CRA · Pentru CTO și echipe de securitate a produsului
CRA: de la semnal public la o evaluare documentată.
Pentru producătorii de software și dispozitive conectate din sfera CRA: reunește semnalele publice, prioritizează analiza, atribuie responsabili și documentează acțiunile în Awarely Monitor.
Fără card. Conturile noi eligibile primesc 14 zile Pro; fără abonament activ, accesul revine la Free.
Monitor sprijină evaluarea internă și pregătirea dovezilor. Raportarea oficială se face separat prin SRP; Monitor nu transmite notificări către ENISA și nu garantează conformitatea CRA.
Patru pași de testat cu un produs al tău
1. Identifică semnalele relevante
NVD, CISA KEV, EUVD și GitHub Security Advisories sunt colectate într-un ciclu programat la două ore. CVSS, EPSS de la FIRST și contextul KEV ajută la prioritizarea analizei. Verifică și ultima sincronizare în pagina Status.
2. Verifică produsul și versiunea
În Pro, importă CycloneDX JSON, SPDX JSON, package.json sau requirements.txt. Inventarul acceptă până la 1.000 de intrări. Potrivirea este confirmată pe versiune numai când datele permit; rezultatele la nivel de produs cer verificare. Un interval de versiuni declarat nu dovedește versiunea instalată.
3. Atribuie și documentează
Folosește asignări, statusuri, note și istoricul acțiunilor pentru CVE-ul analizat. Notează contextul produsului, raționamentul și sursele consultate. Pro adaugă SLA-uri interne de remediere și creare de tichete Jira/Linear după configurare.
4. Pregătește materialul pentru revizuire
Exportă lista CVE în CSV/XLSX și auditul în JSON/CSV. Starter și Pro includ Evidence Pack pe interval; Pro adaugă raportul Asset Exposure. Verifică acoperirea intervalului și completează separat cronologia luării la cunoștință, decizia de raportare și dovezile transmiterii în SRP.
Exemplu de evaluare în trial
Importă inventarul unui produs, alege un CVE relevant și verifică versiunea și condițiile de exploatare. Atribuie analiza unui coleg, adaugă concluzia în note și exportă evidența disponibilă. Folosește rezultatul pentru a evalua dacă Monitor se potrivește procesului echipei tale.
Alege planul după fluxul de evaluat
Starter — €59/lună: până la 5 utilizatori, statusuri, note, asignări, email pentru Critical, CSV/XLSX, audit și Evidence Pack cu fereastră de 90 de zile. Fără inventarul Pro sau integrările avansate.
Pro — €199/lună: până la 5 utilizatori, inventar/import SBOM, alerte pe severitățile acceptate prin email, Slack, Teams Workflows și webhook outbound semnat, SLA intern, Jira/Linear, rapoarte suplimentare, retenție de 12 luni și API de date CVE cu 50.000 de cereri/lună. Accesul depinde de rol și configurare; API-ul Monitor nu este API SRP.
Începe cu fluxul real al produsului
Creează contul, acceptă termenii și politica de confidențialitate, apoi confirmă emailul când ți se solicită. După autentificare, onboarding-ul din dashboard te conduce prin watchlist, alerte și invitația unui coleg. Inventarul este în Setări → Active. SSO enterprise OIDC este asistat și necesită configurare separată.
Ce trebuie completat prin procesul tău
- Ciclul de două ore este o programare de colectare, nu o garanție de prospețime sau livrare. Sursele publice pot publica târziu ori incomplet. Monitor nu detectează toate vulnerabilitățile sau incidentele și nu înlocuiește telemetria, testarea ori sesizările clienților.
- Inventarul este o listă de componente importate, nu un registru complet al lansărilor și nici un generator sau validator de conformitate SBOM. Corelarea nu demonstrează exploatabilitatea în produsul tău.
- SLA-ul intern de remediere nu este termenul legal CRA de raportare. Ora colectării unei înregistrări și ora din audit nu stabilesc automat momentul juridic al luării la cunoștință.
- Exporturile reflectă datele disponibile și retenția planului; nu constituie un dosar CRA complet ori un formular SRP. Evenimentele de audit au și o copie secundară S3 cu retenție, încercată de platformă, fără garanția că fiecare scriere ajunge acolo.
Repere CRA pentru evaluarea echipei
Articolul 14 se aplică producătorilor din 11 septembrie 2026, inclusiv pentru produse vechi din sferă. Cerințele principale CRA și obligațiile specifice ale open-source software stewards din art. 24(3) se aplică din 11 decembrie 2027. SaaS nu intră automat în sferă: analizează definiția procesării la distanță. Regulamentul CRA
CRA stabilește obligații pentru producători, legate de produs. NIS2 stabilește măsuri de gestionare a riscurilor pentru entitățile din sferă, inclusiv securitatea furnizorilor. O organizație poate intra sub ambele. Securitatea furnizorilor sub NIS2 · Monitor pentru NIS2
Raportarea privește vulnerabilități exploatate activ și incidente grave care afectează securitatea produsului. Un CVE, CVSS sau EPSS singur nu declanșează automat raportarea. Pentru componente terțe, FAQ-ul Comisiei §5.4 cere analiza produsului: o vulnerabilitate care nu poate fi exploatată în acesta nu este supusă acestei raportări obligatorii. FAQ — Comisia Europeană
- 24 de ore
- Avertizare timpurie, fără întârziere nejustificată, de la luarea la cunoștință.
- 72 de ore
- Notificare, fără întârziere nejustificată, de la aceeași luare la cunoștință; nu după etapa de 24 de ore.
- Raport final
- Vulnerabilități: cel mult 14 zile după disponibilitatea unei măsuri corective sau de atenuare. Incidente grave: o lună după notificarea din etapa de 72 de ore. Cele 14 zile nu sunt un termen general de patching.
Comisia Europeană: obligațiile de raportare
SRP este operațională din 11 septembrie 2026. La verificarea din 13 septembrie, FAQ-ul ENISA actualizat la 12 septembrie precizează că la lansare nu există API de transmitere: notificările se depun în interfața SRP. FAQ ENISA
Context și surse · verificate la 13 septembrie 2026
Monitor sprijină evaluarea internă și pregătirea dovezilor. Raportarea oficială se face separat prin SRP; Monitor nu transmite notificări către ENISA și nu garantează conformitatea CRA.
Începe trial-ul Pro de 14 zile