SBOM erstellen für SaaS-Anbieter

Software Bill of Materials (SBOM)

Eine SBOM ist ein maschinenlesbares Inventar aller Software-Komponenten eines Produkts — einschließlich Third-Party-Bibliotheken, Open-Source-Abhängigkeiten, Treiber und Firmware. Der CRA verlangt sie als Teil der technischen Dokumentation.

Konkrete Anforderungen nach CRA:

• Vollständiges Inventar aller Software-Komponenten (eigene und zugekaufte)
• Maschinenlesbares Format: CycloneDX oder SPDX empfohlen
• Enthält: Komponentenname, Version, Lizenz, Hersteller, bekannte CVEs
• Aktuell halten bei Updates und Patches
• Kunden auf Anfrage zugänglich machen

Warum ist SBOM erstellen für SaaS-Anbieter besonders relevant?

Ob und in welchem Umfang der CRA auf SaaS-Anbieter zutrifft, hängt davon ab, ob ihr Dienst eine direkte oder indirekte Datenverbindung mit einem Gerät einschließt. Cloud-Dienste für IoT-Device-Management oder OTA-Updates fallen klar darunter. Die SBOM der Cloud-Anwendung sollte trotzdem vorgehalten werden — als Sicherheits-Grundlage und für Kundentransparenz.

Besonderheiten im SaaS-Anbieter

• Abgrenzung CRA-relevant / nicht relevant ist für SaaS noch nicht final durch EU-Leitlinien geklärt
• Device-Management-SaaS ist klar CRA-relevant — Kompromittierung kann Millionen Geräte betreffen
• Vorsorglich CRA-Anforderungen umsetzen — auch wenn Geltungsbereich noch unklar

Erste Schritte zur Umsetzung

1. 1

   SBOM-Tool wählen (z. B. Syft, Trivy, CycloneDX-Maven-Plugin)

2. 2

   SBOM in CI/CD-Pipeline integrieren — automatische Generierung bei jedem Build

3. 3

   OEM-Komponenten: SBOM-Daten von Zulieferern einfordern

4. 4

   CVE-Monitoring einrichten (SBOM als Basis für Schwachstellen-Scanning)

5. 5

   SBOM in technischer Dokumentation referenzieren