{"id":148,"date":"2026-11-09T13:06:28","date_gmt":"2026-11-09T12:06:28","guid":{"rendered":"https:\/\/sweva.maenken.cloud\/?p=148"},"modified":"2026-11-09T13:07:07","modified_gmt":"2026-11-09T12:07:07","slug":"sbom-und-cra-was-muss-ein-softwarehersteller-praktisch-vorbereiten","status":"publish","type":"post","link":"https:\/\/maenken.systems\/de\/sbom-und-cra-was-muss-ein-softwarehersteller-praktisch-vorbereiten\/","title":{"rendered":"SBOM und CRA: Was muss ein Softwarehersteller praktisch vorbereiten?"},"content":{"rendered":"\n<figure class=\"wp-block-image size-full\"><img fetchpriority=\"high\" decoding=\"async\" width=\"1200\" height=\"628\" src=\"https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/sbom-cra-vorbereitung-beitragsbild.jpeg\" alt=\"Illustration zur Softwaretransparenz: Ein Laptop mit Karteikarten, eine Person mit Aktenordner und eine Lupe.\" class=\"wp-image-147\" srcset=\"https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/sbom-cra-vorbereitung-beitragsbild.jpeg 1200w, https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/sbom-cra-vorbereitung-beitragsbild-300x157.jpeg 300w, https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/sbom-cra-vorbereitung-beitragsbild-1024x536.jpeg 1024w, https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/sbom-cra-vorbereitung-beitragsbild-768x402.jpeg 768w\" sizes=\"(max-width: 1200px) 100vw, 1200px\" \/><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\" style=\"font-size:21px\">Welche Bibliotheken stecken in einer ausgelieferten Anwendung? Welche Produktversionen sind von einer neuen Sicherheitsl\u00fccke betroffen? Und wer sorgt daf\u00fcr, dass Kunden rechtzeitig ein Update erhalten? F\u00fcr viele Softwarehersteller sind diese Informationen \u00fcber Entwicklungsprojekte, Build-Systeme und einzelne Personen verteilt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\" style=\"font-size:21px\">Der Cyber Resilience Act (CRA) macht einen nachvollziehbaren Umgang mit Produktsicherheit und Schwachstellen zur Herstelleraufgabe. Eine Software Bill of Materials (SBOM) liefert daf\u00fcr wichtige Komponenteninformationen. Damit sie im Alltag hilft, muss sie jedoch in Entwicklung, Ver\u00f6ffentlichung und laufende Betreuung eingebunden sein.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dieser Artikel beschreibt, welche Vorbereitungen daf\u00fcr sinnvoll sind und welche weiteren CRA-Anforderungen Softwarehersteller ber\u00fccksichtigen m\u00fcssen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Zwei Termine \u2013 unterschiedliche Aufgaben<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die wesentlichen Produktanforderungen des CRA gelten ab dem 11. Dezember 2027. Die Hersteller-Meldepflichten f\u00fcr aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorf\u00e4lle mit Auswirkungen auf die Produktsicherheit gelten bereits seit dem 11. September 2026. Wer die Vorbereitung bis 2027 aufschiebt, kann daher schon heute erforderliche Meldeprozesse vermissen. <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cyber-resilience-act\" rel=\"nofollow noopener\" target=\"_blank\">Die EU-Kommission erl\u00e4utert den Zeitplan.<\/a><\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes\"><table class=\"has-fixed-layout\"><thead><tr><th>Bereits organisieren<\/th><th>F\u00fcr die Produktanforderungen ab Dezember 2027 vorbereiten<\/th><\/tr><\/thead><tbody><tr><td>Sicherheitsmeldungen entgegennehmen und bewerten<\/td><td>Produktrisiken bewerten und Sicherheitsanforderungen umsetzen<\/td><\/tr><tr><td>Meldepflichtige Ereignisse erkennen und fristgerecht melden<\/td><td>Komponenten und Schwachstellen einschlie\u00dflich SBOM dokumentieren<\/td><\/tr><tr><td>Verantwortliche, Vertretungen