CRA und SBOM-Pflicht: Was für Hersteller ab 2026 gilt
Der Cyber Resilience Act macht aus der SBOM-Frage eine Terminfrage. Die EU-Verordnung 2024/2847 ist seit Dezember 2024 in Kraft, und ihre erste scharfe Stufe zündet am 11. September 2026: Ab dann müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die Hauptpflichten inklusive CE-Kennzeichnung folgen am 11. Dezember 2027. Wer Software verkauft, egal ob Gerät, Standalone-Produkt oder App, sollte die Zeit dazwischen nutzen. Dieser Artikel sortiert, was wirklich gefordert ist und welche Rolle die SBOM dabei spielt.
Wen der CRA trifft
Der CRA gilt für “Produkte mit digitalen Elementen”, die in der EU in Verkehr gebracht werden. Das ist bewusst breit: vernetzte Geräte, Betriebssysteme, Desktop- und Mobile-Anwendungen, aber auch reine Softwareprodukte, die kommerziell angeboten werden. Ausgenommen sind unter anderem SaaS ohne Produktcharakter (dafür greift NIS-2, siehe unser Artikel zur NIS-2-Compliance im Mittelstand), reine Auftragsentwicklung und unentgeltliche Open-Source-Software außerhalb einer kommerziellen Tätigkeit.
Gerade die Open-Source-Abgrenzung verdient einen zweiten Blick: Wer ein Open-Source-Produkt kommerziell verwertet, etwa als Support-Abo oder Enterprise-Edition, fällt sehr wohl unter die Verordnung. Und wer fremde Open-Source-Komponenten in sein Produkt einbaut, bleibt für deren Schwachstellen als Hersteller verantwortlich. Genau hier kommt die SBOM ins Spiel.
Die Fristen im Überblick
Drei Daten strukturieren die Umsetzung. Seit dem 10. Dezember 2024 ist die Verordnung in Kraft, was zunächst nur den Countdown startete. Ab dem 11. September 2026 gelten die Meldepflichten nach Artikel 14: Eine aktiv ausgenutzte Schwachstelle muss binnen 24 Stunden als Frühwarnung an das zuständige nationale CSIRT und die ENISA gemeldet werden, mit Folgemeldungen nach 72 Stunden und einem Abschlussbericht. Ab dem 11. Dezember 2027 gelten sämtliche Anforderungen: Produkte brauchen dann eine Konformitätsbewertung, die CE-Kennzeichnung erstreckt sich erstmals auch auf Cybersicherheit, und die technische Dokumentation muss vollständig vorliegen.
Die 24-Stunden-Frist ist organisatorisch anspruchsvoller, als sie klingt. Sie setzt voraus, dass ein Unternehmen überhaupt erkennt, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird, intern eskalieren kann und einen eingespielten Meldeweg hat. Das ist ein Prozess-Thema, kein Formular-Thema, und Prozesse baut man nicht in der Woche vor dem Stichtag.
Was der CRA konkret zur SBOM sagt
Anhang I Teil II der Verordnung verpflichtet Hersteller, die Schwachstellen ihrer Produkte zu behandeln, und nennt als erste Maßnahme, die Komponenten des Produkts zu identifizieren und zu dokumentieren, unter anderem durch eine Software Bill of Materials in einem gängigen, maschinenlesbaren Format, mindestens über die obersten Abhängigkeitsebenen. Die SBOM muss nicht veröffentlicht werden, aber der Marktüberwachung auf Verlangen vorgelegt werden können, und sie ist Teil der technischen Dokumentation.
Praktisch heißt das dreierlei. Die SBOM-Erzeugung muss in die Build-Pipeline, denn ein manuell gepflegtes Dokument ist bei jedem Release veraltet. Das Format sollte SPDX oder CycloneDX sein, beides ist “gängig und maschinenlesbar” im Sinne der Verordnung. Und die SBOM muss inhaltlich stimmen, denn eine Stückliste, die Komponenten verschweigt oder Versionen falsch angibt, hilft weder beim Schwachstellen-Management noch vor der Marktüberwachung.
Erzeugen reicht nicht: SBOMs prüfen und nutzen
Die unterschätzte Hälfte der Pflicht ist die Nutzung. Der CRA verlangt nicht nur eine Stückliste, sondern wirksames Schwachstellen-Management auf ihrer Basis: wissen, was im Produkt steckt, betroffene Komponenten bei neuen CVEs identifizieren, Updates bereitstellen. Eine SBOM, die nach dem Build ungelesen im Artefakt-Speicher liegt, erfüllt den Buchstaben und verfehlt den Zweck.
Dafür muss man die eigenen Dokumente auch anschauen können. Bei mehrstufigen Produkten entstehen schnell kaskadierende SBOM-Strukturen über Release, Komponenten und Container-Images hinweg, und spätestens dann braucht es Werkzeuge, die diese Struktur auflösen. Wir haben mit SBOM Lens einen offenen Viewer dafür gebaut, inklusive Qualitätsbericht entlang der NTIA-Minimum-Elements, der Lücken in Versionsangaben, Lieferanten und Prüfsummen sichtbar macht, bevor es die Marktüberwachung tut.
Fazit
Der CRA ist kein Papiertiger: Ab dem 11. September 2026 gelten Meldepflichten mit 24-Stunden-Frist, ab Ende 2027 hängt das CE-Kennzeichen an der Cybersicherheit, und die SBOM ist als Teil der technischen Dokumentation gesetzt. Wer jetzt die SBOM-Erzeugung in die Pipeline bringt, die Dokumentqualität prüft und den Meldeprozess übt, verwandelt eine Compliance-Pflicht in einen Vorsprung. Den Verordnungstext gibt es auf EUR-Lex; für die Umsetzung in Pipeline und Prozess unterstützen wir von der Bestandsaufnahme bis zum fertigen Workflow: Software Engineering bei EverBright.
Häufige Fragen
Ab wann gilt die SBOM-Pflicht im Cyber Resilience Act?
Die SBOM-Anforderung ist Teil der technischen Dokumentation und greift mit den Hauptpflichten ab dem 11. Dezember 2027. Bereits ab dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen. Da wirksames Schwachstellen-Management eine aktuelle SBOM voraussetzt, sollte die Erzeugung deutlich früher stehen.
Muss die SBOM unter dem CRA veröffentlicht werden?
Nein. Der CRA verlangt eine SBOM in einem gängigen, maschinenlesbaren Format mindestens über die obersten Abhängigkeitsebenen als Teil der technischen Dokumentation. Sie muss der Marktüberwachung auf Verlangen vorgelegt werden, eine Veröffentlichungspflicht gegenüber Kunden oder der Allgemeinheit besteht nicht.
Fällt Open-Source-Software unter den Cyber Resilience Act?
Unentgeltliche Open-Source-Software außerhalb einer kommerziellen Tätigkeit ist ausgenommen. Sobald ein Produkt kommerziell verwertet wird, etwa über Support-Verträge oder eine Enterprise-Edition, gelten die Pflichten. Hersteller, die Open-Source-Komponenten einbauen, bleiben zudem für deren Schwachstellen im eigenen Produkt verantwortlich.
Was passiert bei Verstößen gegen den CRA?
Die Verordnung sieht Bußgelder bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Daneben kann die Marktüberwachung Produkte vom Markt nehmen. Der größere Alltagsschaden entsteht oft früher: ohne CE-Konformität kein Inverkehrbringen in der EU ab Ende 2027.
