--- title: "Shield Lifecycle: SBOM und CVE-Prüfung je Maschine | Edge SDN" description: "Shield Lifecycle pflegt SBOM und Angriffsfläche jeder ausgelieferten Maschine, prüft täglich neue CVEs und bereitet VEX, Meldungen und Sicherheitshinweise vor." url: https://www.edge-sdn.com/de/produkte/shield-lifecycle/ last_updated: 2026-11-01 --- Cyber Resilience Act · NIS-2 # Jedes ausgelieferte Produkt CRA‑bereit, Tag für Tag Shield Lifecycle ist ein Service für Softwarehersteller, Maschinenbauer und Systemintegratoren. Er begleitet Sie bis zur **EU-Konformitätserklärung** und hält die Nachweise über den gesamten **Produktlebenszyklus** aktuell. [Read in English](https://www.edge-sdn.com/products/shield-lifecycle/) · [Leggi in italiano](https://www.edge-sdn.com/it/prodotti/shield-lifecycle/) [Demo ansehen](https://www.edge-sdn.com/de/demo/) Viele CRA-Anforderungen, _eine_ Lösung. Vor dem Inverkehrbringen ## EU-Konformitätserklärung für jedes Produkt Der CRA-Teil der CE-Kennzeichnung - Jede grundlegende Anforderung aus Anhang I wird ihrem Nachweis zugeordnet - Software-Stückliste (SBOM), abgeglichen mit CVEs, samt CVSS und KEV - Angriffsfläche und automatische CVE-Bewertung mit VEX - Technische Dokumentation für die EU-Konformitätserklärung Sie unterschreiben die Erklärung. Shield Lifecycle bereitet die Nachweise vor. Nach der Auslieferung ## Behandlung von Schwachstellen für jedes Produkt, nicht nur für jedes Modell Ein automatischer Prozess bewertet neue Schwachstellen über den gesamten Unterstützungszeitraum 1. **Neue CVEs werden mit der SBOM jedes ausgelieferten Produkts abgeglichen** 2. **Ob ein Produkt angreifbar ist, wird an der realen Angriffsfläche bewertet, nicht nur an der Komponentenliste** 3. **VEX wird automatisch erstellt, auf Basis der realen Erreichbarkeit von außen** 4. **Die meisten CVEs sind nicht erreichbar und werden mit begründeter VEX-Aussage geschlossen** Shield Lifecycle informiert Sie über das, was zählt. Pflichtmeldungen und Updates ## Meldungen an das CSIRT und Sicherheitshinweise an Ihre Kunden Im Bild: eine Nachricht an den Lieferanten einer betroffenen Komponente, aus der Bewertung entworfen. Jede Frist des CRA, mit bereits entworfenem Text - Frühwarnung an das CSIRT (in Deutschland CERT-Bund im BSI) und die ENISA, innerhalb von 24 Stunden - Meldung der Schwachstelle, innerhalb von 72 Stunden - Abschlussbericht, spätestens 14 Tage, nachdem die Korrektur verfügbar ist - Ein Sicherheitshinweis für jeden betroffenen Kunden [Artikel 14](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F14) gilt für alle Produkte, auch für solche, die schon auf dem Markt sind ([Artikel 69 Absatz 3](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F69)). Der Kreislauf ## Der CRA endet nicht mit der Auslieferung. Die Prüfung läuft jeden Tag. 1. Zum Start ### Bestandsaufnahme Sie laden SBOM und Angriffsfläche jedes ausgelieferten Produkts hoch. 2. Jeden Tag ### Prüfung neuer CVEs Neue öffentliche CVEs werden mit jedem Produkt abgeglichen. 3. Wenn nicht erreichbar ### Automatische Bewertung Die Schwachstelle ist nicht erreichbar. Eine VEX-Aussage mit Begründung entsteht. Kein Handlungsbedarf. 4. Wenn erreichbar ### Warnung und Sicherheitshinweis Die Bewertung sinkt. Ihr Team wird benachrichtigt. Der Sicherheitshinweis an den Kunden liegt als Entwurf vor. 5. Nachweise ### Dokumentation Jeder Schritt wird nachverfolgt und protokolliert. Die SBOM sagt, was angegriffen werden kann. _Die Angriffsfläche sagt, wie._ Angriffsfläche verkleinern ### Edge Shield hilft Ihnen, das Risiko zu senken Ein intelligenter SDN-Switch macht die Maschine im Netz weniger sichtbar. Der Datenverkehr, den die Produktion braucht, wird gründlich geprüft und weitergeleitet. Alles andere bleibt gesperrt. - **Mikrosegmentierte Kommunikation ab Layer 2** - **Ein OT-Intrusion-Detection-System (IDS) prüft den Datenverkehr** - **Die exponierte Datenebene des Switches vergrößert die Angriffsfläche nicht** Möglichst geringe Angriffsflächen sind eine grundlegende Anforderung des [CRA (Anhang I Teil I Nummer 2 Buchstabe j)](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) und Teil der Risikomanagementmaßnahmen, die die [NIS-2-Richtlinie (Artikel 21)](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022L2555#art%5F21) von wesentlichen und wichtigen Einrichtungen verlangt. [Mehr zu Edge Shield EN](https://www.edge-sdn.com/products/edge-shield/) Vergleich ## Andere Werkzeuge decken einen Teil ab. Shield Lifecycle begleitet jedes Produkt, das Sie ausgeliefert haben. Bei den meisten vorhandenBei einigen oder teilweiseSelten oder nieTypische Funktionen je Kategorie, nach