und Meldezug\u00e4nge festlegen<\/td><td>Unterst\u00fctzungszeitraum, technische Dokumentation und Konformit\u00e4tsbewertung planen<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<div class=\"wp-block-group has-background is-layout-constrained wp-container-core-group-is-layout-4c9f5642 wp-block-group-is-layout-constrained\" style=\"border-radius:10px;background-color:#eefafa;padding-top:24px;padding-right:28px;padding-bottom:24px;padding-left:28px\">\n<p class=\"wp-block-paragraph\">Die rechte Spalte enth\u00e4lt Aufgaben, f\u00fcr die Hersteller jetzt die Prozesse aufbauen k\u00f6nnen. Sie bedeutet nicht, dass s\u00e4mtliche genannten Produktanforderungen bereits seit September 2026 gelten.<\/p>\n<\/div>\n\n\n\n<h3 class=\"wp-block-heading\">1. Produkte und Herstellerrolle einordnen<\/h3>\n\n\n\n<div class=\"wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2ef77e7f wp-block-columns-is-layout-flex\" style=\"margin-top:24px;margin-bottom:40px\">\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Zuerst braucht es eine \u00dcbersicht der Produkte, f\u00fcr die das Unternehmen Verantwortung tr\u00e4gt. Der CRA erfasst unter seinen Voraussetzungen Software- und Hardwareprodukte, deren vorgesehene oder vern\u00fcnftigerweise vorhersehbare Nutzung eine direkte oder indirekte Datenverbindung zu einem Ger\u00e4t oder Netzwerk umfasst. Hersteller ist insbesondere, wer ein Produkt unter eigenem Namen oder eigener Marke auf den Markt bringt. Ausnahmen und besondere Konstellationen m\u00fcssen gesondert gepr\u00fcft werden. Eine verst\u00e4ndliche Einordnung bietet die <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-summary\" rel=\"nofollow noopener\" target=\"_blank\">Zusammenfassung des CRA durch die EU-Kommission<\/a>.<\/p>\n<\/div>\n\n\n\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">F\u00fcr die praktische Vorbereitung empfehlen wir eine Produktliste mit:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Produktname, Funktion und Vertriebsmodell;<\/li>\n\n\n\n<li>Hersteller beziehungsweise verantwortlichem Unternehmen;<\/li>\n\n\n\n<li>ausgelieferten und weiterhin unterst\u00fctzten Versionen;<\/li>\n\n\n\n<li>zugeh\u00f6rigen Modulen, Erweiterungen und erforderlichen Diensten;<\/li>\n\n\n\n<li>verantwortlichen Personen f\u00fcr Entwicklung, Sicherheit und Kundenkommunikation.<\/li>\n<\/ul>\n<\/div>\n<\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Diese Liste schafft eine gemeinsame Grundlage. Sie verhindert beispielsweise, dass die Hauptanwendung betrachtet wird, w\u00e4hrend ein separat vertriebenes Zusatzmodul im Sicherheitsprozess fehlt.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">2. Eine nutzbare SBOM aufbauen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Der CRA verlangt im Rahmen der Schwachstellenbehandlung eine SBOM in einem g\u00e4ngigen maschinenlesbaren Format, die mindestens die direkten Abh\u00e4ngigkeiten des Produkts abdeckt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eine zus\u00e4tzliche PDF-\u00dcbersicht kann Menschen beim Lesen helfen; f\u00fcr automatisierte Auswertungen ist die strukturierte Datei entscheidend.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr eine im Alltag nutzbare Komponenten\u00fcbersicht empfehlen wir insbesondere folgende Angaben. Die Tabelle beschreibt praktische Qualit\u00e4tskriterien; sie ist keine abschlie\u00dfende Liste gesetzlich vorgeschriebener Felder.