Roja Monitor verbindet laufende Schwachstellenüberwachung mit technischer Bewertung. Die Plattform gleicht die Software-Stücklisten unterstützter Produktversionen täglich mit öffentlich bekannten Schwachstellen ab. Ingenieure prüfen mit Ihnen, welche Treffer das Produkt tatsächlich betreffen. Bei relevanten Ereignissen helfen Meldefristen und vorbereitete Meldetexte, den weiteren Ablauf geordnet zu bearbeiten.
Jede unterstützte Version berücksichtigen
Ein neues Release ersetzt nicht automatisch die älteren Versionen bei Ihren Kunden. Für jede unterstützte Version wird deshalb ein validiertes Inventar benötigt. Wir stimmen Produktzuordnung, Supportstatus und Aktualisierung mit Ihrem Team ab. Eine neue SBOM muss ankommen, geprüft und mit dem richtigen Release verknüpft werden. Ein fehlender Übergabeschritt kann die Aussagekraft der Überwachung begrenzen.
Die Routineüberwachung erfolgt täglich. Hinweise auf aktiv ausgenutzte Schwachstellen werden innerhalb einer Stunde nach Erkennung weitergegeben. Das sind zwei unterschiedliche Zeitangaben. Keine davon verspricht, jede Schwachstelle zu entdecken. Einrichtung, unterstützte Versionen und Eskalationswege werden im Leistungsumfang festgelegt. Dazu gehört ein benannter Vorfallskontakt mit Vertretung.
Technische Bewertung mit Begründung
Ein Treffer aus einer öffentlichen Datenquelle sagt noch nicht, ob die betroffene Funktion im ausgelieferten Produkt erreichbar ist. Unsere Ingenieure prüfen die verfügbaren technischen Fakten mit Ihrem Team. Dazu gehören Komponentenidentität, Version, eingebundene Funktionen und vorhandene Schutzmaßnahmen. Die Entscheidung wird mit ihrer Begründung dokumentiert. VEX kann diese Bewertung strukturiert abbilden und später überprüfbar machen.
Die Tarife enthalten unterschiedliche monatliche Bewertungsumfänge: zehn, vierzig oder hundertzwanzig Befunde. Das ist kein unbegrenztes Entwicklungsbudget. Ein wiederkehrender Befund ohne neue technische Grundlage sollte nicht durch bloßes Wegklicken geschlossen werden. Offene Fragen werden als solche geführt, bis die nötigen Informationen oder Änderungen vorliegen. Das Portal hält Entscheidungen und Releasebezüge zusammen.
Meldeuhr und vorbereitete Texte
Die Meldepflicht nach Artikel 14 gilt seit 11. September 2026. Bei einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall ist der Kenntniszeitpunkt festzuhalten. Frühwarnung und weitere Meldung müssen unverzüglich innerhalb der jeweiligen Höchstfristen von 24 und 72 Stunden erfolgen. Der Abschlussbericht hat je nach Ereignis einen anderen Ausgangspunkt.
Roja bereitet kopierfertige Entwürfe für Ihren Meldeprozess vor. Sie prüfen und reichen ein. Bei einer Schwachstelle sind es spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme bis zum Abschlussbericht. Bei einem schwerwiegenden Sicherheitsvorfall ist es ein Monat nach der Meldung. Die tatsächliche Übermittlung und ihre Bestätigung werden von internen Entwürfen unterschieden.
Was gesondert beauftragt wird
Monitor enthält weder ein vollständiges Umsetzungsprojekt noch unbegrenzte Änderungen am Code. Labortests, externe Konformitätsbewertung und die Einreichung in Ihrem Namen sind nicht enthalten. Bereitschaftsanalyse und Umsetzung werden bei Bedarf gesondert vereinbart. Jährliche Vorauszahlung umfasst zwölf Monate Betreuung zum Preis von zehn Monatszahlungen. Die Preisseite nennt den gesamten Jahresbetrag ausdrücklich.
Von der Freigabe zum nutzbaren Ergebnis
Vor dem Start stimmen wir Produktgrenze, unterstützte Versionen und Zugriff ab. Benennen Sie einen technischen Ansprechpartner und eine Person, die Ergebnisse freigeben kann. Eine Modellbezeichnung allein genügt nicht, wenn mehrere Firmwarezweige, eine Begleit-App und notwendige Datenfernverarbeitung zusammenwirken. Die vereinbarte Grenze wird in Bestandsaufnahme, Bewertung und Dokumentation einheitlich verwendet.
Jeder bestätigte Befund erhält einen Versionsbezug und eine nachvollziehbare Begründung. Unvollständige Unterlagen bleiben als solche erkennbar. Wir dokumentieren, welche Schlussfolgerungen durch die vorhandenen Artefakte gedeckt sind und welche weiteren Prüfungen nötig werden. Ihr Entwicklungsteam kann damit erkennen, warum eine Aufgabe entsteht und wann sie als erledigt gelten kann.
Zum Abschluss besprechen wir Fakten, offene Fragen und nächste Maßnahmen. Jede Folgeaufgabe bekommt einen Verantwortlichen und einen Prüftermin. So bleibt die Arbeit nach einem Releasewechsel nutzbar. Der Hersteller verantwortet weiterhin Klassifizierung, Konformitätsentscheidungen, Meldungen und die Unterzeichnung der EU-Konformitätserklärung. Externe Unterstützung übernimmt konkrete Aufgaben innerhalb des vereinbarten Umfangs.
Leistungsumfang und Zusammenarbeit
Projekte werden zu 50 % im Voraus bezahlt. Die weiteren Zahlungen richten sich nach vereinbarten Meilensteinen. Rechnungen werden in Euro gestellt, zzgl. MwSt. Abonnementumfang und Abrechnung werden vor Aktivierung vereinbart. Labore und benannte Stellen haben eigene Aufgaben und gesonderte Kosten. Roja führt keine Penetrationstests durch und ist keine benannte Stelle.
Vorhandene Software-Stücklisten oder Build-Artefakte können als Einstieg dienen. Vollständiger Quellcodezugriff ist nicht automatisch erforderlich. Wenn die Unterlagen eine Aussage nicht tragen, benennen wir die Grenze und stimmen den nächsten Schritt ab. Senden Sie keine vertraulichen Artefakte über das Anfrageformular. Zuerst vereinbaren wir Freigabe und Übertragungsweg.
Wie sich diese Leistung in die Anforderungen einordnet, lesen Sie im CRA-Leitfaden. Relevant sind insbesondere die SBOM-Anforderungen und die Meldepflicht nach Artikel 14. Die Preisseite hilft, einmalige Vorbereitung und laufende Betreuung auseinanderzuhalten.
Häufige Fragen
Wer bleibt für die Konformität verantwortlich?
Der Hersteller verantwortet Klassifizierung, Konformitätsentscheidungen, Meldungen und die Unterschrift. Roja bereitet Nachweise und Entwürfe vor und unterstützt bei der technischen Arbeit.
Müssen wir sofort den vollständigen Quellcode bereitstellen?
Nein. Wir vereinbaren zuerst die erforderlichen Unterlagen. Eine vorhandene SBOM oder Build-Ausgabe kann genügen, um den Einstieg und erkennbare Grenzen zu klären.
Quellen
- Verordnung (EU) 2024/2847 – deutsche Fassung auf EUR-Lex
- ENISA: Fragen zur Single Reporting Platform
Allgemeine technische Informationen, geprüft am oben genannten Datum. Produktbezogene Auslegung, aktuelle Normen und das anwendbare Verfahren sind vor einer Konformitätsentscheidung gesondert zu prüfen.