Was ist eine Software Bill of Materials (SBOM)?
Eine Software Bill of Materials (SBOM) ist eine formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten in den Softwareelementen eines Produkts mit digitalen Elementen.
Das ist die Legaldefinition der „Software-Stückliste“ in Artikel 3 Nummer 39 der Verordnung (EU) 2024/2847, dem Cyber Resilience Act (CRA). Technisch dient eine SBOM als Komponenten- und Beziehungsverzeichnis.
Der Normwortlaut
Die Hersteller von Produkten mit digitalen Elementen müssen Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen;
Verordnung (EU) 2024/2847, Anhang I Teil II Nummer 1, amtlicher Text bei EUR-Lex.
Der Normtext verpflichtet Hersteller. Er verlangt ein gängiges maschinenlesbares Format und mindestens die obersten Abhängigkeiten. Er nennt weder einen Sicherheitsvorfall als Auslöser noch eine eigene kalenderbezogene SBOM-Frist.
Für wen gilt die SBOM-Anforderung?
Sie gilt für Hersteller von CRA-erfassten Produkten mit digitalen Elementen, die auf dem Unionsmarkt bereitgestellt werden. Die Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung des Produkts muss eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließen. Sämtliche Abgrenzungen und Ausnahmen aus Artikel 2 Absätze 2 bis 8 bleiben maßgeblich. Eine separat vermarktete Komponente kann selbst erfasst sein; die separate Vermarktung ist aber keine allgemeine Zusatzvoraussetzung für jedes Produkt.
Wann muss die SBOM vorliegen?
Maßgeblicher Auslöser ist das Inverkehrbringen eines erfassten Produkts durch den Hersteller, nicht ein Sicherheitsvorfall oder das bloße Vorhandensein einer Bibliothek. Die technische Dokumentation ist vor dem Inverkehrbringen zu erstellen und umfasst die SBOM, soweit sie für das Produkt von Bedeutung ist. Die Behandlung von Schwachstellen nach Anhang I Teil II ist außerdem während der erwarteten Produktlebensdauer und des Unterstützungszeitraums sicherzustellen.
Welche Fristen und Schwellen gelten?
Es gibt keine eigenständige kalenderbezogene SBOM-Frist und keine besondere Produktschwelle. Der CRA gilt allgemein ab dem 11. Dezember 2027. Vor diesem Datum in Verkehr gebrachte Produkte unterliegen den Anforderungen nur, wenn sie danach wesentlich geändert werden. Die abweichenden früheren Geltungsdaten für Artikel 14 und Kapitel IV ändern die allgemeine SBOM-Anforderung nicht.
Der Unterstützungszeitraum beträgt grundsätzlich mindestens fünf Jahre. Liegt die erwartete Betriebsdauer unter fünf Jahren, entspricht er dieser voraussichtlichen Dauer. Artikel 13 Absatz 8 erlaubt der Kommission, künftig durch delegierte Rechtsakte produktspezifische Mindestzeiträume festzulegen; daraus folgt derzeit keine besondere Mindestregel nur für wichtige Produkte.
Muss eine SBOM veröffentlicht werden?
Nein. Der CRA begründet keine allgemeine Veröffentlichungspflicht. Der Hersteller muss der Marktüberwachungsbehörde die in der technischen Dokumentation enthaltene SBOM auf begründetes Verlangen vorlegen, soweit dies zur Prüfung der grundlegenden Cybersicherheitsanforderungen erforderlich ist. Die Ausnahmen und sektoralen Abgrenzungen aus Artikel 2 Absätze 2 bis 8 begrenzen auch diese Einordnung.
Welchen Mindestinhalt verlangt der CRA?
Die SBOM muss in einem gängigen maschinenlesbaren Format erstellt sein und zumindest die obersten Abhängigkeiten des Produkts erkennen lassen. Das ist keine Pflicht, sämtliche transitiven Abhängigkeiten öffentlich oder vollständig offenzulegen. Ein bestimmtes Schema schreibt der CRA derzeit nicht vor. Die Kommission kann Format und Elemente nach Artikel 13 Absatz 24 durch Durchführungsrechtsakte bestimmen.
