Hersteller müssen die Komponenten ihrer Produkte kennen und dokumentieren. Der CRA macht eine Software-Stückliste (SBOM) zu einem Teil dieser Pflicht.
Nach Anhang I Teil II müssen Hersteller die Schwachstellen und Komponenten ihrer Produkte ermitteln und dokumentieren. Dazu gehört eine Software-Stückliste in einem gängigen, maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten abdeckt.
Die SBOM ist Teil der technischen Dokumentation. Marktaufsichtsbehörden können sie anfordern. Eine Pflicht zur Veröffentlichung gibt es nicht, Hersteller können sie aber Nutzern zur Verfügung stellen.
Der CRA verlangt ein gängiges, maschinenlesbares Format. SPDX und CycloneDX sind die beiden verbreiteten Formate. Die Kommission kann Format und Inhalte durch einen Durchführungsrechtsakt genauer festlegen.
Die Technische Richtlinie TR-03183 des BSI, Teil 2, beschreibt die Anforderungen an eine SBOM im Detail und ist eine gute Referenz für Inhalt und Tiefe.
Die SBOM gehört zum Umgang mit Schwachstellen, der ab dem 11. Dezember 2027 gilt. Die Meldepflicht seit September 2026 setzt aber schon heute voraus, dass Sie Ihre Komponenten kennen.
So unterstützt die SBOM den Umgang mit Schwachstellen über den gesamten Support-Zeitraum.
1
Automatisch aus dem Build erstellt, damit sie zu dem passt, was Sie ausliefern.
2
Eine eigene SBOM für jede veröffentlichte Version des Produkts.
3
Wo möglich auch indirekte Abhängigkeiten, denn dort stecken oft die Schwachstellen.
4
SBOMs von Zulieferern für die Komponenten und Firmware, die Sie zukaufen.
5
Die Komponenten werden jeden Tag mit neuen Schwachstellen abgeglichen, nicht einmal im Jahr.
6
Eine dokumentierte Entscheidung für jede Schwachstelle: betroffen, nicht betroffen oder behoben.
Stand: Oktober 2026. Diese Leitfäden erklären die Verordnung in einfacher Sprache und sind keine Rechtsberatung.
Wir richten die SBOM-Erstellung und den Schwachstellenprozess darum herum ein. AITIGRITY überwacht die Komponenten Ihrer SBOM über die gesamte Lebensdauer des Produkts.
Erzählen Sie uns von Ihrem Produkt und den Vorgaben, die Sie erfüllen müssen. Sie sprechen vom ersten Gespräch an mit einem Ingenieur.
Cybersecurity-Beratung und die Plattform AITIGRITY für vernetzte Produkte und industrielle Systeme.
