Was Ihre SBOM enthält

Dies ist ein Beispiel. Ihm liegt eine kleine Musterdatei zugrunde, die wir für diese Seite geschrieben haben.

Wir haben eine Datei im Format CycloneDX 1.6 gelesen. Komponenten: 12.

Nach eigener Angabe wurde die Datei am 1. Oktober 2026 erstellt.

Die NTIA-Mindestelemente

Dies sind die Datenfelder aus dem Dokument „The Minimum Elements For a Software Bill of Materials (SBOM)“, das am 12. Juli 2021 vom US-Handelsministerium und von der NTIA veröffentlicht wurde.

Name des Lieferanten: bei 7 von 12 Komponenten vorhanden
Name der Komponente: bei 12 von 12 Komponenten vorhanden
Version: bei 11 von 12 Komponenten vorhanden
Weitere eindeutige Kennungen (Package URL): bei 9 von 12 Komponenten vorhanden
Abhängigkeitsbeziehungen: 12 angegeben
Autor der SBOM-Daten: Example Devices
Zeitstempel: 2026-10-01T09:00:00Z

Was die Cyberresilienz-Verordnung von einer SBOM verlangt

Nach Anhang I Teil II Nummer 1 der Verordnung (EU) 2024/2847 müssen Hersteller:

Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen;

Die Datei nennt das Produkt, das sie beschreibt: Sample Gateway.
Direkte Abhängigkeiten dieses Produkts, in der Datei als Abhängigkeitsbeziehungen angegeben: 5.

Die Verordnung nennt kein bestimmtes Format; sie verlangt ein gängiges maschinenlesbares Format. Nach Artikel 13 Absatz 24 kann die Kommission das Format und die Elemente der SBOM im Wege von Durchführungsrechtsakten festlegen.

Was sich auf Schwachstellen überwachen lässt

Schwachstellendaten werden einer Komponente über ihre Package URL zugeordnet.

Komponenten mit einer Package URL, die DevKit Dossier mit öffentlichen Schwachstellendaten abgleichen kann: 7 von 12.
Ohne Package URL: 3.
Von einem Pakettyp, für den DevKit Dossier noch keine Schwachstellendaten abgleicht: 1.
Ohne Version: 1.

Was wir nicht einwandfrei lesen konnten

Nichts: Jeder Eintrag wurde gelesen.

Ein einzelner Check ist eine Momentaufnahme. Jeden Tag werden neue Schwachstellen bekannt.

DevKit Dossier bewahrt die SBOM jedes Releases auf, gleicht sie täglich mit neuen Schwachstellen ab und führt die Aufzeichnungen mit ihren Zeitstempeln. Es unterstützt Ihre Nachweise; es ersetzt Ihre eigene Bewertung nicht.

Weitere Datei hochladen

Sie wissen nicht genau, was der CRA von einer SBOM verlangt? Lesen Sie den Leitfaden.

Der Bericht zählt, was die Datei enthält. Er ist keine Aussage zur Konformität und keine Rechtsberatung.