Question 1

Schreibt der CRA ein bestimmtes SBOM-Format vor?

Accepted Answer

Für die praktische Umsetzung werden häufig CycloneDX oder SPDX verwendet. Welche Vorgaben und harmonisierten Standards im konkreten Fall gelten, sollte anhand der aktuellen offiziellen Unterlagen geprüft werden.

Question 2

Muss eine SBOM veröffentlicht werden?

Accepted Answer

Die technische Dokumentation und Informationspflichten sind von einer allgemeinen öffentlichen Veröffentlichung der vollständigen SBOM zu unterscheiden. Der konkrete Umgang sollte produkt- und risikobezogen festgelegt werden.

Question 3

Reicht ein einmaliger SBOM-Scan?

Accepted Answer

Nein. Komponenten und Schwachstellen ändern sich. Eine SBOM sollte reproduzierbar pro relevanter Version entstehen und in einen fortlaufenden Auswertungsprozess eingebunden sein.

SBOM und Cyber Resilience Act