<\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes\"><table class=\"has-fixed-layout\"><thead><tr><th>Information<\/th><th>Praktischer Nutzen<\/th><\/tr><\/thead><tbody><tr><td>Eindeutige Komponentenbezeichnung<\/td><td>Komponenten zuverl\u00e4ssig wiederfinden<\/td><\/tr><tr><td>Tats\u00e4chlich verwendete Version<\/td><td>Betroffenheit durch versionsabh\u00e4ngige Schwachstellen pr\u00fcfen<\/td><\/tr><tr><td>Hersteller oder Bezugsquelle, soweit bekannt<\/td><td>R\u00fcckfragen und Sicherheitsinformationen zuordnen<\/td><\/tr><tr><td>Geeignete Identifikatoren, soweit verf\u00fcgbar<\/td><td>Automatisierte Abgleiche unterst\u00fctzen<\/td><\/tr><tr><td>Beziehungen zwischen Komponenten<\/td><td>Abh\u00e4ngigkeiten und m\u00f6gliche Auswirkungen nachvollziehen<\/td><\/tr><tr><td>Produktversion und Build-Zuordnung<\/td><td>Die \u00dcbersicht dem ausgelieferten Programm zuordnen<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<div class=\"wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2ef77e7f wp-block-columns-is-layout-flex\" style=\"margin-top:24px;margin-bottom:40px\">\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Dabei muss klar sein, was erfasst wird: Eine Liste aller Bibliotheken auf einem Entwicklerrechner beschreibt noch nicht die tats\u00e4chlich ausgelieferte Anwendung. Umgekehrt k\u00f6nnen nachgeladene Module oder mitgelieferte Laufzeitbibliotheken zus\u00e4tzliche Aufmerksamkeit ben\u00f6tigen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Gerade in gewachsenen Delphi-Projekten lohnt sich deshalb ein Abgleich zwischen automatischer Erkennung, Build-Konfiguration und Auslieferungspaket. Unbekannte Versionen oder unklar zugeordnete Komponenten sollten sichtbar bleiben und gepr\u00fcft werden.<\/p>\n<\/div>\n\n\n\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">F\u00fcr Delphi-Projekte bietet der Msys SBOM Generator M\u00f6glichkeiten, automatisch erkannte Komponenteninformationen zu erg\u00e4nzen. Pakete k\u00f6nnen \u00fcber eigene oder virtuelle SBOMs beschrieben werden. Mitgelieferte Fremdbibliotheken lassen sich als externe Module hinterlegen und dem Projekt zuordnen. Das ist insbesondere f\u00fcr dynamisch geladene DLLs hilfreich, die nicht \u00fcber die normalen DLL-Importe erkannt werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u00dcber die Kommandozeile lassen sich vorhandene SBOMs au\u00dferdem auf definierte CycloneDX-Regeln und zus\u00e4tzlich gegen das Profil der BSI TR-03183-2 pr\u00fcfen. Dabei werden beispielsweise fehlende Pflichtangaben oder nicht aufl\u00f6sbare Abh\u00e4ngigkeitsverweise gemeldet. Solche Pr\u00fcfungen unterst\u00fctzen die Qualit\u00e4tssicherung; ob s\u00e4mtliche tats\u00e4chlich ausgelieferten Komponenten erfasst sind, muss zus\u00e4tzlich gepr\u00fcft werden.<\/p>\n<\/div>\n<\/div>\n\n\n\n<h2 class=\"wp-block-heading\">Muss die SBOM \u00f6ffentlich sein?<\/h2>\n\n\n\n<div class=\"wp-block-group has-background is-layout-constrained wp-container-core-group-is-layout-4c9f5642 wp-block-group-is-layout-constrained\" style=\"border-radius:10px;background-color:#eefafa;padding-top:24px;padding-right:28px;padding-bottom:24px;padding-left:28px\">\n<p class=\"wp-block-paragraph\">Aus dem CRA folgt keine allgemeine Pflicht, jede SBOM \u00f6ffentlich ins Internet zu stellen. Die Verordnung sieht die Bereitstellung an Nutzer als m\u00f6gliche Entscheidung des Herstellers vor; Markt\u00fcberwachungsbeh\u00f6rden k\u00f6nnen unter den vorgesehenen Bedingungen Zugriff verlangen. Kundenvertr\u00e4ge k\u00f6nnen zus\u00e4tzliche Anforderungen enthalten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die praktische Umsetzung sollten Hersteller deshalb festlegen, wo SBOMs aufbewahrt werden, wer darauf zugreifen darf und wie eine angeforderte \u00dcbersicht bereitgestellt wird.