27.10.2026
Curator Pro
Dr. Andreas Kotulla
Von der Softwareanalyse bis zum Cyber Resilience Act: Wie Curator Pro Sicherheit und Compliance über den gesamten Produktlebenszyklus verbindet.
Wer Software entwickelt oder in seine Produkte integriert, trägt Verantwortung für deren Sicherheit – einschließlich der eingesetzten Open-Source- und Drittanbieter-Komponenten. Doch mit jeder neuen Bibliothek, jedem Zulieferer und jedem Release wächst die Komplexität.
Welche Softwarekomponenten sind tatsächlich im Produkt enthalten? Wo bestehen relevante Schwachstellen und reale Sicherheitsrisiken? Zudem gilt es zu klären, welche Lizenzpflichten erfüllt werden müssen und wie sich die Einhaltung regulatorischer Anforderungen zuverlässig nachweisen lässt.
Curator Pro von Bitsea verbindet Softwareanalyse, SBOM-Management, Vulnerability Management, Open-Source-Compliance und CRA-Nachweisführung in einer zentralen Plattform. Das Besondere: Technische Erkenntnisse werden zu nachvollziehbaren Entscheidungen, die über Produkte und Releases hinweg wiederverwendet werden können.
Mehr als eine SBOM: Wissen, was wirklich in der Software steckt
Eine Software Bill of Materials (SBOM) schafft Transparenz über verwendete Komponenten. Doch eine SBOM ist nur so zuverlässig wie die Informationen, auf denen sie basiert.
Curator Pro geht deshalb über die reine Verwaltung von Komponentenlisten hinaus. Die Plattform importiert und validiert SBOMs in etablierten Formaten wie SPDX und CycloneDX, integriert Lieferanten-SBOMs und unterstützt die Analyse von Quellcode, Abhängigkeiten, Lizenzen, Copyright-Angaben und Code-Snippets.
Auch Container-Images und Linux-Pakete können untersucht werden. So lassen sich selbst in komplexen oder historisch gewachsenen Softwarebeständen Risiken erkennen, die eine reine Abhängigkeitsanalyse möglicherweise übersieht.
Der Mehrwert: Unternehmen erhalten nicht nur eine Komponentenliste, sondern eine belastbarere Grundlage für Sicherheitsbewertungen, Lizenzentscheidungen und Compliance-Nachweise.
Einmal prüfen, dauerhaft profitieren
Eine der besonderen Stärken von Curator Pro ist die Wiederverwendung von Prüfwissen.
In vielen Unternehmen werden dieselben Open-Source-Komponenten in zahlreichen Produkten und Versionen eingesetzt. Trotzdem müssen Lizenzbewertungen, Komponentenidentifikationen oder Schwachstellenentscheidungen häufig mehrfach durchgeführt werden.
Curator Pro speichert diese Entscheidungen in zentralen Wissensdatenbanken und macht sie für weitere Produkte und Releases nutzbar.
Einmal geprüft bedeutet: nicht bei jedem Release wieder von vorne anfangen.
Das reduziert wiederkehrenden Prüfaufwand, sorgt für konsistentere Bewertungen und macht Software-Compliance mit wachsendem Produktportfolio effizienter. Wertvolles Expertenwissen bleibt erhalten, statt in einzelnen Projekten oder Tabellen zu verschwinden.
Echte Risiken priorisieren statt Schwachstellen zählen
Nicht jede bekannte Schwachstelle ist für jedes Produkt gleichermaßen kritisch. Ein hoher CVSS-Wert allein beantwortet noch nicht die Frage, ob eine Komponente tatsächlich betroffen ist oder wie dringend gehandelt werden muss.
Curator Pro kombiniert deshalb unterschiedliche Sicherheitsinformationen: technische Schweregrade (CVSS), bekannte aktive Ausnutzung (CISA KEV), Ausnutzungswahrscheinlichkeiten (EPSS), Wartungsstatus (End-of-Life) sowie produktspezifische Bewertungen und VEX-Informationen.
Dabei können auch intern identifizierte Schwachstellen erfasst und individuelle Risikobewertungen vorgenommen werden.
