CRA-Vorbereitung: eine SBOM braucht einen Arbeitsablauf.
Für ein Softwareprodukt Komponenten, Schwachstellenbearbeitung und technische Nachweise erfassen. Eine SBOM und einen prüfbaren Ablauf vorbereiten.
Das Produkt bestimmt den Umfang
Der Cyber Resilience Act betrifft erfasste Produkte mit digitalen Elementen. Die EU-Kommission nennt den 11. September 2026 für bestimmte Meldepflichten und den 11. Dezember 2027 für die Hauptpflichten. Für einzelne Rollen und Produktkonstellationen gelten Besonderheiten; die Einordnung muss vor einem Umsetzungsplan stehen.
Beschreiben Sie ein konkretes Produkt mit Vertriebsform, Komponenten und Verantwortlichkeiten. Ein allgemeines Sicherheitskonzept für das Unternehmen beantwortet noch nicht, welche Nachweise zu diesem Produkt und seinem Lebenszyklus gehören.
Vom Komponentenbestand zur bearbeiteten Meldung
Eine Software-Stückliste macht Abhängigkeiten sichtbar. Erst die Verbindung zum ausgelieferten Release zeigt jedoch, welche Kundeninstallation von einem Hinweis betroffen sein könnte. Erzeugung, Aufbewahrung und Zuordnung der SBOM sollten deshalb Teil des Buildablaufs sein.
Für einen Test wählen Sie einen nachvollziehbaren Komponentenhinweis. Wer bewertet die Betroffenheit, wer entscheidet über eine Korrektur und wo wird das Ergebnis festgehalten? Der Ablauf muss auch dann funktionieren, wenn zunächst Informationen fehlen oder eine Zuständigkeit wechselt.
Nachweise an einem Release erproben
Ein begrenzter Pilot verknüpft genau einen Release mit Komponentenbestand, bekannten Befunden und Entscheidungen. Anschließend lässt sich beurteilen, welche Teile automatisierbar sind und welche fachliche Bewertung benötigen.
Technische Werkzeuge unterstützen den Prozess, ersetzen aber keine verbindliche Einordnung oder Konformitätsbewertung. Für die weitere Arbeit braucht es einen geklärten Unterstützungszeitraum und konkrete Zuständigkeiten. Die Meldeentscheidung bleibt bei den dafür verantwortlichen Personen.
Wie sieht das bei Ihnen aus?
Wir übersetzen diese Ideen mit Ihnen in einen sinnvollen nächsten Schritt.
CRA: Softwarebestand und Schwachstellenprozesse · Pakete