Compliance-Lexikon · CRA
SBOM-Pflege – Praxis
SBOM-Pflege wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Wird die SBOM eines Produkts bei jedem Release automatisch aktualisiert und mit der jeweiligen Version verknüpft?
Häufige Fehler in der Praxis
- SBOM wird nur bei großen Releases aktualisiert, nicht bei jedem Patch
- Alte SBOM-Versionen werden überschrieben statt versioniert archiviert
- Keine Verknüpfung zwischen SBOM-Version und ausgelieferter Produktversion
Praxis-Tipp
Ohne Versionshistorie lässt sich im Nachhinein nicht mehr feststellen, welche Komponenten in einer bereits ausgelieferten älteren Produktversion enthalten waren. Das erschwert die Bewertung rückwirkend bekannt werdender Schwachstellen erheblich.
SBOM-Pflege als kontinuierlicher Prozess
SBOM-Pflege bedeutet mehr als einmalige Erstellung: bei jeder Änderung von Abhängigkeiten, jedem Patch und jedem neuen Release muss die SBOM aktualisiert und versioniert archiviert werden, damit auch für ältere, noch im Feld befindliche Produktversionen der Komponentenstand nachvollziehbar bleibt.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Versionierte SBOM-Historie je Produkt, Nachweis der automatisierten Generierung im Build-Prozess. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum SBOM-Pflege über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.