Software-Stückliste (SBOM): Bedeutung und Definition
Definition: Eine Software Bill of Materials (SBOM) ist eine maschinenlesbare Liste aller Komponenten, Bibliotheken und Abhängigkeiten, aus denen eine Software besteht, jeweils mit Version und Herkunft. Sie hilft, Schwachstellen und Lizenzpflichten in der Lieferkette schnell zu erkennen.
Der Cyber Resilience Act verpflichtet Hersteller, Schwachstellen und Komponenten ihrer Produkte zu ermitteln und zu dokumentieren, unter anderem durch eine Software-Stückliste in einem gängigen maschinenlesbaren Format, die zumindest die obersten Abhängigkeiten abdeckt (Anhang I Teil II VO (EU) 2024/2847). Die SBOM ist Teil der technischen Dokumentation und muss den Marktüberwachungsbehörden auf Verlangen vorgelegt werden; eine Veröffentlichung ist nicht vorgeschrieben. Die wesentlichen Pflichten des CRA gelten ab dem 11. Dezember 2027. Gängige Formate für eine SBOM sind SPDX und CycloneDX. Eine SBOM sollte für jede Komponente mindestens Name, Version, Lieferant, Lizenz und eindeutige Kennung enthalten. Sie ist bei jedem Release zu aktualisieren. In Verbindung mit Schwachstellendatenbanken lässt sich so schnell feststellen, ob ein Produkt von einer neu bekannt gewordenen Schwachstelle betroffen ist. Auch Kunden verlangen zunehmend eine SBOM, etwa im Rahmen von NIS-2-Lieferkettenanforderungen. Ob und in welcher Form sie an Kunden herausgegeben wird, sollte vertraglich geregelt werden, weil sie Rückschlüsse auf die Architektur zulässt. Eine Software-Stückliste listet alle in einem Produkt enthaltenen Komponenten mit Version, Herkunft und Lizenz auf. Gängige Formate sind SPDX und CycloneDX. Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen, eine solche Stückliste zu erstellen. Sie hilft dabei, Schwachstellen schnell zu erkennen und Lizenzpflichten zu erfüllen. Auch Kunden und Behörden verlangen zunehmend eine SBOM. Automatisieren Sie die Erstellung im Build-Prozess, damit die Liste aktuell bleibt.
Bedeutung für Sie
Für Hersteller von Produkten mit digitalen Elementen wird die SBOM mit dem Cyber Resilience Act zur Pflicht. Bauen Sie die Erstellung in Ihren Entwicklungsprozess ein; sie erleichtert zugleich die Open-Source-Compliance.
Mehr dazu: Open-Source-Compliance-Audit für Software
Rechtsgrundlagen
Häufige Fragen zu Software-Stückliste (SBOM)
Muss ich meine SBOM veröffentlichen?
Nach dem Cyber Resilience Act nein. Die Software-Stückliste gehört zur technischen Dokumentation und ist den Marktüberwachungsbehörden auf Verlangen vorzulegen. Ob Kunden sie erhalten, ist eine vertragliche Frage. Viele Unternehmen geben sie unter Vertraulichkeitsvereinbarung heraus oder stellen eine reduzierte Fassung bereit.
Welche Angaben gehören in eine SBOM?
Üblich sind für jede Komponente der Name, die Version, der Lieferant, die Lizenz und eine eindeutige Kennung, etwa ein Paket-URL oder ein Hashwert, sowie die Beziehungen zwischen den Komponenten. Die Formate SPDX und CycloneDX bilden diese Felder ab. Entscheidend ist, dass die Liste zum ausgelieferten Release passt und bei jeder Änderung neu erzeugt wird.
Hilft eine SBOM auch bei Open-Source-Compliance?
Ja. Weil die SBOM die Lizenz jeder Komponente erfasst, lässt sich schnell erkennen, ob Copyleft-Pflichten ausgelöst werden oder Lizenztexte mitgeliefert werden müssen. Sie ersetzt aber keine rechtliche Prüfung im Einzelfall, etwa ob eine Verbindung zu einem abgeleiteten Werk führt. Für Due-Diligence-Prüfungen bei Unternehmensverkäufen ist sie ein wichtiger Nachweis.
Allgemeine Information, keine Rechtsberatung im Einzelfall. ITMR Rechtsanwälte PartGmbB.