SBOM-Anforderungen des CRA: Was der Cyber Resilience Act verlangt
Ab dem 11. Dezember 2027 braucht jedes Produkt mit digitalen Elementen, das in der EU in Verkehr gebracht wird, eine Software-Stückliste (SBOM). Hier steht, was der Cyber Resilience Act tatsächlich verlangt, was nicht, und wie Sie ohne Mehraufwand eine SBOM pro Version führen.
Was im Text steht
Anhang I Teil II Nummer 1 verlangt von Herstellern, die Komponenten ihres Produkts zu ermitteln und zu dokumentieren, unter anderem durch eine Software-Stückliste (SBOM) in einem gängigen, maschinenlesbaren Format, die mindestens die Abhängigkeiten der obersten Ebene abdeckt.
Die SBOM gehört zu Ihrer technischen Dokumentation (Anhang VII). Sie übergeben sie einer Marktüberwachungsbehörde auf deren begründetes Verlangen. Der CRA verlangt nicht, dass Sie sie veröffentlichen.
Welches Format
Der Text schreibt kein Format vor. In der Praxis sind CycloneDX und SPDX die beiden gängigen Formate, und die meisten Build-Werkzeuge erzeugen beide als JSON. Wählen Sie eines und bleiben Sie dabei, damit sich jede Version gleich durchsuchen lässt.
Was sich in der Praxis bewährt
- Eine SBOM pro veröffentlichter Version. Erzeugen Sie sie im Build, der die Version erstellt, nicht nachträglich von Hand.
- Gehen Sie über das Minimum hinaus, wo es geht. Die Abhängigkeiten der obersten Ebene sind die rechtliche Untergrenze, doch die meisten ausgenutzten Schwachstellen liegen tiefer im Baum.
- Bewahren Sie sie so lange auf wie die Dokumentation. Die technische Dokumentation wird mindestens zehn Jahre aufbewahrt, oder für den Supportzeitraum, wenn dieser länger ist.
- Machen Sie sie durchsuchbar. An dem Tag, an dem eine Bibliothek als ausgenutzt gemeldet wird, müssen Sie wissen, welche Ihrer Versionen sie enthalten, innerhalb der 24 Stunden der CRA-Frühwarnung.
Wobei Clearlane CRA hilft
Clearlane CRA bewahrt für jede Version jedes Produkts eine CycloneDX- oder SPDX-JSON-Datei in Jira auf. Suchen Sie einen Komponentennamen, einen Versionsbereich oder eine Paket-URL in allen SBOMs und eröffnen Sie einen Fall für alle gefundenen Versionen. Das Register zeigt die Versionen auf dem Markt, die noch keine SBOM haben. Nur Ihr Sicherheitsteam und die Jira-Administratoren sehen die SBOMs.
Quelle: Verordnung (EU) 2024/2847, Anhang I Teil II und Anhang VII. Geprüft am 16. Oktober 2026.