Jede Packung Kekse im Supermarkt hat eine Zutatenliste. Mehl, Zucker, Butter, Haselnüsse. Wer auf Nüsse allergisch ist, schaut nach und weiß Bescheid. Bei Software gibt es das bisher nicht. Wer eine Branchenanwendung kauft, weiß nicht, welche Bausteine darin verbaut sind.
Das ändert sich gerade. Der Cyber Resilience Act macht die Software Bill of Materials – auf Deutsch etwa Software-Stückliste – zur Pflicht für jedes Produkt mit digitalen Elementen auf dem EU-Markt. In diesem Artikel klären wir, was eine SBOM ist, warum sie auch für Betriebe relevant ist, die keine Software herstellen, und was bis Dezember 2027 zu tun ist.
Was eine SBOM ist – in einem Satz
Eine SBOM ist eine maschinenlesbare Liste aller Software-Komponenten und Abhängigkeiten, aus denen ein Produkt besteht. Sie beantwortet die Frage: Was steckt da eigentlich drin?
Das klingt trivial, ist es aber nicht. Moderne Software wird nicht mehr von Grund auf geschrieben. Sie besteht zu großen Teilen aus fertigen Bausteinen – Open-Source-Bibliotheken, Frameworks, Komponenten von Drittanbietern. Eine typische Geschäftsanwendung enthält Hunderte solcher Bausteine. Der Hersteller selbst hat oft nur einen kleinen Teil davon geschrieben.
Der CRA verlangt, dass mindestens die direkten Abhängigkeiten der obersten Ebene erfasst werden. Als Formate haben sich CycloneDX und SPDX etabliert – beides maschinenlesbare Standards, keine Excel-Listen.
Warum das plötzlich wichtig wird
Die Antwort ist eine Erinnerung an Dezember 2021. Damals wurde eine Schwachstelle in einer unscheinbaren Open-Source-Bibliothek namens Log4j bekannt. Diese Bibliothek steckte in Zehntausenden von Anwendungen weltweit – in Servern, Buchhaltungssoftware, Webshops, Industriesteuerungen.
Das eigentliche Problem war nicht die Schwachstelle. Es war die Frage, die niemand beantworten konnte: Wo ist das Ding überhaupt drin? IT-Abteilungen weltweit verbrachten Wochen damit, ihre eigene Software-Landschaft zu durchsuchen. Viele wussten es nie sicher.
Genau dafür ist die SBOM da. Wer eine hat, kann bei der nächsten kritischen Schwachstelle in Minuten prüfen, ob er betroffen ist – statt in Wochen.
Die Fristen des Cyber Resilience Act
Der CRA setzt zwei Termine, die KMU kennen sollten:
- 11. September 2026: Die Meldepflichten sind seit knapp zwei Wochen in Kraft. Hersteller müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden.
- 11. Dezember 2027: Vollständige Anwendung. Ab diesem Datum muss für jedes neu in Verkehr gebrachte Produkt mit digitalen Elementen eine maschinenlesbare SBOM vorliegen.
Eine wichtige Einschränkung: Es gibt keine generelle Veröffentlichungspflicht. Die SBOM muss nicht öffentlich zugänglich sein. Aber die zuständigen Marktüberwachungsbehörden müssen sie auf Anfrage bekommen können. Für Kleinstunternehmen sieht der CRA Verfahrenserleichterungen vor, etwa ein vereinfachtes Format für die technische Dokumentation.
Betrifft das Ihren Betrieb?
Hier wird es für den Mittelstand konkret. Zwei Perspektiven sind zu unterscheiden:
- Als Hersteller. Wer Software, Apps, Onlineshop-Komponenten oder Maschinen mit eingebetteter Steuerung verkauft, ist direkt betroffen. Das gilt auch für den Drei-Personen-Betrieb. Die SBOM-Pflicht kennt keine Größenausnahme, nur Verfahrenserleichterungen.
- Als Anwender. Die meisten KMU stellen keine Software her – sie kaufen sie. Für diese Betriebe gibt es keine eigene SBOM-Pflicht. Aber sie werden ab 2027 von ihren Lieferanten SBOMs bekommen. Und das eröffnet eine Möglichkeit, die heute noch niemand nutzt.
Was Anwender aus SBOMs machen können
Wer als KMU Software einkauft, kann die SBOM schon heute zum Beschaffungs-Kriterium machen. Drei Fragen, die sich ab sofort stellen lassen:
- Können Sie uns eine SBOM für Ihr Produkt liefern? Ein Anbieter, der das 2026 nicht kann, wird es bis Dezember 2027 lernen müssen. Wer ausweicht, hat möglicherweise selbst keinen Überblick über seine Komponenten.
- Wie informieren Sie uns über Schwachstellen in verwendeten Komponenten? Das ist die praktisch relevantere Frage. Eine SBOM im Schrank nützt wenig – ein funktionierender Informationsweg schon.
- Wie lange unterstützen Sie das Produkt? Der CRA verlangt Schwachstellenmanagement über den unterstützten Lebenszyklus. Wie lang der ist, entscheidet der Hersteller – und das gehört in den Vertrag.
Diese drei Fragen kosten im Beschaffungsgespräch zwei Minuten. Sie sagen aber viel über die Reife eines Anbieters aus.
Der Zusammenhang mit NIS-2 und Cyber-Versicherung
SBOMs stehen nicht allein. Sie sind Teil eines größeren Bilds, das für KMU gerade zusammenwächst:
NIS-2 verlangt Sicherheit in der Lieferkette. Wer nicht weiß, was in seiner Software steckt, kann diese Anforderung nicht erfüllen.
Cyber-Versicherer fragen in Antragsformularen zunehmend nach der eingesetzten Software und dem Umgang mit Schwachstellen. Eine dokumentierte Übersicht hilft.
Und schlicht praktisch: Wer beim nächsten Log4j-Moment in Minuten statt Wochen weiß, ob er betroffen ist, spart Nerven und Geld. Wer [IT-Sicherheit über Managed Services](https://bavaria-informatics.com/services/#managed-services) betreut, bekommt Schwachstellen-Monitoring und Software-Inventar ohnehin als laufenden Prozess mit.
Fazit
Die SBOM ist die Zutatenliste für Software. Ab Dezember 2027 ist sie für Hersteller Pflicht – auch für kleine Betriebe, die Maschinen mit Steuerung oder eigene Apps ausliefern. Für alle anderen wird sie zum Beschaffungs-Werkzeug: Wer seine Lieferanten ab jetzt nach SBOM und Schwachstellen-Information fragt, trennt die Spreu vom Weizen.
Wenn Sie unsicher sind, ob Ihr Betrieb als Hersteller gilt oder wie Sie SBOMs in Ihre Beschaffung einbauen, sprechen Sie uns an. Wir ordnen Ihre Situation in einem Erstgespräch ein – kostenfrei und ohne Fachchinesisch.
