Plexicus XBOM vereint SBOM, CBOM und AIBOM in einer einzigen Datenwahrheit — mit VEX-Erklärungen, Watchlists, Drift-Erkennung und standardkonformen Exporten (CycloneDX, SPDX, PDF). Entwickelt für EU CRA, CISA 2025, PCI DSS 6.3.2 und EU AI Act.
SBOM, CBOM und AIBOM beantworten jeweils eine andere Audit-Frage. Plexicus verknüpft sie, sodass dieselbe Komponente, derselbe Schlüssel oder dasselbe Modell in jeder Ansicht eine Identität hat.
Bibliotheken, Pakete und Abhängigkeiten über jedes Repository — mit Lizenzkategorie, VEX-Status und Provenienz verknüpft.
Algorithmen, Schlüsselgrößen, Primitive und Kontext — mit Quantum-Readiness-Bewertung gegenüber den NIST-Fristen 2030/2035.
Modelle, Datensätze, Anbieter und Risikoflags — einschließlich Serialisierungsrisiko, eingeschränkter Lizenzen und fehlender Model Cards.
Wechseln Sie die Bestandsansicht, um Komponenten, kryptografische Assets und KI-Modell-Abhängigkeiten zu prüfen.
Synthetische Demo-Daten
| Komponente | Version | Repository | Lizenz | Schwachstellen |
|---|---|---|---|---|
| lodash | 4.17.21 | sample-project/checkout | MIT | hoch CVE-2021-23337 |
| log4j-core | 2.14.1 | sample-project/payments | Apache-2.0 | kritisch CVE-2021-44228 |
| @types/node | 20.11.30 | sample-project/api | MIT | sauber |
| requests | 2.31.0 | sample-project/scanner | Apache-2.0 | niedrig CVE-2023-32681 |
| Algorithmus | Schlüsselgröße / Parameter | Repository | Klassifizierung |
|---|---|---|---|
| RSA-2048 | 2048-bit | sample-project/identity | quantenanfällig |
| AES-256-GCM | 256-bit | sample-project/payments | quantensicher |
| ECDSA-P256 | 256-bit · NIST P-256 | sample-project/tokens | quantenanfällig |
| ChaCha20-Poly1305 | 256-bit | sample-project/api | quantensicher |
| Modell | Anbieter | Repository | Risikofaktoren |
|---|---|---|---|
| gpt-4o-mini | OpenAI | sample-project/copilot | Externe API |
| claude-3.5-sonnet | Anthropic | sample-project/triage | Externe API Keine Modellkarte |
| all-MiniLM-L6-v2 | self-hosted (HuggingFace) | sample-project/search | Unsichere Serialisierung |
| whisper-large-v3 | self-hosted (HuggingFace) | sample-project/voice | Eingeschränkte Lizenz |
Wählen Sie das Profil, das Ihr Auditor benötigt. Plexicus erstellt ein klares Dokument mit Status, Evidenz und Provenienz.
SBOM + Schwachstellenbehandlung gemäß Anhang I §2. Verpflichtend für Produkte mit digitalen Elementen ab 2027.
SBOM + VEX + Datenfelder gemäß CISA-Mindestelementen für das Schwachstellenmanagement.
Bestandsaufnahme von Softwarekomponenten und kryptografischen Assets für Zahlungssysteme.
AIBOM mit Model Cards, Datensatz-Provenienz und Risikoklassifizierung gemäß Artikel 13.
Eine BOM ist nützlich, wenn jede Komponente einen klaren Status, Grund und nächsten Schritt für den Prüfer enthält.
Eine Erklärung pro CVE pro Komponente — nicht ein einziges globales „Alles klar“, dem kein Auditor vertraut.
Jeder Status enthält die unterstützende Evidenz und den Grund, den ein Prüfer nachvollziehen kann.
Exportiert beide Formate mit eingebettetem VEX-Abschnitt. Direkt in eine Dependency-Track- oder GUAC-Instanz integrierbar.
Importieren Sie einen Lieferanten-SBOM + VEX in einem Upload. Plexicus gleicht PURLs ab und zeigt die Komponenten, die Sie tatsächlich besitzen.
Beobachten Sie jeden Namen, jede PURL oder CVE. Plexicus prüft neue Befunde in jedem Zyklus gegen Ihre Watchlist und benachrichtigt Sie, sobald ein Treffer vorliegt.
Plexicus vergleicht jeden Scan mit dem vorherigen für dasselbe Repository — hinzugefügte, entfernte und geänderte Komponenten, in Sekunden sichtbar. VEX bleibt im Diff erhalten.
+ log4j-core 2.14.1 (neue Abhängigkeit) Neue Abhängigkeit seit dem letzten Scan hinzugefügt.
− requests 2.28.0 (aktualisiert) Nach dem Upgrade nicht mehr im Inventar.
~ axios 0.27.2 → 1.6.2 (VEX: not_affected → fixed) VEX-Status zusammen mit der Version aktualisiert.
CycloneDX, SPDX, PDF-Attest, maschinenlesbares VEX. Übertragen Sie in Ihr GRC, Ihren Artefakt-Store, Ihr Dependency-Track. Von Lieferanten abrufen.
Vollständiges BOM + VEX in einem einzigen Dokument. Integrierbar in Dependency-Track, GUAC oder jedes SBOM-fähige Tool.
SPDX-nativer Export für Rechts- und Compliance-Teams. PURLs, Lizenzen und Hashes bleiben erhalten.
Unterschriftsfertiges PDF-Profil für EU CRA BSI TR-03183-2, CISA 2025, PCI DSS 6.3.2 und EU AI Act.
BOMs an Drata, Vanta und Tugboat übertragen. Erstellen Sie Tickets in Ihrem Tracker aus einem Watchlist-Treffer.
Vereinbaren Sie eine 30-minütige Demonstration. Wir importieren einen echten CycloneDX SBOM, hängen eine VEX-Erklärung an, führen das CRA-Profil aus und übergeben Ihnen das PDF.
