SBOM für CRA — versionsbezogenes Softwareverzeichnis
Eine SBOM identifiziert Softwarekomponenten. Sie unterstützt die Schwachstellenbehandlung, ist aber weder Zertifikat noch Liste, die automatisch CRA-Konformität begründet.
Artefakt identifizieren
Ordnen Sie die SBOM dem tatsächlichen Produkt, der Kundenvariante, Version und dem Quellartefakt zu. Erfassen Sie Format, Erzeugungskontext und Prüfung; erfolgreiches Einlesen beweist weder Echtheit noch Vollständigkeit.
Von der Komponente zur menschlichen Entscheidung
Prüfen Sie CVE-/OSV-Treffer anhand stabiler Kennungen und Versionen. Ein Treffer ist eine Feststellung, kein Ausnutzbarkeitsnachweis. Dokumentieren Sie Betroffenheit, Begründung, gegebenenfalls VEX und Nachweise der Behebung.
Aktuell halten
Aktualisieren Sie das Verzeichnis bei Versionsänderungen und bewahren Sie historische SBOMs auf. Verbinden Sie Backports und Update-Rollouts mit betroffenen Installationen. Eine SBOM beschreibt nicht automatisch sämtliche Kunden-Forks.
Nächste Schritte
Offizielle Quellen und Prüfungskontext
Regulation (EU) 2024/2847 · European Commission · ENISA SRP
CRA-I18N-2026-10-14-DRAFT-4
Operative Werkzeuge und aufbewahrte Unterlagen. Es werden weder Rechtsgutachten noch Konformitätsbewertung, Zertifizierung oder Bestätigung der CRA-Konformität erstellt.