<\/p>\n<\/div>\n\n\n\n<h3 class=\"wp-block-heading\">3. SBOM und ausgelieferten Build zusammenhalten<\/h3>\n\n\n\n<div class=\"wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2ef77e7f wp-block-columns-is-layout-flex\" style=\"margin-top:24px;margin-bottom:40px\">\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Ein Build ist die konkret aus Quellcode und Komponenten erstellte Anwendung. Werden eine Bibliothek, eine Plattformkonfiguration oder ein Zusatzmodul ge\u00e4ndert, kann sich auch die Zusammensetzung des ausgelieferten Programms \u00e4ndern.<\/p>\n<\/div>\n\n\n\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Deshalb empfehlen wir, die SBOM gemeinsam mit dem passenden Release zu archivieren. Praktisch l\u00e4sst sich das durch eine eindeutige Zuordnung von Produktversion, Build-Kennung, Konfiguration und SBOM-Datei organisieren. Eine neu erzeugte SBOM sollte die historische \u00dcbersicht eines fr\u00fcheren Releases nicht \u00fcberschreiben.<\/p>\n<\/div>\n<\/div>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die Ver\u00f6ffentlichung empfiehlt sich ein fester Ablauf:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li>Anwendung mit der vorgesehenen Konfiguration erstellen.<\/li>\n\n\n\n<li>SBOM erzeugen und auf fehlende oder unplausible Angaben pr\u00fcfen.<\/li>\n\n\n\n<li>Komponenten\u00fcbersicht mit dem Auslieferungspaket abgleichen.<\/li>\n\n\n\n<li>Anwendung, SBOM und Freigabeunterlagen gemeinsam archivieren.<\/li>\n<\/ol>\n\n\n\n<figure class=\"wp-block-image size-full\"><img decoding=\"async\" width=\"1440\" height=\"600\" src=\"https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/cra-release-zuordnung.png\" alt=\"\" class=\"wp-image-15756\" srcset=\"https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/cra-release-zuordnung.png 1440w, https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/cra-release-zuordnung-300x125.png 300w, https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/cra-release-zuordnung-768x320.png 768w, https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/cra-release-zuordnung-1024x427.png 1024w\" sizes=\"(max-width: 1440px) 100vw, 1440px\" \/><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">So bleibt sp\u00e4ter nachvollziehbar, welche Komponenten Kunden tats\u00e4chlich erhalten haben.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" style=\"font-size:26px\">4. Aus Komponenteninformationen einen Sicherheitsprozess machen<\/h3>\n\n\n\n<div class=\"wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2ef77e7f wp-block-columns-is-layout-flex\" style=\"margin-top:24px;margin-bottom:40px\">\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Eine SBOM beantwortet, welche Komponenten dokumentiert sind. Eine neue Schwachstellenmeldung muss anschlie\u00dfend technisch bewertet werden: Betrifft sie die verwendete Version? Ist die verwundbare Funktion vorhanden und erreichbar? Welche Folgen h\u00e4tte eine Ausnutzung?<\/p>\n<\/div>\n\n\n\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Der CRA verlangt einen geregelten Umgang mit Schwachstellen und Sicherheitsupdates. Dazu geh\u00f6ren unter anderem eine Kontaktadresse f\u00fcr Schwachstellenmeldungen, ein Konzept f\u00fcr die koordinierte Offenlegung und die sichere Verteilung von Updates.<\/p>\n<\/div>\n<\/div>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die Umsetzung empfehlen wir, Verantwortliche und Vertretungen f\u00fcr folgenden Ablauf festzulegen:<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img decoding=\"async\" width=\"1440\" height=\"740\" src=\"https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/cra-sicherheitsprozess.png\" alt=\"\" class=\"wp-image-15757\" srcset=\"https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/cra-sicherheitsprozess.png 1440w, https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/cra-sicherheitsprozess-300x154.png 300w, https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/cra-sicherheitsprozess-767x394.png 