So entsteht aus einer Vielzahl technischer Warnungen eine priorisierte und nachvollziehbare Entscheidungsgrundlage für Entwicklung, Produktsicherheit und Management.
CRA-Compliance: Vom Nachweis zum gelebten Prozess
Mit dem EU Cyber Resilience Act (CRA) wird die kontinuierliche Produktsicherheit zu einer zentralen Herstellerpflicht. Seit dem 11. September 2026 gelten bereits die Meldepflichten für bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Die wesentlichen CRA-Anforderungen werden ab dem 11. Dezember 2027 anwendbar.
Curator Pro unterstützt Unternehmen dabei, diese Anforderungen systematisch in ihre Prozesse einzubinden.
Die Plattform verknüpft CRA-Kontrollen mit Produkten, Softwarekomponenten, Sicherheitsbewertungen und konkreten Nachweisen. Sie unterstützt die Vorbereitung regulatorischer Meldungen, überwacht relevante Fristen und dokumentiert Entscheidungen und Maßnahmen revisionssicher.
Auch die Erstellung und Veröffentlichung maschinenlesbarer Sicherheitshinweise im CSAF-Format wird unterstützt.
Damit wird CRA-Compliance nicht zu einer einmaligen Dokumentationsübung, sondern zu einem kontinuierlichen, nachvollziehbaren Prozess – von der Entwicklung über das Release bis zur Betreuung bereits ausgelieferter Produkte.
In bestehende Prozesse integrierbar – ohne alles neu aufzubauen
Curator Pro muss vorhandene Werkzeuge nicht ersetzen. Ergebnisse etablierter Scanner und Analysewerkzeuge können übernommen und um Kuratierung, Risikobewertung und Compliance-Prozesse ergänzt werden.
Über REST-APIs, CI/CD-Integrationen und Jira lassen sich Prüfungen und Maßnahmen in bestehende Entwicklungsabläufe einbinden. Der KI-Assistent Kurt kann zusätzlich bei der Auswertung und Einordnung vorhandener Informationen unterstützen.
Auch beim Betrieb bleibt die Kontrolle beim Unternehmen: Curator Pro wird in Deutschland entwickelt und kann selbst betrieben, in deutschen Rechenzentren gehostet oder für besonders sensible Umgebungen ohne direkte Internetanbindung eingesetzt werden. Die KI-Unterstützung ist optional und kann auch mit lokalen Modellen erfolgen.
Eine Plattform, ein durchgängiger Prozess
Die eigentliche Stärke von Curator Pro liegt nicht in einer einzelnen Funktion, sondern in der Verbindung aller Informationen und Entscheidungen.
Von der Identifikation einer Softwarekomponente über die Lizenz- und Schwachstellenbewertung bis zur Behebung, Freigabe und regulatorischen Dokumentation entsteht ein durchgängiger Prozess.
Entwicklung, Produktsicherheit, Open-Source-Compliance und Management arbeiten dabei auf einer gemeinsamen Informationsgrundlage. Entscheidungen bleiben nachvollziehbar, Nachweise verfügbar und bereits geleistete Prüfungen wiederverwendbar.
Curator Pro macht aus isolierten Analyseergebnissen verwertbares Wissen – und aus regulatorischen Anforderungen beherrschbare Prozesse.
Fazit: Software Supply Chain Security und CRA-Compliance zusammen denken
Software-Lieferketten lassen sich nicht allein durch zusätzliche Scanner oder Checklisten absichern. Entscheidend ist, technische Erkenntnisse in fundierte Entscheidungen und kontinuierliche Prozesse zu überführen.
Genau hier setzt Curator Pro an: mit tiefgehender Softwareanalyse, wiederverwendbarem Prüfwissen, risikobasiertem Schwachstellenmanagement und integrierter CRA-Nachweisführung.
Curator Pro – Software verstehen. Echte Risiken priorisieren. Konformität belegen.
Sie möchten erfahren, wie Curator Pro Ihre Software-Lieferkette transparenter und Ihre CRA-Prozesse effizienter macht? Vereinbaren Sie eine persönliche Demo mit Bitsea und erleben Sie die Plattform im praktischen Einsatz.
Nächster Beitrag