öffentlichen Produktinformationen, Stand September 2026. Einzelne Produkte können abweichen. Regulierung und Normen ## Wo Shield Lifecycle hilft - Dafür entwickelt **[Cyber Resilience Act](https://www.edge-sdn.com/de/regulierung/cyber-resilience-act/)**Verordnung (EU) 2024/2847 SBOM, Behandlung von Schwachstellen und VEX für jedes ausgelieferte Produkt, Meldungen nach Artikel 14, Sicherheitshinweise an Kunden und Dokumentation. [Artikel 13](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F13), [Artikel 14](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F14), [Anhang I](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#anx%5FI) - Hilft bei einem Teil **[Maschinenverordnung](https://www.edge-sdn.com/de/regulierung/maschinenverordnung/)**Verordnung (EU) 2023/1230 Führt die Liste der Software jeder ausgelieferten Maschine. [Anhang III Abschnitt 1.1.9](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32023R1230#anx%5F%C2%A0III) - Hilft bei einem Teil **[NIS-2 EN](https://www.edge-sdn.com/regulations/nis2/)**Richtlinie (EU) 2022/2555 Sicherheit der Lieferkette: Der Maschinenbauer antwortet seinen Kunden mit SBOM, VEX und Sicherheitshinweisen für jede ausgelieferte Maschine. [Artikel 21 Absatz 2 Buchstabe d und Absatz 3](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022L2555#art%5F21) - Hilft bei einem Teil **ISO/IEC 27001**Norm IKT-Lieferkette, aus Sicht des Lieferanten. - Hilft bei einem Teil **NIST Cybersecurity Framework 2.0**Framework Risikomanagement in der Lieferkette. FAQ ## Häufige Fragen ### Ist das ein CVE-Scanner? Nein. CVEs mit einer SBOM abzugleichen ist der einfache Teil, das können viele Werkzeuge. Shield Lifecycle beurteilt, ob jede CVE bei jedem ausgelieferten Produkt tatsächlich erreichbar ist, über seine Ports, Protokolle und Betriebszustände. Genau diese Beurteilung hält das VEX-Format fest, und genau sie lässt sich von Hand nicht in großem Umfang leisten. ### Was ist VEX? VEX (Vulnerability Exploitability eXchange) ist eine kurze, maschinenlesbare Aussage darüber, ob eine bekannte Schwachstelle ein Produkt betrifft: nicht betroffen, betroffen, behoben oder in Untersuchung, jeweils mit Begründung. Shield Lifecycle erstellt sie für jede CVE und jedes ausgelieferte Produkt. So zeigen Sie, warum die meisten CVEs keine Maßnahme erfordern. ### Wir haben noch keine SBOM für unsere Produkte. Können wir trotzdem anfangen? Ja. Wir helfen Ihnen, die erste SBOM aus der Stückliste eines Produktmodells aufzubauen: Firmware von SPS und HMI, Antriebe, Gateways, Betriebssystem und Bibliotheken. Das ist der erste Schritt eines Pilotprojekts. ### Macht Shield Lifecycle mein Produkt CRA-konform? Das kann kein Werkzeug versprechen. Nach dem CRA stellt der Hersteller die EU-Konformitätserklärung aus ([Artikel 28](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F28)). Shield Lifecycle liefert Ihnen die tägliche Überwachung, die Bewertungen und die Nachweise, auf die sich die Erklärung stützt, und hält sie über den gesamten Unterstützungszeitraum aktuell. ### Fallen Produkte, die wir vor Jahren ausgeliefert haben, unter den CRA? Die Produktanforderungen gelten für Produkte, die ab dem [11. Dezember 2027](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F71) in den Verkehr gebracht oder danach wesentlich geändert werden. Für die Meldepflicht nach [Artikel 14](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F14) gilt etwas anderes: Sie besteht seit dem [11. September 2026](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F71) und erfasst auch Produkte, die bereits auf dem Markt sind ([Artikel 69](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847#art%5F69)). Deshalb müssen Sie wissen, was in den Produkten steckt, die Sie schon ausgeliefert haben. ### Wo werden die Daten gespeichert? Alle Daten liegen auf Servern in der Europäischen Union, in den Pilotprojekten heute in unserer Cloud. Eine Version für Ihren eigenen Server ist in Vorbereitung, zuerst für große Hersteller, die Produktdaten in eigenen Systemen halten. ### Wer zahlt, der Hersteller oder der Endkunde? Der Hersteller schließt das Abonnement ab und gibt jedem Endkunden Zugang zu dessen eigenen Produkten. [Schreiben Sie uns](https://www.edge-sdn.com/de/kontakt/) für ein Angebot nach der Zahl Ihrer Produktmodelle und Kunden. Aktualisiert am 1. November 2026 ## Was passiert, wenn eine kritische CVE eine Maschine trifft? Wir zeigen Ihnen den entscheidenden Moment: Eine neue Schwachstelle wird bekannt. Bei einer Maschine ist sie erreichbar, bei der anderen nicht. Der Sicherheitshinweis an den Kunden ist versandbereit. Das Gespräch führen wir auf Englisch.