767w, https:\/\/maenken.systems\/wp-content\/uploads\/2026\/11\/cra-sicherheitsprozess-1024x526.png 1024w\" sizes=\"(max-width: 1440px) 100vw, 1440px\" \/><\/figure>\n\n\n\n<div class=\"wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2ef77e7f wp-block-columns-is-layout-flex\" style=\"margin-top:24px;margin-bottom:40px\">\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<ul class=\"wp-block-list\">\n<li>Eingang: Sicherheitsinformationen von Komponentenherstellern, Schwachstellendatenbanken und Forschenden erfassen; eine erreichbare Kontaktstelle f\u00fcr eigene Produkte anbieten.<\/li>\n\n\n\n<li>Zuordnung: Hinweise gegen die Komponenten der unterst\u00fctzten Produktversionen pr\u00fcfen.<\/li>\n\n\n\n<li>Bewertung: Tats\u00e4chliche Betroffenheit, Auswirkungen und Dringlichkeit dokumentieren.<\/li>\n<\/ul>\n<\/div>\n\n\n\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<ul class=\"wp-block-list\">\n<li>Abhilfe: Schutzma\u00dfnahmen, Komponentenupdates oder \u00c4nderungen am eigenen Code entwickeln und testen.<\/li>\n\n\n\n<li>Kommunikation: Betroffene Nutzer informieren und verst\u00e4ndliche Handlungsempfehlungen bereitstellen.<\/li>\n\n\n\n<li>Abschluss: Korrektur, Ver\u00f6ffentlichungsstand und gegebenenfalls erforderliche Meldungen dokumentieren.<\/li>\n<\/ul>\n<\/div>\n<\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Wie Aufgaben im Team verteilt und technisch unterst\u00fctzt werden, muss zum Produkt und zum Unternehmen passen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Meldungen innerhalb kurzer Fristen erm\u00f6glichen<\/h2>\n\n\n\n<div class=\"wp-block-group has-background is-layout-constrained wp-container-core-group-is-layout-4c9f5642 wp-block-group-is-layout-constrained\" style=\"border-radius:10px;background-color:#eefafa;padding-top:24px;padding-right:28px;padding-bottom:24px;padding-left:28px\">\n<p class=\"wp-block-paragraph\">Meldepflichtige Ereignisse m\u00fcssen \u00fcber die <a href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/single-reporting-platform-srp\" rel=\"nofollow noopener\" target=\"_blank\">Single Reporting Platform von ENISA<\/a> gemeldet werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die fr\u00fche Meldung ist innerhalb von 24 Stunden, die ausf\u00fchrlichere innerhalb von 72 Stunden nach Kenntniserlangung erforderlich. F\u00fcr aktiv ausgenutzte Schwachstellen folgt der Abschlussbericht sp\u00e4testens 14 Tage nach Verf\u00fcgbarkeit einer Korrekturma\u00dfnahme; f\u00fcr schwerwiegende Sicherheitsvorf\u00e4lle grunds\u00e4tzlich innerhalb eines Monats nach der 72-Stunden-Meldung. Die EU-Kommission erl\u00e4utert die <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-reporting\" rel=\"nofollow noopener\" target=\"_blank\">Meldepflichten und Fristen<\/a>.<\/p>\n<\/div>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die praktische Vorbereitung sollten Meldezug\u00e4nge, Entscheidungsbefugnisse und Vertretungen vor einem Vorfall gekl\u00e4rt sein. Eine hohe CVE-Bewertung allein ersetzt die Pr\u00fcfung der gesetzlichen Meldeschwelle nicht.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">5. Weitere CRA-Anforderungen vorbereiten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Eine SBOM bildet einen Teil der Vorbereitung. Hersteller m\u00fcssen zus\u00e4tzlich die Sicherheit des Produkts bewerten, geeignete Anforderungen umsetzen und deren Erf\u00fcllung nachvollziehbar dokumentieren. Dazu geh\u00f6ren beispielsweise sichere Voreinstellungen, Zugriffsschutz und eine sichere Bereitstellung von Updates. Einen \u00dcberblick bietet die EU-Kommission zu den <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-manufacturers\" rel=\"nofollow