# Was ist eine SBOM, und verlangt der Cyber Resilience Act eine?

Eine Software-Stückliste (SBOM, Software Bill of Materials) ist eine maschinenlesbare Liste der Bestandteile einer Software, etwa Bibliotheken und ihrer Versionen, ähnlich einer Zutatenliste. Mit ihr können ein Hersteller und alle, denen er sie gibt, schnell prüfen, ob eine neu veröffentlichte Schwachstelle ein Produkt betrifft. Der CRA verlangt von Herstellern, die Komponenten ihrer Produkte zu ermitteln und zu dokumentieren, unter anderem durch eine SBOM in einem gängigen, maschinenlesbaren Format, die mindestens die Abhängigkeiten der obersten Ebene abdeckt. Sie ist Teil der technischen Dokumentation; eine Veröffentlichung verlangt die Verordnung nicht, Behörden können sie aber anfordern. Wenn Sie Software kaufen, fragen Sie Lieferanten, ob sie eine SBOM führen und wie sie damit Schwachstellen verfolgen, statt auf die Datei selbst zu bestehen. Verbreitete Formate sind CycloneDX und SPDX. NetSenX erstellt keine SBOMs für Ihre Produkte, und ein Netzwerksensor sieht nicht, welche Bibliotheken in einer Anwendung stecken.

Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.

FAQ: [EU-Recht: DSGVO, DORA, CRA und KI-VO](https://netsenx.com/de/faq/eu-law) · https://netsenx.com/de/faq/what-is-an-sbom-and-does-the-cra-require-one

## Weiterlesen

- https://netsenx.com/de/blog/2026-10-26_ai-act-nis2-dora-cra
- https://netsenx.com/de/compliance
- https://netsenx.com/de/dpa

## Verwandte Fragen

- [Was ist die KI-Verordnung der EU, einfach erklärt?](https://netsenx.com/de/faq/what-is-the-eu-ai-act-in-plain-terms)
- [Ist KI in einem Sicherheitswerkzeug nach der KI-Verordnung hochriskant?](https://netsenx.com/de/faq/is-ai-in-security-tools-high-risk-under-the-ai-act)
- [Welche Transparenzpflichten setzt die KI-Verordnung für Chatbots und KI-generierte Inhalte?](https://netsenx.com/de/faq/what-are-the-ai-act-transparency-duties)
- [Was bedeuten Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen in der DSGVO?](https://netsenx.com/de/faq/what-is-data-protection-by-design-and-by-default)
- [Welches Verzeichnis von Verarbeitungstätigkeiten verlangt die DSGVO von uns?](https://netsenx.com/de/faq/what-records-of-processing-must-we-keep)