Vergleich
Kein geprüftes Produkt baut NIS2-, DORA- und CRA-Evidenz aus Deployments.*
Sieben Anbieter kommen am nächsten. Jeder steht unten mit Erstquelle und Abrufdatum, mit dem Stärksten, das er wirklich leistet, und mit dem genauen Punkt, an dem seine Dokumentation endet.
Ein Überblick über das Feld, kein Direktvergleich. Ein einziges Gegenbeispiel ändert diese Seite.
* Grundlage ist die öffentliche Dokumentation von Anchore, Aqua, Chainguard, JFrog, Sonatype, Vanta und Drata, gelesen auf Englisch, abgerufen am 2026-07-28. Keine Hands-on-Evaluierung und keine Anbietergespräche.
Zuletzt geprüft: 2026-07-28
Die Aussage, präzise
Viele Anbieter veröffentlichen DORA-Inhalte, und die GRC-Plattformen automatisieren DORA-Programme heute wirklich. Die Aussage dieser Seite ist enger gefasst:
- Kein geprüftes Produkt dokumentiert NIS2-, DORA- und CRA-Evidenzpakete aus Deployment-Evidenz — was läuft, unter welchem Digest, von wem promotet, durch welche Policy gegated.
- Kein geprüftes Supply-Chain- oder Release-Produkt dokumentiert das Signieren von Release-Evidenz mit GOST oder SM2 — den russischen und chinesischen nationalen Algorithmen.
- Keines kann beides. Genau darum geht es auf dieser Seite.
Eine englischsprachige Prüfung kann den chinesischen Binnenmarkt nur unvollständig erfassen: Der SM2-Befund ist für westliche Anbieter hochgradig belastbar, weltweit mittel.
Eine Marketingseite ist kein ausgeliefertes Pack
Viele Anbieter veröffentlichen DORA-, NIS2- oder CRA-Seiten. Das ist kein Makel — aber eine andere Art von Dokument, und der Unterschied zählt. Jede Quelle unten trägt das Label ihrer Dokumentart:
Produktdokumentation
Beschreibt ausgeliefertes, konfigurierbares Verhalten. Der stärkste öffentliche Beleg, dass eine Fähigkeit existiert.
Produktseite
Die eigene Beschreibung des Anbieters, was er verkauft. Eine echte Zusage — unterhalb von Dokumentation.
Ratgeber-Inhalt
Erklärt die Regulierung und sagt, das Produkt helfe. Für sich genommen kein Beleg für ein ausgeliefertes Pack.
Die nächstgelegenen Anbieter — und was jeder wirklich kann
Jeder dieser Anbieter ist gut in dem, was er dokumentiert, und mehrere decken Compliance-Bedürfnisse ab, die wir gar nicht berühren. Die letzte Spalte bleibt bewusst eng: Sie benennt, was deren öffentliche Dokumentation am Abrufdatum nicht abdeckt — nie, was ein Anbieter „nicht kann“.
| Anbieter und Quellen | Was sie bieten (mit Quelle) | Nicht dokumentiert |
|---|---|---|
Anchore Enterprise
| Die tiefste US-Federal-Pack-Bibliothek hier: sieben dokumentierte Policy-Packs — Secure, FedRAMP, NIST, CIS, DoD, CMMC und ASD Essential 8 — ausgeliefert als importierbare Bundles mit Regelwerken und Mappings. | Keines der sieben ist NIS2, DORA oder CRA. |
Aqua Security
| Eine breite Cloud-native-Sicherheitsplattform: SBOM-Erzeugung, Supply-Chain-Sicherheit, Laufzeitkontext zur Priorisierung. Veröffentlicht DORA- und NIS2-Leitfäden, die sagen, die Plattform passe zu beiden — und zum kommenden CRA. | Ein dokumentiertes NIS2-, DORA- oder CRA-Evidenzpaket oder ein Regulierungs-Export. Das veröffentlichte Material sind Leitfäden über die Regulierungen, keine Dokumentation von Packs. |
Chainguard
| Gehärtete Minimal-Images mit FIPS-validierten Varianten, Build-Zeit-SBOMs und signierten Attestierungen — starkes Rohmaterial für ein Compliance-Programm: weniger CVEs zu erklären, validierte Kryptografie als Basis. | Ein NIS2-, DORA- oder CRA-Evidenzpaket — das veröffentlichte Compliance-Material ist Leitfaden. Signiert wird über Sigstore, dessen Spezifikation ECDSA-P256 verlangt und weder GOST noch SM2 erwähnt. |
JFrog