noopener\" target=\"_blank\">Herstellerpflichten<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Unterst\u00fctzungszeitraum festlegen<\/h2>\n\n\n\n<div class=\"wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2ef77e7f wp-block-columns-is-layout-flex\" style=\"margin-top:24px;margin-bottom:40px\">\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Der Unterst\u00fctzungszeitraum muss die erwartete Nutzungsdauer ber\u00fccksichtigen. Grunds\u00e4tzlich betr\u00e4gt er mindestens f\u00fcnf Jahre; bei einer erwarteten Nutzung von weniger als f\u00fcnf Jahren gilt deren Dauer. Bei l\u00e4nger erwarteter Nutzung kann entsprechend l\u00e4ngere Unterst\u00fctzung erforderlich sein.<\/p>\n<\/div>\n\n\n\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">F\u00fcr die Planung hei\u00dft das: Pr\u00fcfen Sie, wie lange eigene Releases und ihre Abh\u00e4ngigkeiten gepflegt werden k\u00f6nnen. Eine Bibliothek, deren Betreuung bald endet, kann sp\u00e4tere Sicherheitsupdates erschweren.<\/p>\n<\/div>\n<\/div>\n\n\n\n<h3 class=\"wp-block-heading\">Dokumentation und Konformit\u00e4tsbewertung einplanen<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die technische Dokumentation muss unter anderem Produktaufbau, Risikobewertung und Schwachstellenprozesse nachvollziehbar machen.<\/p>\n\n\n\n<div class=\"wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2ef77e7f wp-block-columns-is-layout-flex\" style=\"margin-top:24px;margin-bottom:40px\">\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Vor dem Inverkehrbringen nach den anwendbaren CRA-Anforderungen sind die passende Konformit\u00e4tsbewertung, EU-Konformit\u00e4tserkl\u00e4rung und CE-Kennzeichnung erforderlich. Welches Verfahren m\u00f6glich ist, h\u00e4ngt insbesondere von der Produktkategorie ab; bestimmte Kategorien erfordern die Beteiligung einer externen Stelle. <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-summary\" rel=\"nofollow noopener\" target=\"_blank\">Die Zusammenfassung der EU-Kommission<\/a> erl\u00e4utert die Unterschiede.<\/p>\n<\/div>\n\n\n\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Als praktische Organisationshilfe empfehlen wir eine Release-Akte, die SBOM, Testergebnisse, Risikobewertung, bekannte Einschr\u00e4nkungen und Freigaben zusammenf\u00fchrt. Sie hilft beim Nachweisen der Arbeit, ersetzt aber keine Pr\u00fcfung, ob alle erforderlichen Unterlagen vorliegen.<\/p>\n<\/div>\n<\/div>\n\n\n\n<h3 class=\"wp-block-heading\">Fiktives Beispiel: Vorbereitung eines Software-Releases<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><em>Das folgende Unternehmen und seine Anwendung sind frei erfunden.<\/em><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Beispiel GmbH verkauft eine Delphi-Anwendung f\u00fcr die Wartung von Industrieanlagen. Sie bereitet einen neuen Release f\u00fcr 2027 vor und hat die Anwendung als CRA-erfasstes Produkt eingeordnet.<\/p>\n\n\n\n<div class=\"wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2ef77e7f wp-block-columns-is-layout-flex\" style=\"margin-top:24px;margin-bottom:40px\">\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Zun\u00e4chst benennt sie Verantwortliche f\u00fcr Produktsicherheit, Entwicklung und Kundenkommunikation. Danach erstellt sie eine \u00dcbersicht der unterst\u00fctzten Versionen und erg\u00e4nzt ihren Build-Prozess um die SBOM-Erzeugung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Bei einem Testrelease stellt das Team fest: Eine mitgelieferte DLL ist zwar aufgef\u00fchrt, ihre Version fehlt jedoch. Die Entwicklung ermittelt die tats\u00e4chlich ausgelieferte Version und korrigiert die Komponenteninformationen, bevor sie den Release freigibt.