Trust Assessment.
Abgegrenzte Prüfung von Bestand, SBOM und Nachweisen für ein vereinbartes Release.
Wenn Kunden, Audits oder der Cyber Resilience Act belastbare Nachweise verlangen, reicht eine Selbstauskunft nicht. Im Trust Assessment prüfen wir den vereinbarten Umfang anhand der bereitgestellten Artefakte und halten Evidenz, Befunde, Prüfgrenzen und Maßnahmen im Trust Report fest.
- Umfang
- Ein vereinbartes Produkt bzw. Release
- Ergebnis
- Trust Report
- Grundlage
- Bereitgestellte Artefakte und Nachweise
- Preis
- Nach Scoping, im Angebot
Wenn aus Orientierung ein Nachweis werden muss.
Kundenanforderung
Ein Kunde fragt eine aktuelle SBOM oder Nachweise zur Schwachstellenbehandlung für ein bestimmtes Release an.
Audit oder Beschaffung
Für eine Prüfung, Ausschreibung oder Lieferantenbewertung brauchen Sie eine nachvollziehbare Darstellung von Bestand, Befunden und offenen Punkten.
CRA-Vorbereitung
Sie wollen wissen, wo Ihr Release bei SBOM, Schwachstellenbehandlung und Nachweisen steht, bevor die Anforderungen ab Dezember 2027 vollständig gelten.
Der Prüfumfang steht fest, bevor wir anfangen.
Jedes Assessment wird einzeln abgegrenzt. Im Angebot stehen:
- Produkte und Releases im Umfang
- Artefakte, Repositories und SBOM-Typen, die geprüft werden
- Berechtigungen, Datenklassen und Austauschwege
- Quellen, Werkzeuge und Prüftiefe
- Fristen, Preis und ausdrückliche Ausschlüsse
Was wir von Ihnen brauchen.
- eine technische Ansprechperson und kurze Freigabewege
- die vereinbarten Artefakte, SBOMs oder Zugänge über einen abgestimmten Austauschweg
- Angaben zu Versionen, Build und Einsatzumgebung, soweit für den Umfang nötig
- Entscheidungen zu Prioritäten und Maßnahmen, die nur Sie treffen können
Aufbau des Trust Reports.
Der Trust Report folgt einer festen Struktur, damit Management, Technik und Compliance dieselbe Grundlage haben.
- 01
Management-Zusammenfassung
Anlass, belegte Ergebnisse, wesentliche Risiken, bekannte Lücken und empfohlene nächste Schritte. Ohne pauschale Vertrauensnote.
- 02
Scope, Methode und Grenzen
Was geprüft wurde, womit, mit welchen Berechtigungen und was ausdrücklich nicht geprüft wurde.
- 03
Identitäten und Evidenz
Release-, Artefakt- und SBOM-Identitäten mit Prüfsummen, Werkzeug- und Datenstand sowie Zeitpunkten.
- 04
Inventar und Abdeckung
Bekannte Komponenten, direkte und transitive Abhängigkeiten, tatsächlich geprüfte Artefakte und nicht abgedeckte Bereiche.
- 05
Sicherheitsbefunde
Je Befund Komponente, Quelle, Evidenz, Relevanz, Priorität, Verantwortung und Status. Ein Fund ist keine bestätigte Ausnutzbarkeit.
- 06
Herkunft und Integrität
Bezugsquellen, Signaturen, Prüfsummen und Build-Nachweise, getrennt nach geprüft, nicht geprüft und nicht verfügbar.
- 07
OSS- und Lizenzgovernance
Lizenzfunde und offene fachliche Bewertungen. Keine Rechtsberatung und keine pauschale Compliance-Bescheinigung.
- 08
Maßnahmenplan
Priorisierte Maßnahmen mit verantwortlicher Rolle, Termin und Abhängigkeiten.
- 09
Nachprüfung
Wenn vereinbart: Methode, Stand und Ergebnis der Nachprüfung; nicht durchgeführte Nachprüfungen bleiben als offen markiert.
- 10
Nachweisregister
Referenzen auf SBOMs, Prüfsummen, Werkzeug- und Datenstände sowie Regeln zu Zugriff und Aufbewahrung.
Vier Schritte.
- 01
Erstgespräch
Anlass, Produkt und gewünschtes Ergebnis klären. Ein vorheriger Trust Check ist hilfreich, aber keine Voraussetzung.
- 02
Scoping und Angebot
Umfang, Mitwirkung, Austauschwege, Fristen und Preis schriftlich festlegen.
- 03
Prüfung
Bereitgestellte Artefakte und Nachweise im vereinbarten Umfang prüfen und Befunde dokumentieren.
- 04
Report und Übergabe
Trust Report nach fachlichem Review übergeben, Maßnahmen besprechen, auf Wunsch Nachprüfung vereinbaren.
Was das Trust Assessment nicht ist.
- kein Zertifikat und keine CRA- oder NIS2-Konformitätsgarantie
- kein Penetrationstest und kein vollständiger Secure-Code-Audit
- keine Rechtsberatung
- keine Aussage über Bereiche außerhalb des vereinbarten Umfangs; nicht geprüft bedeutet nicht sicher
Upstream-Services für die Umsetzung.
Für die Maßnahmen aus dem Report können Sie anschließend Upstream-Services beauftragen: Governance und SBOM-Management, Schwachstellen-Triage oder Patch-Recherche. Das ist optional und wird separat vereinbart.
Zu den Upstream-ServicesHäufige Fragen.
Was kostet ein Trust Assessment?
Der Preis hängt vom Umfang ab, etwa von Anzahl und Art der Artefakte und der Prüftiefe. Nach dem Erstgespräch erhalten Sie ein abgegrenztes Angebot mit Umfang, Mitwirkung, Fristen und Preis.
Muss ich vorher den Trust Check machen?
Nein. Der kostenlose Trust Check gibt eine erste Orientierung und hilft beim Scoping, ist aber keine Voraussetzung.
Brauchen Sie unseren Quellcode?
Nicht zwingend. Was geprüft wird, legen wir im Scoping fest; häufig genügen SBOMs, Build-Artefakte und vorhandene Nachweise. Vertrauliche Daten tauschen wir nur über einen vorher abgestimmten Weg aus.
Ist der Trust Report ein Zertifikat?
Nein. Er dokumentiert Evidenz, Befunde, Prüfgrenzen und Maßnahmen für den vereinbarten Umfang. Er ersetzt weder eine Zertifizierung noch eine rechtliche Konformitätsbewertung.
Lassen Sie uns den Umfang klären.
Im Erstgespräch klären wir Anlass, Produkt und den sinnvollen Prüfumfang. Danach erhalten Sie ein abgegrenztes Angebot.