CRA SBOM

Eine Software Bill of Materials (SBOM) ist eine maschinenlesbare Liste aller Softwarekomponenten, Bibliotheken und Abhängigkeiten eines Produkts – vergleichbar mit einer Zutatenliste. Der Cyber Resilience Act (EU 2024/2847) macht die SBOM ab Dezember

2027 für alle Produkte mit digitalen Elementen verpflichtend. Hersteller müssen mindestens die Top-Level-Abhängigkeiten in einem standardisierten Format dokumentieren und die SBOM

10 Jahre lang aufbewahren. Bei Nichteinhaltung drohen Bußgelder bis

15 Mio. EUR oder 2,

5 % des weltweiten Jahresumsatzes.

Beide Formate erfuellen die CRA-Anforderungen und sind von der BSI TR‑03183–2 anerkannt. CycloneDX (OWASP) ist optimiert fuer Security-Anwendungsfaelle und bietet nativen VEX-Support (Vulnerability Exploitability eXchange) fuer die Schwachstellenkommunikation. SPDX (Linux Foundation, ISO/IEC 5962:2021) hat seinen Schwerpunkt bei Lizenz-Compliance und ist als ISO-Standard etabliert. Fuer Unternehmen mit Fokus auf Sicherheit und CRA-Compliance empfehlen wir CycloneDX 1.6, fuer Open-Source-intensive Projekte mit Lizenz-Anforderungen SPDX 2.3.

Die automatisierte SBOM-Erstellung erfolgt durch Integration von SBOM-Tools in die Build-Pipeline. Gaengige Open-Source-Tools sind Syft (Anchore) fuer Container und Dateisysteme, cdxgen fuer Multi-Language-Support und Trivy (Aqua Security) fuer kombiniertes Vulnerability-Scanning mit SBOM-Generierung. In der CI/CD-Pipeline wird die SBOM bei jedem Build automatisch erzeugt, gegen CRA-Anforderungen validiert und als Artefakt versioniert gespeichert. Quality Gates pruefen Vollstaendigkeit und Qualitaet vor dem Deployment.

Die BSI Technische Richtlinie TR‑03183–2 definiert die deutschen Mindestanforderungen an SBOMs im Kontext des Cyber Resilience Act. Sie fordert: maschinenlesbare Formate (CycloneDX oder SPDX), eindeutige Komponentenidentifikation (CPE, PURL), Dokumentation aller Top-Level-Abhaengigkeiten, Angabe von Lieferanten und Lizenzinformationen, sowie regelmaessige Aktualisierung bei Aenderungen. Die TR‑03183–2 dient als deutsche Referenz fuer die CRA-konforme SBOM-Erstellung.

Nein, der Cyber Resilience Act verlangt keine Veroeffentlichung der SBOM. Hersteller muessen die SBOM jedoch als Teil der technischen Dokumentation erstellen und

10 Jahre lang aufbewahren. Auf Anfrage der Marktaufsichtsbehoerden (in Deutschland das BSI) muss die SBOM vorgelegt werden koennen. Viele Unternehmen entscheiden sich freiwillig fuer eine Bereitstellung an Kunden, um Transparenz und Vertrauen in der Lieferkette zu foerdern.

Fuer die CRA-konforme SBOM-Erstellung eignen sich mehrere Open-Source- und kommerzielle Tools: Syft (Anchore) erzeugt SBOMs aus Containern und Dateisystemen in CycloneDX und SPDX. cdxgen unterstuetzt ueber

30 Programmiersprachen und erzeugt CycloneDX-SBOMs. Trivy kombiniert SBOM-Generierung mit Schwachstellenscanning. SPDX-Tools bieten Validierung und Konvertierung. Kommerzielle Loesungen wie FOSSA, Snyk und Black Duck bieten zusaetzlich Lizenz-Compliance und Enterprise-Features.

Der CRA tritt stufenweise in Kraft: Seit November

2024 ist die Verordnung (EU 2024/2847) rechtskräftig. Ab September

2026 gelten Meldepflichten – Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von

24 Stunden an die ENISA melden. Ab Dezember

2027 müssen alle Produkte mit digitalen Elementen eine vollständige SBOM als Teil der technischen Dokumentation vorweisen. Frühzeitige Vorbereitung ist entscheidend, da die SBOM-Erstellung technische und organisatorische Veränderungen erfordert.