Was leistet eine SBOM technisch?
Eine SBOM macht Komponenten und ihre Beziehungen nachvollziehbar. Sie ist kein Schwachstellenscan, kein Sicherheitsnachweis und kein Beleg für Fehlerfreiheit. Für die Beurteilung, ob eine bekannte Schwachstelle ein konkretes Produkt betrifft oder ausnutzbar ist, wird zusätzlicher Kontext benötigt. Diese technische Abgrenzung folgt aus dem dokumentarischen Gegenstand der SBOM und wird durch das NIST SBOM Glossary gestützt.
Häufige Fehlannahmen
- „Jede SBOM muss öffentlich sein.“ Nein. Der CRA enthält keine allgemeine Veröffentlichungspflicht.
- „Eine SBOM ist ein Schwachstellenscan.“ Nein. Sie verzeichnet Komponenten und Beziehungen; die Schwachstellenbewertung ist ein weiterer Arbeitsschritt.
- „Eine SBOM beweist die Sicherheit des Produkts.“ Nein. Weder Fehlerfreiheit noch Nichtausnutzbarkeit folgen allein aus dem Verzeichnis.
- „Der CRA verlangt immer alle transitiven Abhängigkeiten.“ Nein. Der gesetzliche Mindestinhalt reicht bis zu den obersten Abhängigkeiten.
- „Die Pflicht entsteht erst nach einem Sicherheitsvorfall.“ Nein. Entscheidend sind CRA-Anwendungsbereich und Inverkehrbringen des Produkts.
- „Der CRA schreibt bereits ein bestimmtes SBOM-Schema vor.“ Nein. Verlangt wird derzeit ein gängiges maschinenlesbares Format.
Was die Geschäftsleitung tun sollte
Die folgenden Schritte sind Umsetzungsempfehlungen und keine eigenständigen gesetzlichen Pflichten der Geschäftsleitung:
- Das Produktportfolio gegen Artikel 2 prüfen und erfasste Produkte sowie dokumentierte Ausnahmen eindeutig kennzeichnen.
- Verantwortlichkeiten und einen wiederholbaren SBOM-Prozess so festlegen, dass die Organisation vor dem 11. Dezember 2027 arbeitsfähig ist.
- Für erfasste Produkte vor dem Inverkehrbringen maschinenlesbare SBOMs mit mindestens den obersten Abhängigkeiten erzeugen und, soweit relevant, in die technische Dokumentation aufnehmen.
- Die SBOM-Daten für das Schwachstellenmanagement während der erwarteten Produktlebensdauer und des Unterstützungszeitraums aktuell nutzbar halten.
- Einen kontrollierten Prozess für begründete und erforderliche Verlangen der Marktüberwachung einrichten, ohne daraus eine allgemeine Veröffentlichung abzuleiten.
Für die Geschäftsleitung
Reichweite: Entscheidend sind Herstellerrolle, CRA-erfasstes Produkt, Unionsmarkt, relevante Datenverbindung und die Abgrenzungen aus Artikel 2. Entscheidung: Der Hersteller muss die CRA-Vorgaben vor dem Inverkehrbringen erfüllen; organisatorisch sollte dafür ein belastbarer Prozess zur Erstellung maschinenlesbarer SBOMs eingerichtet sein. Bis zur allgemeinen Anwendung am 11. Dezember 2027 sollte die Umsetzung vorbereitet sein. Nachweis: Technische Dokumentation, festgelegte Verantwortlichkeiten, nachvollziehbare Komponenten- und Abhängigkeitsdaten sowie ein geregelter Behördenzugang sollten die Umsetzung belegen.
Quellen
- Amtliche Primärquelle: Verordnung (EU) 2024/2847, insbesondere Artikel 2, Artikel 3 Nummer 39, Artikel 13 Absätze 8, 12, 13 und 24, Artikel 69 Absatz 2, Artikel 71 Absatz 2, Anhang I Teil II Nummer 1 sowie Anhang VII Nummern 2 Buchstabe b und 8.
- Technische Autoritätsquelle: NIST Computer Security Resource Center: SBOM Glossary.
