbereitet.
Der CRA verpflichtet Hersteller, Schwachstellen zu behandeln, offenzulegen und aktiv ausgenutzte Lücken zu melden. Secvisory bildet die Anforderungen ab.
10. Dez. 2024
CRA tritt in Kraft
Die Verordnung (EU) 2024/2847 wird Teil des EU-Rechts.
11. Jun. 2026
Konformitätsbewertungsstellen
Regeln für die Notifizierung von Benannten Stellen gelten.
11. Sep. 2026
Meldepflichten nach Art. 14
Aktiv ausgenutzte Schwachstellen: 24h Frühwarnung, 72h Meldung.
11. Dez. 2027
Volle Anwendung
Alle Anforderungen inkl. Schwachstellenbehandlung nach Anhang I gelten.
Onboarding
In vier Schritten live
Kein Projekt, kein Rollout – ein Nachmittag.
1
Registrieren
Unternehmen anlegen und Team mit Rollen einladen.
2
Domain verifizieren
DNS-TXT-Eintrag setzen – fertig ist Ihr CSAF-Host.
3
Advisory erstellen
Im Editor schreiben oder bestehende Dokumente hochladen.
4
Veröffentlichen
Freigeben, signieren, verteilen – automatisch.
Stimmen
PSIRTs, die nachts besser schlafen
Wir waren in einer Woche CSAF Trusted Provider. Vorher hatten wir das für ein Jahresprojekt gehalten.
Lena Hoffmann
Head of PSIRT · Beispiel Automation GmbH
Die Vier-Augen-Freigabe bildet genau unseren QM-Prozess ab. Auditoren lieben das Audit-Log.
Thomas Berger
CISO · Muster Medical AG
Der Editor findet Fehler, bevor sie jemand anderes findet. Live-Validierung ist ein Gamechanger.
Sofia Marino
Product Security Engineer · Demo Devices
Die CRA-Fristen machen mir keine Sorgen mehr. Die Plattform erinnert uns, bevor es eng wird.
Jonas Weber
CTO · Sample Smart Home
Advisories kommen bei uns jetzt aus der Pipeline. Kein Copy & Paste, keine vergessenen Felder.
Daniel Kaya
Engineering Lead · Placeholder Software
Kein Lock-in, vollständiger Export, Hosting in Deutschland – das hat unseren Einkauf überzeugt.
Markus Lindner
Compliance Officer · Example Networks
Unsere Kunden abonnieren ihre Produkte selbst. Die E-Mail-Flut mit PDFs ist endlich vorbei.
Anna Schulz
Security Program Manager · Muster Industrie
Wir waren in einer Woche CSAF Trusted Provider. Vorher hatten wir das für ein Jahresprojekt gehalten.
Lena Hoffmann
Head of PSIRT · Beispiel Automation GmbH
Preise
Fair, transparent, ohne Überraschungen
Starten Sie kostenlos. Wachsen Sie, wenn Ihre Produktlinien wachsen.
Starter
Für kleine Hersteller, die ihre ersten Advisories CRA-konform veröffentlichen.
0€/ für immer
0€/ für immer
- bis 3 Produkte
- 12 Advisories pro Jahr
- 2 Benutzer
- CSAF Trusted Provider auf secvisory-Subdomain
- Öffentliches Security-Portal
- OpenPGP-Signaturen
- Vier-Augen-Freigabe
- Eigene Domain
- CRA-Fälle & Fristen
- API-Zugang
Beliebteste Wahl14 Tage testen
Professional
Für Produktteams und PSIRTs, die regelmäßig veröffentlichen.
189€/ Monat
monatlich kündbar
157€/ Monat
jährlich abgerechnet · 1.884 €/Jahr
- bis 50 Produkte
- unbegrenzt Advisories pro Jahr
- 10 Benutzer
- CSAF Trusted Provider auf secvisory-Subdomain
- Öffentliches Security-Portal
- OpenPGP-Signaturen
- Vier-Augen-Freigabe
- Eigene Domain
- CRA-Fälle & Fristen
- API-Zugang
Business
Für Hersteller mit vielen Produktlinien und vollem CRA-Prozess.
