Functies inbegrepen vanaf Professional: Kwetsbaarhedenbeheer, pakketten vergelijken
Kwetsbaarhedenbeheer
Bekende kwetsbaarheden in uw assets vinden, prioriteren in de context van uw installaties en traceerbaar afhandelen.
Elk jaar worden tienduizenden kwetsbaarheden gepubliceerd. Wat telt, is welke uw installaties treffen en wat u het eerst moet doen.
Hoe Complass helpt
Vergelijken zonder dat gegevens het portaal verlaten
De software en firmware uit uw assetinventaris worden vergeleken met openbare kwetsbaarheidsgegevens (NVD, CISA KEV, EPSS, ENISA EUVD). De gegevens worden gespiegeld op de server; uw informatie verlaat het portaal niet.
Imports uit scanners, SBOM en VEX
Neem resultaten over uit gangbare scanners, software bills of materials (CycloneDX, SPDX) en VEX-documenten, met voorbeeldweergave en ongedaan maken.
Prioriteit in context
P1 tot P4 op basis van ernst, blootstelling en kritiek belang van de asset, actief misbruik (KEV) en EPSS, telkens met onderbouwing en een termijn.
Aanbevolen maatregelen met bron
Leveranciersadviezen en updates uit de referentiegegevens, met één klik als taak aan het actieplan toegevoegd.
Beveiligingsadviezen van leveranciers (CSAF)
Upload CSAF-adviezen van leveranciers of laat ze laden uit geselecteerde openbare feeds: handtekening en controlesom worden geverifieerd, treffers op model en firmwareversie worden bevindingen met de maatregelen van de leverancier, zonder dubbele bevindingen voor dezelfde CVE.
Notificatie en CRA-melding
E-mail boven een drempelwaarde, actief misbruikte kwetsbaarheden altijd. Treft zo'n kwetsbaarheid een van uw eigen producten, dan maakt u het incident volgens art. 14 CRA vooraf ingevuld aan.
Wettelijke en normatieve basis
- § 30 Abs. 2 Nr. 5 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Origineel openen (gesetze-im-internet.de) ↗
- Anhang I Teil II CRABijlage I Deel II Verordening cyberweerbaarheid Vereisten inzake de respons op kwetsbaarhedenFabrikanten van producten met digitale elementen moeten: 1) kwetsbaarheden en componenten in producten met digitale elementen vaststellen en documenteren, onder meer door een softwarestuklijst op te stellen in een algemeen gebruikt en machineleesbaar formaat waarin ten minste de afhankelijkheden van de producten op het hoogste niveau worden aangegeven; 2) in verband met de risico’s die verbonden zijn aan producten …Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- Art. 14 CRAArtikel 14 Verordening cyberweerbaarheid Rapportageverplichtingen van fabrikanten1. Een fabrikant doet tegelijkertijd aan het overeenkomstig lid 7 van dit artikel als coördinator aangewezen CSIRT en aan Enisa melding van elke actief uitgebuite kwetsbaarheid in het product met digitale elementen waarvan hij kennis krijgt. De fabrikant doet van die actief uitgebuite kwetsbaarheid melding via het op grond van artikel 16 opgerichte centrale meldingsplatform. 2. Ten behoeve van de in lid 1 bedoelde …Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- ISO/IEC 27001:2022, A.8.8
Prioriteren, beslissen, aantonen
Niet elke kritieke kwetsbaarheid is voor u dringend. Complass motiveert de volgorde en legt besluiten vast.
Besluit volgens SSVC
Uitbuiting, blootstelling en impact leiden tot een besluit zoals “direct handelen” of “volgens planning verhelpen”; de EU-lijst van actief uitgebuite kwetsbaarheden wordt meegenomen.
Uitzonderingen met vierogenprincipe
Regels voor gemotiveerde uitzonderingen, goedgekeurd door een tweede persoon en met vervaldatum.
Softwarecatalogus
Eén keer vastleggen hoe een programma of apparaattype heet; elk nieuw asset wordt daarna automatisch correct vergeleken, ook zonder CPE.
Termijnen met escalatie
Herinnering vóór de deadline en escalatie bij overschrijding.
Beveiligingsadviezen van Linux-distributies
Debian, Ubuntu, Alpine, AlmaLinux en Rocky Linux worden vergeleken met de versievergelijking van de pakketbeheerder. Is een fix teruggeporteerd, dan sluit Complass de bevinding zelf af.
Hardening en detectie
Auditors willen zien dat systemen gehard zijn en dat aanvallen zouden opvallen. Beide toont u aan met gegevens uit uw eigen tools.
Hardeningvergelijking inbegrepen vanaf Professional: Hardeningvergelijking, pakketten vergelijken
Resultaten uit SCAP (XCCDF, ARF), Wazuh SCA of CSV importeren: naleving per asset en norm, goedgekeurde afwijkingen met motivering.
Logbronnen inbegrepen vanaf Professional: Logbronnen, pakketten vergelijken
Welke systemen waarheen loggen en hoe lang, als register met dekking per asset.
Detectiedekking volgens MITRE ATT&CK inbegrepen vanaf Professional: Detectiedekking, pakketten vergelijken
Uw detectieregels per techniek als heatmap: u ziet waar een aanval onopgemerkt zou blijven.
Hardeningvergelijking en logbronnen horen bij de module Assetbeheer, de detectiedekking bij de module Kwetsbaarhedenbeheer.
Wettelijke en normatieve basis
- Art. 21 Abs. 2 lit. b und e NIS2-RichtlinieArtikel 21 NIS 2-richtlijn Maatregelen voor het beheer van cyberbeveiligingsrisico’s1. De lidstaten zorgen ervoor dat essentiële en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen die deze entiteiten voor hun werkzaamheden of voor het verlenen van hun diensten gebruiken, te beheren en om incidenten te voorkomen of de gevolgen van incidenten voor de afnemers van hun …Origineel openen (EUR-Lex) ↗
- ISO/IEC 27001:2022, A.8.9, A.8.15, A.8.16
- IEC 62443-3-3, SR 6.2, SR 7.6
Veelgestelde vragen
Worden mijn assetgegevens naar de NVD of andere diensten verzonden?
Nee. Het portaal downloadt de openbare gegevens naar een eigen server en vergelijkt daar. Er wordt geen informatie uit uw inventaris verzonden.
Heb ik hiervoor assetmanagement nodig?
Ja, het vergelijken heeft betrekking op de software en firmware van de assets. Scannerimports koppelen bevindingen eveneens aan assets.
Hoe ga ik om met bevindingen die niet van toepassing zijn?
U stelt de status in met een reden, bijv. “niet getroffen”. Verklaringen van leveranciers neemt u over via VEX-import, met de reden.
Test Complass met uw eigen gegevens
Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.