Die SBOM nach BSI TR-03183-2: ein Inventar, kein Schwachstellenbericht

Was eine SBOM in der Richtlinie ist

Teil 2 der BSI TR-03183 definiert die Software-Stückliste als maschinenverarbeitbare Datei, die die Komponenten eines Softwareprodukts und ihre Lieferkettenbeziehungen auflistet: die Primärkomponente (das Produkt selbst) und die Komponenten, die sie nutzt. Die Richtlinie nennt sie bewährte Praxis für eine sichere Software-Lieferkette und weist darauf hin, dass der Cyber Resilience Act sie für Produkte mit digitalen Elementen verpflichtend macht. Der CRA setzt das Minimum (ein gängiges, maschinenlesbares Format, mindestens mit den Abhängigkeiten der obersten Ebene); die Richtlinie beschreibt, wie weit eine detaillierte, interoperable SBOM reicht.

Format, Version und Tiefe

• Formate: CycloneDX ab 1.6 oder SPDX ab 3.0.1, in JSON oder XML. Die Richtlinie ordnet ihre Datenfelder beiden Formaten zu.
• Eine SBOM je Softwareversion: Für dieselbe Version wird eine SBOM nur aktualisiert, wenn Informationen ergänzt oder Fehler korrigiert werden. Ändert sich eine Komponente, bekommt sie eine neue Version, ebenso die Komponenten, die von ihr abhängen.
• Tiefe: rekursive Auflösung für jede Komponente im Lieferumfang bis zur ersten Komponente außerhalb davon. Diese erste äußere Komponente wird identifiziert (Ersteller, Name, Version, eindeutige Kennungen), damit sich die SBOM mit der SBOM der Umgebung verketten lässt, in der sie läuft.
• Build-Informationen: Die SBOM enthält die Informationen, die beim Build vorliegen. Bei kompiliertem Code wird die Komponente aufgeführt, die der Linker tatsächlich verwendet hat; bei interpretiertem Code außerhalb des Lieferumfangs die minimal benötigte Version, unter Auslassung von Versionen, die das Lebensende erreicht haben oder bekannte Schwachstellen enthalten.

Lizenzen als Daten

Die Richtlinie deckt auch den älteren Anwendungsfall ab, das Lizenzmanagement. Sie unterscheidet Originallizenzen (vom Ersteller der Komponente vergeben), Vertriebslizenzen (unter denen ein Lizenznehmer sie nutzen darf) und die effektive Lizenz (unter der der SBOM-Ersteller sie nutzt), benannt mit SPDX-Kennungen und -Ausdrücken, nie durch eingefügten Lizenztext.

Inventar, kein Schwachstellenstatus

Eine SBOM nach der Richtlinie darf keine Schwachstelleninformationen enthalten. Die SBOM einer Version ist statisch, Schwachstelleninformationen sind dynamisch. Um festzustellen, ob ein Produkt betroffen ist, wird die SBOM mit Quellen wie CVE-Einträgen und den Sicherheitshinweisen der Komponentenhersteller abgeglichen und die Nutzung der betroffenen Komponente analysiert. Das Ergebnis geht als Sicherheitshinweis in CSAF oder als VEX an die Nutzer – als Teil des Schwachstellenmanagements, nicht als Änderung der SBOM.

Versionen der Richtlinie

Für Konformität wird die neueste Version der TR-03183-2 auf der Website des BSI verwendet; die Vorgängerversion darf noch sechs Monate nach Erscheinen einer neuen genutzt werden. Eine SBOM, die bei ihrer Auslieferung konform war, bleibt konform.