SBOM-Pflicht im CRA. Die Liste ist der leichte Teil.
Seit dem 11.09.2026 melden Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden. Das schafft nur, wer weiß, was in seinem Produkt steckt. Genau dafür verlangt der Cyber Resilience Act eine Software-Stückliste.
Frühwarnung an ENISA und CSIRT, Pflicht seit 11.09.2026
Volle Anwendung, ab dann gilt die SBOM-Pflicht aus Anhang I
oder 2,5 % des weltweiten Jahresumsatzes: Bußgeldrahmen bei Verstößen gegen Anhang I, Art. 13 und 14
Was der CRA wörtlich verlangt
Anhang I Teil II Nr. 1 der Verordnung (EU) 2024/2847: Hersteller müssen „Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen“.
Die SBOM gehört zur technischen Dokumentation. Marktüberwachungsbehörden können sie anfordern. Eine Pflicht, sie zu veröffentlichen, enthält die Verordnung nicht.
Wen es trifft und wen nicht
Pflichtig sind Hersteller von Produkten mit digitalen Elementen: Hardware mit Firmware, installierbare Software, Apps, Komponenten. Wer Komponenten Dritter einbaut, muss dabei die gebotene Sorgfalt walten lassen, ausdrücklich auch bei freier und quelloffener Software (Art. 13 Abs. 5).
Reines SaaS fällt grundsätzlich nicht unter den CRA, es sei denn, es ist eine Fernverarbeitungslösung, ohne die ein Produkt seine Funktion nicht erfüllt. Betreiber und Anwender haben keine eigene CRA-Pflicht, spüren sie aber über Einkauf und NIS2-Lieferkette. Ob Ihr Produkt betroffen ist, klären Sie am konkreten Produkt, nicht am Firmenprofil.
Format: woran Sie sich heute halten können
Die Kommission kann Format und Elemente der SBOM per Durchführungsrechtsakt festlegen (Art. 13 Abs. 24). Bis dahin ist die BSI TR-03183-2 die deutsche technische Referenz. Version 2.1.0 vom 20.08.2025 verlangt CycloneDX ab Version 1.6 oder SPDX ab Version 3.0.1.
Die Technische Richtlinie ist kein Gesetz. Wer heute nach ihr baut, muss bei einem späteren EU-Format voraussichtlich nur nachjustieren statt neu anzufangen.
SBOM, SCA, Experten: wer macht was
Die SBOM ist das Inventar: welche Komponente in welcher Version im Release steckt. Software Composition Analysis (SCA) ist das Werkzeug dazu. Ein SCA-Scanner erkennt die Abhängigkeiten im Code oder Build, erzeugt die SBOM und gleicht sie gegen Schwachstellen- und Lizenzdaten ab, etwa OSV oder NVD.
Ein Scanner liefert Treffer, oft Hunderte. Die Meldepflicht hängt an anderen Fragen: Wird die Schwachstelle aktiv ausgenutzt? Ist sie in Ihrem Produkt überhaupt erreichbar? Was wird zuerst behoben? Das beantwortet kein Tool allein. Diese Einschätzung dokumentieren Sie am besten maschinenlesbar, zum Beispiel als VEX-Aussage zur SBOM.
Was seit dem 11.09.2026 gilt
Artikel 14 verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale ENISA-Meldeplattform zu melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei Vorfällen binnen eines Monats.
Das gilt auch für Produkte, die schon vor dem Stichtag auf dem Markt waren (Art. 69 Abs. 3). Ohne aktuelle SBOM wird aus der 24-Stunden-Frist eine Suche im eigenen Code.
In fünf Schritten zur belastbaren SBOM
1. Produkte und Rolle klären: Hersteller, Einführer oder Händler, und welche Produkte im Scope sind.
2. SBOM pro Release automatisch im Build erzeugen, im Format CycloneDX oder SPDX.
3. Per SCA laufend gegen Schwachstellen- und Lizenzdaten abgleichen, nicht nur einmal vor dem Release.
4. Treffer fachlich bewerten, Entscheidungen als VEX dokumentieren, Behebung priorisieren.
5. Den Meldeweg vorab testen: EU-Login, zuständiges CSIRT, Zugang zur Meldeplattform, Vertretungsregel für Wochenenden.
Wo awedit ansetzt
Wir lesen Ihre SBOM und SCA-Ergebnisse, Expert:innen bewerten die Treffer gegen Ihr Produkt und Ihre Meldepflicht, und wir machen Ihren Meldeweg einsatzbereit. Ihre Konformitätserklärung unterschreiben Sie selbst, bei Produkten der Klassen I, II oder kritisch kann eine benannte Stelle nötig sein. Dieser Schritt gehört nie uns.
Externe Beratung zur Informationssicherheit ist in einigen Programmen förderfähig, zum Beispiel im Hamburg Digital Check. Über die Bewilligung entscheidet die Förderstelle.
Häufige Fragen zur SBOM
Muss ich meine SBOM veröffentlichen?
Nein. Der CRA verlangt, dass Sie die SBOM erstellen und als Teil der technischen Dokumentation vorhalten. Marktüberwachungsbehörden können sie anfordern. Eine Veröffentlichungspflicht enthält die Verordnung nicht.
Reichen die obersten Abhängigkeiten?
Rechtlich sind sie das Minimum. Für die Schwachstellenbehandlung reicht das in der Praxis selten, weil Schwachstellen oft in transitiven Abhängigkeiten liegen, die eine Top-Level-Liste nicht zeigt.
Ab wann gilt die SBOM-Pflicht?
Die Anforderungen aus Anhang I gelten mit der vollen Anwendung ab dem 11.12.2027. Die Meldepflichten aus Artikel 14 gelten bereits seit dem 11.09.2026, und sie setzen praktisch voraus, dass Sie Ihre Komponenten kennen.
Brauche ich ein SCA-Tool?
Der CRA schreibt kein Werkzeug vor. Eine SBOM, die bei jedem Release stimmen muss, ist ohne Automatisierung im Build allerdings kaum zu pflegen. Ein SCA-Scanner ersetzt dabei nicht die fachliche Bewertung der Treffer.
Betrifft die SBOM-Pflicht reines SaaS?
In der Regel nicht. Der CRA erfasst Produkte mit digitalen Elementen und deren Fernverarbeitungslösungen. Reines SaaS ohne zugehöriges Produkt fällt grundsätzlich heraus. Prüfen Sie das am konkreten Angebot.
Stand bei letzter Prüfung: 20.10.2026
Quellen
Orientierung, kein Nachweis. Dieser Leitfaden ersetzt keine Rechtsberatung.
awedit liefert Readiness-Werkzeuge und fachliche Einschätzung durch Expert:innen. awedit führt keine vorbehaltenen Prüfungshandlungen durch und stellt keine Zertifikate oder Testate aus. Das C5-Testat (Wirtschaftsprüfer, ISAE 3000 / IDW PS 860), das MDR-Zertifikat der Benannten Stelle und jeder andere vorbehaltene Akt gehören der gesetzlich benannten Prüfinstanz. Ein Self-Check- oder Scan-Ergebnis ist Orientierung, kein Compliance-Nachweis, und erfüllt keine gesetzliche Anforderung. awedit ist eine Marke von sumthink, betrieben durch die Die Quadratur UG, Hamburg. Keine Rechtsberatung.