<\/p>\n<\/div>\n\n\n\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Anschlie\u00dfend testet das Unternehmen den Sicherheitsprozess mit einer simulierten Schwachstellenwarnung. Die zust\u00e4ndige Person ordnet die betroffene Bibliothek den Releases zu, die Entwicklung bewertet ihre Verwendung und die Kundenbetreuung bereitet eine Updateinformation vor. Auch der Weg zur Entscheidung \u00fcber eine Beh\u00f6rdenmeldung wird durchgespielt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das Ergebnis ist eine vollst\u00e4ndig vorbereitete Auslieferung: Die Firma kann Komponenten zuordnen, Zust\u00e4ndigkeiten nachweisen und auf neue Hinweise reagieren. Die Risikobewertung und die erforderliche Konformit\u00e4tsbewertung bleiben eigenst\u00e4ndige Aufgaben.<\/p>\n<\/div>\n<\/div>\n\n\n\n<h3 class=\"wp-block-heading\">Wie Maenken Systems unterst\u00fctzt<\/h3>\n\n\n\n<h2 class=\"wp-block-heading\">SBOM Generator: Komponenten im Entwicklungsprozess dokumentieren<\/h2>\n\n\n\n<div class=\"wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2ef77e7f wp-block-columns-is-layout-flex\" style=\"margin-top:24px;margin-bottom:40px\">\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Der Msys SBOM Generator erzeugt f\u00fcr Delphi-Projekte SBOMs im maschinenlesbaren CycloneDX-Format. Ist die Erzeugung im Projekt aktiviert, entsteht die Komponenten\u00fcbersicht automatisch beim erfolgreichen Kompilieren. Die Projekt\u00fcbersicht zeigt erkannte Pakete, Units und DLL-Importe; zus\u00e4tzliche Komponenteninformationen k\u00f6nnen \u00fcber eigene SBOMs und externe Module erg\u00e4nzt werden.<\/p>\n<\/div>\n\n\n\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">F\u00fcr automatisierte Build-Prozesse stehen Kommandozeilenwerkzeuge bereit. Sie analysieren einen bereits erstellten Build f\u00fcr die ausgew\u00e4hlte Plattform und Konfiguration. Die erzeugte SBOM kann anschlie\u00dfend gepr\u00fcft und zusammen mit der Anwendung als Release-Artefakt archiviert werden. Ein PDF-Report erg\u00e4nzt die maschinenlesbare Datei um eine lesbare \u00dcbersicht.<\/p>\n<\/div>\n<\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Damit unterst\u00fctzt der Generator die Erfassung und Pr\u00fcfung von Komponenteninformationen. Die Bewertung von Produktsicherheitsrisiken, die Festlegung des Unterst\u00fctzungszeitraums und die Konformit\u00e4tsbewertung bleiben weitere Aufgaben des Herstellers.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">SBOM Monitor: Laufende Schwachstellenbeobachtung vorbereiten<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Mit dem SBOM Monitor entwickelt Maenken Systems eine L\u00f6sung f\u00fcr die anschlie\u00dfende Schwachstellenbeobachtung. Vorgesehen sind der regelm\u00e4\u00dfige Abgleich dokumentierter Komponenten mit Schwachstelleninformationen und Benachrichtigungen zu relevanten Treffern. So sollen SBOMs auch nach der Ver\u00f6ffentlichung eines Produkts f\u00fcr dessen Sicherheitsbetreuung nutzbar werden.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Fazit: Vorbereitung muss bis zum Update reichen<\/h3>\n\n\n\n<div class=\"wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2ef77e7f wp-block-columns-is-layout-flex\" style=\"margin-top:24px;margin-bottom:40px\">\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Eine nutzbare SBOM verbindet Komponenteninformationen mit einer konkreten Produktversion. F\u00fcr Softwarehersteller entsteht ihr Wert im Zusammenspiel mit einem geregelten Sicherheitsprozess: Hinweise erkennen, Betroffenheit bewerten, Ma\u00dfnahmen umsetzen und Nutzer sowie gegebenenfalls Beh\u00f6rden informieren.