Ist eine SBOM Pflicht? Stand 2026

Ja – ab dem 11. Dezember 2027 ist eine Software Bill of Materials (SBOM) in der EU faktisch Pflicht für alle Produkte mit digitalen Elementen. Rechtsgrundlage ist der EU Cyber Resilience Act (Verordnung (EU) 2024/2847), der SBOMs als Teil der technischen Dokumentation vorschreibt. In der Praxis verlangen große OEMs SBOMs bereits heute in Lieferantenverträgen – wer 2026 keine liefern kann, verliert Aufträge.

Der CRA-Zeitplan im Überblick

• 10. Dezember 2024: CRA in Kraft getreten.
• 11. September 2026: Meldepflichten für aktiv ausgenutzte Schwachstellen an ENISA.
• 11. Dezember 2027: Volle Anwendung – SBOM verpflichtender Teil der technischen Dokumentation, CE-Kennzeichnung erforderlich.

Der CRA betrifft Hardware und Software mit digitalen Elementen, die in der EU in Verkehr gebracht werden – von Industriesteuerungen und Medizingeräten bis zu Consumer-IoT. Reine Cloud-SaaS-Angebote sind ausgenommen, embedded Firmware in physischen Produkten dagegen nicht.

Wer verlangt SBOMs heute schon?

Unabhängig vom CRA sind SBOMs 2026 in vielen Branchen bereits vertraglich gefordert:

• Automotive-Tier-1/OEMs (VW, BMW, Bosch): SBOM meist in CycloneDX, oft mit VEX-Anhang zur Schwachstellenbewertung.
• Medizintechnik: FDA verlangt SBOMs für Premarket-Submissions in den USA (Section 524B FD&C Act) – deutsche Hersteller mit US-Absatz sind längst betroffen.
• Industrieautomation: Siemens, Honeywell und andere Konzerne verlangen SBOMs von Zulieferern für Netzwerk-, Steuer- und Sensor-Komponenten.
• Öffentliche Auftraggeber in den USA: Executive Order 14028 (2021) verpflichtet Bundesbehörden, SBOMs bei Software-Käufen zu verlangen.

Was heißt "SBOM-Pflicht" konkret?

Eine CRA-konforme SBOM muss maschinenlesbar sein und mindestens folgende Komponenten-Angaben enthalten: Name, Version, Lieferant, Abhängigkeitsbeziehungen und eindeutige Identifikatoren (z. B. PURL oder CPE). Die anerkannten Formate sind CycloneDX 1.4+ und SPDX 2.3+. Die SBOM ist Teil der technischen Dokumentation, muss aber nicht zwingend öffentlich sein – sie wird auf Anfrage von Marktüberwachungsbehörden oder Kunden vorgelegt.

Was passiert bei Nichteinhaltung?

Der CRA sieht Bußgelder bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes vor – je nachdem, was höher ist. Zusätzlich können Behörden das Inverkehrbringen untersagen oder Rückrufe anordnen. Praktisch relevanter für die meisten Zulieferer: Ohne SBOM keine Freigabe durch den OEM – der Auftrag geht an den Wettbewerber.

Was jetzt tun?

Wenn Ihr Produkt Firmware, ein Embedded-Linux, ein Container-Image oder eine Steuerungssoftware enthält, sollten Sie 2026 einen SBOM-Prozess etablieren – spätestens aber, sobald ein Kunde die erste Attestierungs-Anfrage schickt. Für Unternehmen ohne eigenes Software-Team ist der einfachste Weg, die SBOM-Erstellung auszulagern: Firmware-Image schicken, fertige SBOM im geforderten Format zurückbekommen.

Weiterlesen

• CRA für Zulieferer: Was Kunden ab jetzt verlangen
• CycloneDX vs. SPDX – welches Format?
• Warum SBOM? Nutzen und Hintergründe