normakte / SBOM nach CRA
Der Cyber Resilience Act macht die Software-Stückliste zur Pflicht für alle Produkte mit digitalen Elementen. Ohne sie lässt sich weder Schwachstellenmanagement betreiben noch eine Meldung fristgerecht abgeben.
Der Hersteller erfasst die im Produkt enthaltenen Komponenten in einer SBOM, in einem gängigen, maschinenlesbaren Format und mindestens mit den direkten Abhängigkeiten. Die SBOM gehört zur technischen Dokumentation und wird den Marktüberwachungsbehörden auf Anfrage vorgelegt; veröffentlichen muss man sie nicht.
Für Software liefern Build-Werkzeuge und Paketmanager die Komponentenliste weitgehend automatisch; für Firmware und zugekaufte Module braucht es die Angaben der Lieferanten. Entscheidend ist, dass zu jeder ausgelieferten Version eine passende SBOM gespeichert wird.
Mit der SBOM gleicht der Hersteller neue Schwachstellen mit seinen Produkten ab. Wird eine Schwachstelle aktiv ausgenutzt, zeigt sie binnen Stunden, welche Produkte und Versionen betroffen sind – die Grundlage für die Frühwarnung binnen 24 Stunden.
| Inhalt | Beispiel |
|---|---|
| Komponente und Version | openssl 3.0.13 |
| Lieferant | Herausgeber der Bibliothek oder des Moduls |
| Eindeutige Kennung | z. B. Package URL oder CPE |
| Abhängigkeiten | welche Komponente welche andere einbindet |
| Format | CycloneDX oder SPDX, maschinenlesbar |
| Stand | Datum und zugehörige Produktversion |
Register mit allen CRA-Anforderungen, Einstufung, SBOM, Meldungen mit Fristen, Unterstützungszeitraum und Zielseite für die Nutzerinformationen – eine Testakte kostenlos bis 20.01.2027.
Quelle. Verordnung (EU) 2024/2847, ABl. L, 2024/2847 vom 20.11.2024. Sinngemäß wiedergegeben; maßgeblich ist der amtliche Wortlaut. normakte ersetzt keine Rechtsberatung.