| Evidence Management: signierte Attestierungen — in ihren Worten „ein verifizierbarer digitaler Pass für Ihre Binaries“ — die Promotions im Release-Lebenszyklus gaten können. Die funktional engste Entsprechung zu evidenzgegateter Promotion unter den hier geprüften Anbietern. | Regulierungsspezifische Form. Kein NIS2-, DORA- oder CRA-Exportprofil, kein regulatorisch orientiertes Artefaktformat — die Zuordnung von Evidenz zu einer Regulierung bleibt Ihnen überlassen. |
Sonatype
| SBOM Manager: SBOM-Ingestion, VEX- und Lizenzverwaltung im großen Maßstab, dazu einige der substanziellsten CRA-Leitfäden überhaupt. Die Produktseite sagt, man bleibe damit „DORA, NIS2 und PCI voraus“. | Alles Dokumentierte jenseits des SBOM: kein CRA-Technical-File, kein Konformitätsdossier, kein NIS2- oder DORA-Evidenzpaket. Ein SBOM ist ein Input für ein CRA-Technical-File — nicht das File. |
Vanta
| Ein dokumentiertes DORA-Produkt: automatisierte Kontrolltests, vorgefertigte Policies, Evidenz-Wiederverwendung über ISO 27001, SOC 2 und NIS 2 hinweg. Für Compliance-Automatisierung auf Organisationsebene liefert diese Klasse heute — wir nicht. | Deployment-abgeleitete Evidenz. Kontrollen werden über Integrationen auf Organisationsebene überwacht; nichts attestiert, was deployt ist, unter welchem Digest, durch welche Policy gegated. |
Drata
| NIS-2- und DORA-Frameworks mit vorgemappten Kontrollen, kontinuierlicher Überwachung und automatisierter Evidenzsammlung über Hunderte Integrationen — dieselbe wirklich nützliche Klasse wie Vanta. | Dieselbe Grenze: organisatorische Kontroll-Evidenz, keine Release-Evidenz. Kein signiertes, wiederholbares Verdikt, dass ein bestimmtes Artefakt eine bestimmte Umgebung unter einer bestimmten Policy erreicht hat. |
Alle Anbieterquellen dieser Seite wurden am 2026-07-28 abgerufen.
Wo sie gewinnen: US-Federal-Packs (Anchore), Plattformbreite (Aqua), FIPS-validierte Images (Chainguard), evidenzgegatete Promotion (JFrog), SBOM-Betrieb im großen Maßstab (Sonatype), DORA- und NIS2-Automatisierung auf Organisationsebene, heute verfügbar (Vanta, Drata). Nichts davon können wir so gut wie der jeweils genannte Anbieter — und organisatorisches GRC machen wir gar nicht.
Regionale Kryptografie: kein geprüftes Produkt signiert mit GOST oder SM2
Die Signatur-Toolchain, auf die sich dieser Markt geeinigt hat, ist Sigstores cosign — und dessen Signaturspezifikation verlangt ECDSA-P256; GOST und SM2 kommen darin nicht vor. Wer auf Sigstore baut, erbt diese Grenze: Souveräne Algorithmen sind kein Feature, das diese Anbieter abgelehnt haben, sondern eines, das die gemeinsame Grundlage nicht bietet. Kein geprüftes Supply-Chain- oder Release-Produkt dokumentiert das Signieren von Release-Evidenz mit einem der beiden.
github.com/sigstore/cosign — SIGNATURE_SPEC.md · Alle Anbieterquellen dieser Seite wurden am 2026-07-28 abgerufen.
Stella Ops liefert regionale Kryptografie als Code — mit offen ausgewiesenen Grenzen:
- Vier regionale Profile sind im Quellcode neben dem internationalen Standard deklariert: eIDAS, FIPS, GOST und SM.
- GOST-R-34.10-2012-Signieren und R-34.11-2012-Hashing sind implementiert; CAdES-Signaturerstellung und EU-Trusted-List-Validierung stützen den eIDAS-Evidenzpfad.
- Die eIDAS- und FIPS-Profile laufen heute auf dem internationalen ECDSA-Stack — Profilbezeichnungen, keine FIPS-validierten Module und keine qualifizierten Signaturen.
- GOST-Signieren in der Produktion braucht einen CryptoPro- oder HSM-gestützten Provider, den wir nicht liefern — der eingebaute Software-Harness weigert sich, private GOST-Schlüssel zu laden, und „GOST-GCM“ wird über 28147-89 CBC bedient, ein erklärtes Compliance-Nichtziel. SM-Signieren in der Produktion braucht ebenso ein OSCCA-zertifiziertes SM-HSM. Statt still auf ES256 zurückzufallen, verweigert die Produktion die Signatur.
