Das Wichtigste in Kürze
- Anhang I Teil II Nr. 1: SBOM in einem gängigen, maschinenlesbaren Format, mindestens mit den obersten Abhängigkeiten.
- Die Pflicht gilt ab dem 11.12.2027. Für die Meldepflicht seit dem 11.09.2026 ist die SBOM aber das wichtigste Werkzeug.
- Die SBOM muss nicht veröffentlicht werden. Die Marktüberwachung kann sie auf begründetes Verlangen anfordern.
- Ein EU-Durchführungsrechtsakt zum Format ist noch nicht erlassen. Die BSI TR-03183-2 nennt CycloneDX ab 1.6 und SPDX ab 3.0.1.
- Sinnvoll ist eine SBOM je Produkt und Firmwarestand, mit den Stücklisten der Zulieferer.
Was der CRA verlangt
Art. 3 Nr. 39 definiert die Software-Stückliste als „formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten, die in den Softwareelementen eines Produkts mit digitalen Elementen enthalten sind“.
Anhang I Teil II Nr. 1 verpflichtet Hersteller, Schwachstellen und Komponenten ihrer Produkte zu ermitteln und zu dokumentieren, unter anderem durch eine Software-Stückliste „in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen“. Diese Anforderung gilt mit dem übrigen CRA ab dem 11. Dezember 2027.
Wer die SBOM zu sehen bekommt
- Öffentlichkeit: Hersteller müssen die SBOM nicht veröffentlichen (Erwägungsgrund 77). Stellen sie sie Nutzern bereit, geben sie in der Gebrauchsinformation an, wo sie abrufbar ist (Anhang II Nr. 9).
- Marktüberwachung: Die SBOM gehört zur technischen Dokumentation. Die Behörde kann sie auf begründetes Verlangen anfordern, wenn sie das zur Prüfung der Anforderungen aus Anhang I braucht (Anhang VII Nr. 8). In Deutschland wird das BSI diese Aufgabe übernehmen.
- Abhängigkeitsbewertung: Für eine unionsweite Bewertung von Abhängigkeiten können Behörden Hersteller bestimmter Produktkategorien auffordern, ihre SBOM vorzulegen (Art. 13 Abs. 25).
- Kunden: Große Abnehmer fordern Stücklisten und Nachweise zunehmend vertraglich an, unabhängig von der Pflicht gegenüber Behörden.
Formate und Mindestinhalt
Die Kommission kann Format und Elemente der SBOM per Durchführungsrechtsakt festlegen (Art. 13 Abs. 24). Anfang November 2026 ist ein solcher Rechtsakt nicht erlassen. Unionsrechtlich gilt also nur „gängig und maschinenlesbar“.
Orientierung gibt die Technische Richtlinie BSI TR-03183-2 (Version 2.1.0 vom August 2025). Sie bezieht sich auf den CRA und verlangt:
| Punkt | BSI TR-03183-2 | CRA Anhang I |
|---|---|---|
| Format | CycloneDX ab Version 1.6 oder SPDX ab Version 3.0.1 | gängig und maschinenlesbar |
| Tiefe | rekursiv bis einschließlich der ersten Komponente außerhalb des eigenen Lieferumfangs | mindestens oberste Abhängigkeiten |
| Rechtsnatur | nationale technische Richtlinie, kein Rechtsakt | unmittelbar geltende Verordnung |
Wer heute Stücklisten aufbaut, fährt mit CycloneDX oder SPDX in aktueller Version und einer Tiefe nach der BSI-Richtlinie sicher. Ob Marktüberwachung oder harmonisierte Normen die Richtlinie später übernehmen, ist offen.
Fristen nicht von Hand zählen
Fixradar gleicht Ihre Stücklisten täglich ab, erkennt aktiv ausgenutzte Lücken und bereitet Frühwarnung, Meldung und Abschlussbericht für die ENISA-Plattform vor.
Warum die SBOM schon für die Meldepflicht zählt
Steht eine Lücke im Katalog ausgenutzter Schwachstellen, stellt sich für jeden Hersteller dieselbe Frage: Steckt die betroffene Komponente in einem meiner Produkte, in welcher Version, in welchem Firmwarestand, und bei welchen Kunden? Ohne Stückliste dauert die Antwort Tage. Die Frühwarnung muss in 24 Stunden draußen sein.
Deshalb lohnt sich der Aufbau schon vor 2027. Die Stückliste ist auch die Grundlage für die Nutzerinformation nach Art. 14 Abs. 8 und für VEX-Aussagen, mit denen ein Hersteller begründet, warum eine Lücke in seinem Produkt nicht ausnutzbar ist.
Praxis im Maschinenbau
- Je Firmwarestand eine Stückliste: Maschinen bleiben Jahrzehnte im Feld. Entscheidend ist, welche Version beim Kunden läuft, nicht nur die aktuelle.
- Zulieferer einbeziehen: Steuerungen, Panels und Gateways kommen oft von Zulieferern. Deren Stücklisten gehören in die eigene, am besten über einen festen Anfrageweg.
- Erzeugen statt abtippen: Build-Systeme wie Yocto erzeugen Stücklisten und Prüfberichte automatisch; Werkzeuge für CycloneDX und SPDX gibt es für die gängigen Sprachen.
- Täglich abgleichen: Eine Stückliste ist nur so gut wie der Abgleich gegen neue Schwachstellen. Neue Einträge in KEV und EUVD erscheinen jeden Tag.
- Nachweise ablegen: Welche Lücke wurde wann bewertet, mit welchem Ergebnis? Das braucht es für Behörden, Kunden und die eigene Haftung.
Häufige Fragen
Ab wann ist die SBOM nach CRA Pflicht?
Mit den Anforderungen aus Anhang I ab dem 11. Dezember 2027. Für die Meldepflicht, die seit dem 11. September 2026 gilt, ist sie aber schon heute das wichtigste Werkzeug.
Muss ich meine SBOM veröffentlichen?
Nein. Sie gehört zur technischen Dokumentation. Die Marktüberwachungsbehörde kann sie auf begründetes Verlangen anfordern.
Welches Format soll ich nehmen, CycloneDX oder SPDX?
Beide sind gängig und maschinenlesbar. Die BSI TR-03183-2 nennt CycloneDX ab Version 1.6 und SPDX ab Version 3.0.1.
Reichen die obersten Abhängigkeiten?
Für den Mindeststandard des CRA ja. Die BSI-Richtlinie verlangt mehr Tiefe. Für eine schnelle Bewertung ausgenutzter Lücken ist eine tiefere Stückliste deutlich hilfreicher.
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex
- BSI TR-03183-2: Software Bill of Materials (SBOM), Version 2.1.0 (20.08.2025)
- Europäische Kommission: Leitlinie zur Anwendung der Verordnung (EU) 2024/2847, C(2026) 5252 (27.07.2026)
- BSI: CRA-Durchführungsgesetz verabschiedet (16.10.2026)
Stand: November 2026. Die Angaben geben die allgemeine Rechtslage wieder und ersetzen keine Rechtsberatung im Einzelfall.