Der Cyber Resilience Act verlangt nicht nur, dass ein Produkt sicher entworfen ist. Er verlangt, dass der Hersteller die Sicherheit über den gesamten Supportzeitraum aufrechterhalten kann – also Schwachstellen aktiv managt. Und das geht ohne eines nicht: ohne Überblick darüber, woraus das Produkt eigentlich besteht.
Ein SBOM (Software Bill of Materials) ist ein strukturiertes Verzeichnis der Softwarekomponenten, aus denen ein Produkt besteht – einschließlich Bibliotheken und Abhängigkeiten Dritter. Ein modernes Produkt enthält Dutzende bis Hunderte davon, und genau dort tauchen die meisten Schwachstellen auf. Der CRA setzt ein SBOM daher als Teil des Schwachstellenmanagements voraus.
Der Wert eines SBOM zeigt sich, sobald eine neue Schwachstelle in einer weit verbreiteten Komponente auftaucht. Ohne SBOM beginnt die Suche: Welche unserer Produkte nutzen diese Bibliothek? Mit einem aktuellen SBOM ist die Antwort eine Frage von Minuten.
Der CRA verlangt Schwachstellenmanagement über den gesamten Supportzeitraum eines Produkts – in der Regel mindestens fünf Jahre. Das bedeutet einen kontinuierlichen Prozess, kein Projekt mit Ende. Ein funktionierender Prozess umfasst meist:
An das Schwachstellenmanagement schließt die Meldepflicht an. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb festgelegter Fristen an ENISA melden. Um diese Fristen einzuhalten, braucht ein Unternehmen Prozess, Rollen und Vorlagen, bevor eine reale Situation eintritt.
Verwandte Leistung
Vorfälle & Schwachstellen
Der CRA teilt die Pflichten nach Rolle auf. Finden Sie heraus, in welcher Sie sich befinden – und wann sich die Rolle unerwartet ändert.
Der CRA wird nicht auf einmal eingeführt. Gehen Sie die drei zentralen Daten durch – und warum 'wir haben Zeit bis 2027' eine gefährliche Falle ist.
Eine kostenlose Beratung zeigt Ihnen schnell, wo Sie stehen und welcher Weg zur Compliance der kürzeste ist.
Beratung vereinbaren