Kostenlos - für den zweiten Stichtag
SBOM erstellen
CycloneDX-Stückliste für den Cyber Resilience Act
Die SBOM gehört zum Teil der Verordnung, der am 11. Dezember 2027 anwendbar wird. Sie steht trotzdem hier, weil sie im Meldefall vorher gebraucht wird: Wer binnen 72 Stunden angeben soll, welche Komponente betroffen ist, kann nicht in diesen 72 Stunden anfangen, eine Stückliste zu bauen.
Was dieses Werkzeug leistet und was nicht
Es erzeugt ein gültig aufgebautes CycloneDX-Gerüst aus dem, was Sie eintragen. Es liest keine Projektdateien und ersetzt keinen Erzeuger in Ihrer Bauleitung. Eine belastbare Stückliste entsteht beim Bauen, dort wo die Abhängigkeiten wirklich aufgelöst werden, und sie entsteht bei jedem Bau neu. Dieses Formular ist der Einstieg für ein Gespräch mit der Entwicklung, nicht das Ergebnis.
Das liefert der SBOM-Erzeuger
- Eine CycloneDX-1.6-Datei mit Metadaten, Produktangaben und Ihren Komponenten samt Version, Lizenz und Paketbezeichner
- Ein Format, das gängige Werkzeuge zur Schwachstellenverwaltung direkt einlesen
Produkt und Komponenten eintragen - Download sofort
Ein Einstieg, keine fertige Stückliste: Eine belastbare SBOM entsteht beim Bauen und wird dort erzeugt, wo die Abhängigkeiten wirklich aufgelöst werden.
Ihr Produkt benennen
Komponenten eintragen
Tragen Sie ein, was in Ihrem Produkt steckt. Der Paketbezeichner (purl) ist optional, macht die Stückliste aber erst maschinell auswertbar. Beispiel: pkg:npm/express@4.19.2
CycloneDX-Datei herunterladen
Sie erhalten eine CycloneDX-Datei im JSON-Format mit 0 Komponenten. Das ist ein Anfang, keine fertige Stückliste: Eine belastbare SBOM entsteht beim Bauen und wird dort erzeugt, wo die Abhängigkeiten wirklich aufgelöst werden.
Für den Download brauchen wir mindestens den Produktnamen und eine Komponente.
Warum Sie die SBOM schon für die 72-Stunden-Meldung brauchen
Die 72-Stunden-Meldung verlangt die Art der Schwachstelle und die betroffene Komponente. Bei einem Fehler im eigenen Code weiß das Team das sofort. Bei einem Fehler in einer Bibliothek, die über drei Ebenen eingezogen wurde, dauert die Antwort ohne Stückliste Tage.
Dazu kommt die Gegenrichtung: Wenn eine weit verbreitete Komponente eine kritische Lücke bekommt, ist die erste Frage, ob das eigene Produkt sie überhaupt enthält. Mit Stückliste ist das eine Abfrage, ohne Stückliste eine Recherche.
Ab dem 11. Dezember 2027 ist sie ohnehin verlangt, zusammen mit CE-Kennzeichnung, Konformitätsbewertung, technischer Dokumentation und der Pflicht zu Sicherheitsupdates über den festgelegten Unterstützungszeitraum.