Der Wortlaut
Anhang I Teil II nennt die Anforderungen an die Behandlung von Schwachstellen. Nummer 1 verlangt, Schwachstellen und Komponenten der Produkte zu ermitteln und zu dokumentieren, und nennt dafür die SBOM. Artikel 3 Nr. 39 definiert sie als formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten, die in den Softwareelementen eines Produkts enthalten sind.
curl -sL -H "Accept: application/xhtml+xml" -H "Accept-Language: deu" http://publications.europa.eu/resource/celex/32024R2847 | sed "s/<[^>]*>//g" | grep -o "Erstellung einer Software-Stückliste[^;]*"Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen
Was das für Ihre SBOM heißt
| Frage | Antwort der Verordnung |
|---|---|
| Ab wann? | Ab dem 11. Dezember 2027 (Art. 71 Abs. 2). Die Meldepflichten nach Art. 14 gelten schon seit dem 11. September 2026. |
| Welches Format? | Ein gängiges maschinenlesbares Format. Die Kommission kann Format und Elemente per Durchführungsrechtsakt festlegen (Art. 13 Abs. 24). In der Praxis sind das CycloneDX und SPDX. |
| Wie tief? | Zumindest die obersten Abhängigkeiten, also alles, was Ihr Produkt direkt einbindet: RTOS, TLS-Bibliothek, HAL, Netzwerkstack. |
| Wo liegt sie? | In der technischen Dokumentation, bei den Verfahren zur Behandlung von Schwachstellen (Anhang VII Nr. 2 Buchst. b). |
| Wer bekommt sie? | Die Marktüberwachungsbehörde auf begründetes Verlangen (Anhang VII Nr. 8). Veröffentlichen müssen Sie sie nicht (Erwägungsgrund 77). Stellen Sie sie Nutzern bereit, sagen Sie ihnen, wo (Anhang II Nr. 9). |
| Wie lange aufbewahren? | Mit der technischen Dokumentation mindestens zehn Jahre nach dem Inverkehrbringen oder für den Unterstützungszeitraum, je nachdem, was länger ist (Art. 13 Abs. 13). |
| Was droht? | Bei Verstößen gegen Anhang I bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, was höher ist (Art. 64 Abs. 2). |
Woher die Komponenten kommen
Die SBOM soll beschreiben, was im Produkt steckt. Bei Firmware ist das der Build, der auf das Gerät geht. Eine Liste aus dem Quellcode oder die SBOM eines Zulieferers kann Bibliotheken nennen, die der Linker nicht übernommen hat, und andere auslassen, die er übernommen hat.
Ein Beispiel aus einem öffentlichen Paket: Die SBOM, die ST dem Paket STM32CubeF4 v1.28.3 beilegt, nennt keine der fünf Bibliotheken, die das Paket unter Middlewares/Third_Party mitliefert, darunter FreeRTOS und mbedTLS. Wer sie linkt, schreibt sie selbst in seine SBOM.
- 01
Build bestimmen
die Datei, die auf das Gerät geht, mit Version und Hash. Bei Mikrocontrollern das ELF oder AXF des Release-Builds, bei Linux das ausgelieferte Image.
- 02
Komponenten erfassen
jede direkt eingebundene Bibliothek mit Name, Version und, wo es eine gibt, einer Kennung wie purl oder CPE.
- 03
Lücken benennen
Eine Komponente ohne belegbare Version bleibt in der SBOM, das Feld bleibt leer.
- 04
Je Release neu erzeugen
Jede ausgelieferte Firmware-Version bekommt ihre eigene SBOM.
Was LegacyMind dabei automatisch macht
LegacyMind liest die Komponenten aus der Datei, die Sie ausliefern: aus Linux-Images, aus ELF- und AXF-Builds für Mikrocontroller und aus Lieferanten-SBOMs. Jede Komponente mit belegter Version wird gegen die Schwachstellenquellen abgeglichen. Die SBOM exportieren Sie als CycloneDX 1.6 oder als SPDX 2.3 und 3.0.1 JSON.
Die Konformitätsaussage treffen Sie. Diese Seite und unsere Berichte liefern technische Feststellungen als Grundlage dafür.
Häufige Fragen
01Muss ich die SBOM veröffentlichen?
Nein. Erwägungsgrund 77 sagt ausdrücklich, dass Hersteller nicht verpflichtet sein sollten, die SBOM zu veröffentlichen. Die Marktüberwachungsbehörde kann sie auf begründetes Verlangen anfordern.
02Reichen die obersten Abhängigkeiten?
Das ist das Minimum der Verordnung. Die Technische Richtlinie TR-03183-2 des BSI verlangt mehr, etwa jede Komponente, die der Linker verwendet hat.
03Gilt die Pflicht für Produkte, die schon im Markt sind?
Ein Produkt, das vor dem 11. Dezember 2027 in Verkehr gebracht wurde, unterliegt den Anforderungen nur, wenn es danach wesentlich geändert wird (Art. 69 Abs. 2). Die Meldepflichten nach Art. 14 gelten für alle Produkte im Anwendungsbereich, auch für die schon im Markt (Art. 69 Abs. 3).