Digitale Systeme bestehen aus zahlreichen Komponenten. Dies betrifft insbesondere Software, welche oftmals aus hunderten Bibliotheken besteht. Komponenten können sowohl kommerziell sein als auch aus dem Open-Source-Umfeld stammen. Der CRA schreibt vor, dass Hersteller und Betreiber die in ihren Systemen verwendeten Komponenten benennen müssen. Diese Pflicht betrifft nicht nur unmittelbar eingesetzte Komponenten, sondern auch deren Abhängigkeiten. Jede Komponente kann aus anderen Komponenten zusammengesetzt sein, die wiederum aus Komponenten bestehen usw. Die vollständige Liste aller Komponenten wird als Software Bill of Materials (SBOM) bezeichnet.

Neben der Informationspflicht stellt die Ermittlung eines vollständigen SBOM eine Voraussetzung für die Behebung bekannter Sicherheitslücken dar. Existieren für eine verwendete Komponente, unabhängig von der Ebene (direkte oder transitive Abhängigkeit) bekannte Schwachstellen, kann das Produkt in dieser Form nicht in den Umlauf gebracht werden bzw. muss mittels Patches nachgebessert werden. Solche Schwachstellen lassen sich jedoch nur tracken, wenn alle Abhängigkeiten lückenlos bekannt sind.

Unser Angebot

Das Fraunhofer SIT unterstützt Unternehmen bei Prozessen zur Erstellung eines initialen SBOM für bereits existierende Systeme sowie bei der Integration des SBOM in die Entwicklungsprozesse, um eine ständige Aktualität sicherzustellen, ohne die Prozesse dabei unnötig mit manueller Mehrarbeit zu belasten. Daher setzen wir, soweit möglich, auf automatisierte Ansätze. Wesentliche Informationen zu SBOM sind – moderne Entwicklungsprozesse vorausgesetzt – in den Entwicklungsdateien bereits enthalten und lassen sich daraus extrahieren. Ist dies bei älteren Prozessen nicht der Fall, empfiehlt sich aufgrund der Verpflichtung zur Behebung von Sicherheitslücken und zur zeitnahen Bereitstellung von Updates bereits eine Anpassung der Prozesse. Rufen Sie uns gerne an bzw. schreiben direkt eine E-Mail an unseren Experten!