<\/p>\n<\/div>\n\n\n\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<p class=\"wp-block-paragraph\">Beginnen Sie deshalb mit der Produkt\u00fcbersicht, eindeutigen Verantwortlichkeiten und einem Testlauf vom Build bis zur Schwachstellenbearbeitung. Parallel geh\u00f6ren Risikobewertung, Unterst\u00fctzungszeitraum, Dokumentation und Konformit\u00e4tsbewertung auf die Planung f\u00fcr Dezember 2027.<\/p>\n<\/div>\n<\/div>\n\n\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary><strong>Quellen und weiterf\u00fchrende Informationen<\/strong><\/summary>\n<h2 class=\"wp-block-heading\">Quellen und weiterf\u00fchrende Informationen<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/deu\" rel=\"nofollow noopener\" target=\"_blank\">CRA-Verordnung (EU) 2024\/2847<\/a>: Verbindlicher Rechtstext. Relevant sind insbesondere Artikel 13 und 14 zu Hersteller- und Meldepflichten, Anhang I Teil II zur Schwachstellenbehandlung einschlie\u00dflich SBOM, Anhang II zu Nutzerinformationen und Anhang VII zur technischen Dokumentation.<\/li>\n\n\n\n<li><a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cyber-resilience-act\" rel=\"nofollow noopener\" target=\"_blank\">EU-Kommission: \u00dcbersicht zum CRA<\/a>: \u00dcberblick und Zeitplan f\u00fcr die Anwendung der Anforderungen.<\/li>\n\n\n\n<li><a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-manufacturers\" rel=\"nofollow noopener\" target=\"_blank\">EU-Kommission: Herstellerpflichten<\/a>: Aufgaben vor, w\u00e4hrend und nach dem Inverkehrbringen.<\/li>\n\n\n\n<li><a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-summary\" rel=\"nofollow noopener\" target=\"_blank\">EU-Kommission: Zusammenfassung des Rechtstexts<\/a>: Erl\u00e4uterungen zu Anwendungsbereich, Herstellerrolle und Konformit\u00e4tsbewertung.<\/li>\n\n\n\n<li><a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-reporting\" rel=\"nofollow noopener\" target=\"_blank\">EU-Kommission: Meldepflichten<\/a>: Meldepflichtige Ereignisse, Fristen und Zugang zum ENISA-Meldeweg.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><em>Stand: September 2026. Dieser Beitrag bietet eine allgemeine Orientierung. Die beschriebenen organisatorischen Abl\u00e4ufe sind praktische Empfehlungen. Ma\u00dfgeblich sind die geltenden Vorschriften und die Einordnung des jeweiligen Produkts.<\/em><\/p>\n<\/details>\n","protected":false},"excerpt":{"rendered":"<p>Welche Bibliotheken stecken in einer ausgelieferten Anwendung? Welche Produktversionen sind von einer neuen Sicherheitsl\u00fccke betroffen? Und wer sorgt daf\u00fcr, dass Kunden rechtzeitig ein Update erhalten? F\u00fcr viele Softwarehersteller sind diese Informationen \u00fcber Entwicklungsprojekte, Build-Systeme und einzelne Personen verteilt. Der Cyber Resilience Act (CRA) macht einen nachvollziehbaren Umgang mit Produktsicherheit und Schwachstellen zur Herstelleraufgabe. Eine Software [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":147,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_qcld_wpbot_writer_seo_pending":"","footnotes":""},"categories":[72],"tags":[],"class_list":["post-148","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-info"],"_links":{"self":[{"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/posts\/148","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/comments?post=148"}],"version-history":[{"count":1,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/posts\/148\/revisions"}],"predecessor-version":[{"id":15758,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/posts\/148\/revisions\/15758"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/media\/147"}],"wp:attachment":[{"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/media?parent=148"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/categories?post=148"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/tags?post=148"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}