SBOM für Maschinen

Was verlangt ist

Der Hersteller erfasst die in der Maschine enthaltenen Software-Komponenten in einer SBOM, in einem gängigen, maschinenlesbaren Format und mindestens mit den direkten Abhängigkeiten. Die SBOM gehört zur technischen Dokumentation; veröffentlichen muss man sie nicht.

Was bei Maschinen dazugehört

Firmware von SPS und Antrieben, Betriebssystem und Software des Industrie-PCs oder HMI, eigene Steuerungssoftware mit ihren Bibliotheken, Fernwartungs-Router und Gateways. Oft stammen diese Teile von Zulieferern — deren Angaben brauchen Sie.

Formate

Verbreitet sind CycloneDX und SPDX. Entscheidend ist, dass die Liste maschinenlesbar ist und mit jeder Software-Änderung fortgeschrieben wird.

Warum es eilt

Die Meldepflicht für aktiv ausgenutzte Schwachstellen gilt seit dem 11. September 2026. Wer nicht weiß, welche Komponente in welcher Maschine steckt, kann binnen 24 Stunden nicht sagen, ob er betroffen ist.