Wenn ein Produkt Release-Evidenz mit SM2 signiert — im chinesischen Binnenmarkt oder anderswo — wollen wir davon hören.
Krypto-Profile im Detail → · Availability and sanctions notice →
Was Stella Ops liefert
In Stella Ops ist ein Compliance-Regime Code, kein Etikett. Der Tenant-Validator akzeptiert genau vier Regime — CRA, DORA, NIS2 und Standards-Mapping (ISO/IEC 27001, IEC 62443, ETSI) — und der Export-Dienst registriert acht regulatorisch orientierte Profile:
nis2.statement-of-applicabilitynis2.effectiveness-reportdora.roidora.major-incident-reportdora.info-sharingdora.tlpt-evidence-packcra.technical-filecra.conformity-dossier
Exporte scheitern geschlossen, mit benannter Ursache: Ein DORA-Informationsregister-Export ohne Registerquelle verweigert das Bundle und sagt warum. Die Aufbewahrung folgt den Regimen — TLPT-Pakete mindestens zehn Jahre, sonst sieben als Standard, und jede Verkürzung braucht einen benannten Genehmiger.
Anspruchsgrenze
Die Aktivierung startet die Nachweiserhebung im konservativen Nur-Nachweis-Modus; sie begründet keinen Anspruch auf regulatorische Konformität.
Stella Ops unterstützt einen verpflichteten Betreiber oder Hersteller dabei, die von einer Aufsichtsbehörde erwarteten Artefakte zusammenzustellen und zu signieren. Stella Ops reicht nichts ein, zertifiziert nichts und macht Sie nicht konform – der Betreiber bleibt stets der regulierte Entscheidungsträger.
Produktstatus: v1.0-RC1, Release Candidate.
Methodik: Funktionsaussagen stammen aus der öffentlichen Dokumentation des jeweiligen Anbieters sowie aus einer Quellcode-Durchsicht der auf dieser Seite genannten Version. Messwerte stammen aus unserem eigenen Scanner-Benchmark, zuletzt ausgewertet am 3. Juli 2026: 872 bewertete Projekte aus einem Manifest von 1.002 Open-Source-Projekten, jeweils aus dem Quellcode als Container-Image gebaut und von Stella Ops, Trivy, Grype und osv-scanner aus identischen Eingaben gescannt. Bewertet wird gegen ein regelbasiertes Wahrheitslabel — den vom Advisory selbst angegebenen betroffenen Versionsbereich oder die Übereinstimmung unabhängiger Advisory-Quellen — niemals gegen die Ausgabe eines anderen Scanners. Befunde, die die Regeln nicht auflösen können, fließen nicht in Precision und Recall ein und werden als Abdeckung ausgewiesen; nicht baubare Projekte und fehlgeschlagene Scans werden ausgeschlossen statt als Erfolg gezählt. In diesem Lauf führte Stella Ops bei Advisory-Range-Recall und Paketerkennung und lag bei bestätigten Fehlalarmen gleichauf. Ein gemessener Vergleich mit Snyk liegt nicht vor. Korpus, Bewertungsregeln und Rohzahlen sind im Produkt-Repository unter tools/benchmarks/stella-vs-trivy/ veröffentlicht. Funktionsumfänge ändern sich; prüfen Sie das aktuelle Verhalten beim jeweiligen Anbieter. Für diese Seite: Anbieteraussagen stammen aus den oben verlinkten öffentlichen Quellen, alle abgerufen am 2026-07-28; kein Anbieter wurde hands-on evaluiert. Pack-Bibliotheken und Produktumfänge ändern sich ohne Ankündigung — prüfen Sie vor der Entscheidung die aktuelle Dokumentation jedes Anbieters. Eine „kein direkter Rivale“-Aussage altert schneller als jede andere; lesen Sie diese Seite als datierte Momentaufnahme, nicht als stehende Tatsache.
Wenn Sie glauben, dass Informationen veraltet oder falsch sind, kontaktieren Sie hello@stella-ops.org.
Widerlegen Sie uns
Jede Anbieterzeile oben trägt ihre Quelle und ihr Datum. Wenn Sie ein Produkt kennen, das NIS2-, DORA- und CRA-Evidenzpakete aus Deployment-Evidenz baut — oder Release-Evidenz mit GOST oder SM2 signiert — schreiben Sie an hello@stella-ops.org, und diese Seite ändert sich. Bis dahin sind Ihre Optionen für diese Säule: Stella Ops, oder selbst bauen.