CRA für Zulieferer: Was Kunden ab jetzt verlangen

Der EU Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller ab dem 11. Dezember 2027, für jedes Produkt mit digitalen Elementen eine SBOM und Schwachstellen-Prozesse nachzuweisen. Große OEMs geben diese Anforderungen bereits 2026 vertraglich an ihre Zulieferer weiter – wer nicht liefern kann, wird aus der Lieferkette entfernt.

Was OEMs typischerweise fordern

Anfragen an Zulieferer folgen 2026 einem wiederkehrenden Muster. Wir sehen in Kundenprojekten regelmäßig diese Punkte:

• SBOM in CycloneDX 1.4+ oder SPDX 2.3+ für jede ausgelieferte Firmware- oder Software-Version.
• Update-Zusage: neue SBOM bei jedem Firmware-Release, mindestens jährlich.
• Schwachstellen-Meldung: Zulieferer meldet CVEs mit hoher Kritikalität innerhalb von 72 Stunden.
• VEX-Statements zu bekannten Schwachstellen ("betroffen / nicht betroffen / mitigiert").
• Kontaktstelle für Security-Meldungen (security.txt oder benannte E-Mail).

Warum die OEMs das jetzt schon durchziehen

Die Verantwortung nach CRA liegt beim "Hersteller" – also dem Unternehmen, das das Endprodukt in Verkehr bringt. Fehlt die SBOM eines zugelieferten Moduls, kann der OEM keine vollständige technische Dokumentation vorlegen und riskiert Bußgelder bis zu 15 Mio. € oder 2,5 % des Jahresumsatzes. OEMs schieben dieses Risiko deshalb vertraglich zurück an die Lieferkette.

Typische Reaktionszeit im Auditprozess

In Audits und Freigabegesprächen wird die SBOM oft ad hoc angefragt: "Bitte senden Sie uns bis Freitag die SBOM für Firmware-Version 2.3." Wer dann keinen Prozess hat, verliert Zeit und Vertrauen. SBOM24 liefert deshalb innerhalb von 24 Stunden – so können Sie auch kurzfristige Anfragen bedienen.

Was Sie als Zulieferer jetzt tun sollten

1. Alle ausgelieferten Firmware-/Software-Artefakte inventarisieren.
2. Format klären: CycloneDX oder SPDX (Kundenvorgabe abfragen).
3. Initiale SBOM pro Produktvariante erstellen (lassen).
4. Prozess für Updates definieren – wer aktualisiert die SBOM bei neuem Release?
5. Security-Kontakt benennen und in AGB/Handbuch dokumentieren.

Weiterlesen

• Ist eine SBOM Pflicht? Stand 2026
• CycloneDX vs. SPDX – welches Format?
• Preise ansehen