Software Bill of Materials (SBOM)
Die SBOM ist das Inventar der Software in einem Produkt. Sie ist Pflichtbestandteil der Schwachstellenbehandlung und der technischen Dokumentation, muss aber nicht veröffentlicht werden.
Software Bill of Materials, kurz SBOM, auf Deutsch Software-Stückliste, ist ein maschinenlesbares Verzeichnis der Softwarekomponenten, aus denen ein Produkt besteht. Sie zeigt, welche Bibliotheken, Pakete und Abhängigkeiten im Produkt stecken, und ist die Grundlage für das Aufspüren von Schwachstellen.
Definition in der Verordnung
Anhang I Teil II Nummer 1 der Verordnung (EU) 2024/2847 verlangt, Schwachstellen und Komponenten zu ermitteln und zu dokumentieren, unter anderem durch eine Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten hervorgehen. Nach Anhang VII Nummer 2 Buchstabe b ist die SBOM Teil der technischen Dokumentation, nach Anhang VII Nummer 8 der Marktüberwachungsbehörde auf begründetes Verlangen vorzulegen. Erwägungsgrund 77 stellt klar, dass Hersteller nicht verpflichtet sein sollten, die SBOM zu veröffentlichen; Anhang II Nummer 9 verlangt nur dann die Angabe des Zugriffsorts, wenn der Hersteller sie Nutzern bereitstellt. Artikel 13 Absatz 24 ermächtigt die Kommission, Format und Elemente per Durchführungsrechtsakt festzulegen; das ist bisher nicht geschehen.
Was das für Hersteller bedeutet
Ein verbindliches Format gibt es noch nicht. In Deutschland nennt die freiwillige BSI TR-03183-2 (Version 2.1.0 vom 20. August 2025) CycloneDX ab 1.6 oder SPDX ab 3.0.1 und verlangt je Softwareversion eine eigene SBOM mit Pflichtfeldern wie Ersteller, Komponentenname, Version, Lizenz und Hashwert. Die Technische Richtlinie geht in der Tiefe über die Verordnung hinaus: alle eigenen Komponenten vollständig, dazu die erste Fremdkomponente je Pfad. Schwachstellen gehören nicht in die SBOM, sondern in Advisories oder VEX-Dokumente. Praktisch entsteht die SBOM im Build und wird laufend gegen Schwachstellendatenbanken abgeglichen. Firmware von Zulieferern sollte nicht ohne eigene Stückliste akzeptiert werden. Ein Treffer im Abgleich ist noch keine Meldepflicht; die entsteht erst bei aktiver Ausnutzung im eigenen Produkt.