490€/ Monat
monatlich kündbar
408€/ Monat
jährlich abgerechnet · 4.896 €/Jahr
- unbegrenzt Produkte
- unbegrenzt Advisories pro Jahr
- unbegrenzt Benutzer
- CSAF Trusted Provider auf secvisory-Subdomain
- Öffentliches Security-Portal
- OpenPGP-Signaturen
- Vier-Augen-Freigabe
- Eigene Domain
- CRA-Fälle & Fristen
- API-Zugang
Enterprise
On-Premises, SLA und dedizierte Begleitung für Konzerne.
Individuell
Jahresvertrag
Individuell
Jahresvertrag
- unbegrenzt Produkte
- unbegrenzt Advisories pro Jahr
- unbegrenzt Benutzer
- CSAF Trusted Provider auf secvisory-Subdomain
- Öffentliches Security-Portal
- OpenPGP-Signaturen
- Vier-Augen-Freigabe
- Eigene Domain
- CRA-Fälle & Fristen
- API-Zugang
Alle Preise zzgl. USt. Jährliche Zahlung spart rund zwei Monatsbeiträge.
FAQ
Häufige Fragen
Was ist CSAF und warum brauche ich es?
Das Common Security Advisory Framework (CSAF 2.0) ist ein OASIS-Standard für maschinenlesbare Sicherheitshinweise. Das BSI empfiehlt CSAF, und mit dem Cyber Resilience Act müssen Hersteller Informationen zu behobenen Schwachstellen veröffentlichen und teilen. CSAF macht diese Informationen für Kunden automatisiert auswertbar.
Was bedeutet „Trusted Provider“?
Ein CSAF Trusted Provider stellt Advisories nach festen Regeln bereit: über TLS, mit provider-metadata.json, signiert mit OpenPGP, mit Hash-Dateien und ROLIE-Feeds. Secvisory erfüllt diese Anforderungen automatisch für Ihre Domain.
Brauche ich eigene Server oder Infrastruktur?
Nein. Secvisory betreibt die komplette Distribution. Sie verbinden nur Ihre Domain per DNS-Eintrag. Für Unternehmen mit besonderen Anforderungen gibt es eine On-Premises-Variante.
Kann ich bestehende Advisories übernehmen?
Ja. Laden Sie CSAF-JSON-Dateien oder ganze ZIP-Archive hoch – inklusive aller Versionen. Jedes Dokument wird beim Upload mit allen CSAF-Tests geprüft.
Gibt es eine kostenlose Testphase?
Der Starter-Plan ist dauerhaft kostenlos. Professional und Business können Sie 14 Tage ohne Zahlungsdaten testen.
Wie wird abgerechnet?
Monatlich oder jährlich per Rechnung, SEPA-Lastschrift oder Kreditkarte. Bei jährlicher Zahlung sparen Sie rund zwei Monatsbeiträge. Upgrades gelten sofort, Downgrades zum Ende der Periode.
Was passiert, wenn ich Limits überschreite?
Nichts wird gelöscht. Neue Objekte werden erst nach einem Upgrade möglich, bestehende Advisories bleiben öffentlich erreichbar.
Wo werden meine Daten gespeichert?
In Rechenzentren in Deutschland. Mandanten sind per PostgreSQL Row-Level-Security getrennt, private Schlüssel liegen ausschließlich im isolierten Signer-Dienst oder in Ihrem Vault. Ein AV-Vertrag nach DSGVO ist Teil jedes Plans.
Kann ich die Plattform verlassen?
Jederzeit. Der vollständige Export enthält Ihr CSAF-Verzeichnis mit Hashes und Signaturen, Katalog, SBOMs, Fälle und Audit-Log. Nach einer Kündigung bleibt Ihr öffentlicher Auftritt 12 Monate lesend erreichbar.
Welche CRA-Fristen unterstützt Secvisory?
Für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle nach Art. 14: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht. Die Fristen starten mit dem Zeitpunkt der Kenntnisnahme, Erinnerungen kommen automatisch.
Ist Secvisory eine Rechtsberatung?
Nein. Secvisory liefert die Werkzeuge und Prozesse, die der CRA verlangt. Für die rechtliche Bewertung Ihrer Produkte empfehlen wir Ihre Rechtsberatung oder Benannte Stelle.
Blog
Wissen für PSIRTs
Bereit für Ihr erstes signiertes Advisory?
Starten Sie kostenlos – ohne Kreditkarte, ohne Server, ohne Spezifikation auswendig zu lernen.