Compliance-Lexikon · CRA
SBOM-Pflege – Strategie
In den meisten Organisationen wird SBOM-Pflege als operative oder juristische Pflicht behandelt, die abgearbeitet werden muss. Diese Sicht greift zu kurz: wer das Thema strategisch einordnet, reduziert Risiko, Aufwand und Bußgeldexposition gleichzeitig, statt bei jeder neuen Anforderung von vorne zu beginnen.
Die strategische Perspektive
Eine versionierte SBOM-Historie ermöglicht es, bei einer neu entdeckten Schwachstelle sofort alle betroffenen, auch bereits ausgelieferten älteren Produktversionen zu identifizieren.
SBOM-Pflege und Executable Compliance
Im BAM-Modell wird jede SBOM-Version mit der zugehörigen Produktversion und dem Veröffentlichungsdatum verknüpft und dauerhaft archiviert. Das BAM-Objekt CRA-SBOM2-01 ist der Einstiegspunkt für diese Integration.
Strategischer Kern
Die Frage ist nicht nur, ob eine SBOM existiert, sondern ob für jede jemals ausgelieferte Produktversion die passende SBOM auffindbar ist.
Verbindung zu anderen Frameworks
SBOM-Pflege steht selten isoliert. Die Anforderung taucht in mehreren Regelwerken parallel auf, unter anderem in CRA, NIST und OWASP CycloneDX. Wer die zugrundeliegende Maßnahme einmal sauber implementiert und dokumentiert, erfüllt damit in der Regel mehrere Frameworks gleichzeitig, statt jedes Regelwerk separat zu bedienen. Diese Mehrfachverwertung einer einzigen Investition ist einer der stärksten wirtschaftlichen Gründe für einen Executable-Compliance-Ansatz.
Ausblick
Mit längeren Supportzyklen für vernetzte Geräte nach dem CRA wird die langfristige Pflege historischer SBOM-Versionen zu einer festen Betriebsaufgabe.
BAM Enterprise · Executable Compliance
Enterprise-Setup besprechen
SBOM-Pflege als ausführbares Compliance-Artefakt – in allen relevanten Frameworks gleichzeitig nachweisbar.