CRA-vaatimustenmukaisuus: SBOM-vaatimukset ja työkalut

Jokainen vertailu kertoo, missä toinen tuote on hyvä, missä CRACI eroaa ja milloin käyttäisit molempia. Kaikki kategoriat: kaikki vertailut.

Mitä CRA vaatii SBOM:lta

Kyberkestävyyssäädös, asetus (EU) 2024/2847, sijoittaa SBOM:n haavoittuvuuksien käsittelyä koskeviin vaatimuksiinsa. Se vaatii vähemmän kuin moni olettaa: koneluettavan luettelon vähintään ylimmän tason riippuvuuksista, säilytettynä teknisessä dokumentaatiossa ja näytettynä viranomaiselle pyynnöstä. Tässä on asetuksen sisältö kysymys kerrallaan.

CRA:n SBOM-vaatimukset asetuksessa (EU) 2024/2847
Ominaisuus	Mitä CRA sanoo	Missä
Onko SBOM pakollinen?	Kyllä. Valmistajien on tunnistettava ja dokumentoitava tuotteisiinsa sisältyvät komponentit "muun muassa laatimalla [...] ohjelmistojen materiaaliluettelo"	Liite I, II osa, 1 kohta
Mikä SBOM on?	"Muodollinen selite, jossa esitetään digitaalisia elementtejä sisältävän tuotteen ohjelmistoelementteihin sisältyvien komponenttien yksityiskohtaiset tiedot ja toimitusketjusuhteet"	3 artiklan 39 alakohta
Mikä formaatti?	"Yleisesti käytetyssä ja koneluettavassa muodossa". Komissio voi täsmentää muodon ja osatekijät täytäntöönpanosäädöksillä	Liite I, II osa, 1 kohta; 13 artiklan 24 kohta
Kuinka syvälle?	"Vähintään tuotteiden ylimmän tason riippuvuudet kattava"	Liite I, II osa, 1 kohta
Mihin se kuuluu?	Tekniseen dokumentaatioon osana haavoittuvuuksien käsittelyä koskevia tietoja	Liite VII, 2 kohdan b alakohta
Pitääkö sen olla julkinen?	Ei. "Valmistajia ei pitäisi velvoittaa julkistamaan ohjelmistojen materiaaliluetteloa." Jos jaat sen käyttäjille, käyttäjälle annettavissa tiedoissa kerrotaan, mistä sen löytää	Johdanto-osan 77 kappale; liite II, 9 kohta
Kuka voi pyytää sitä?	Markkinavalvontaviranomainen perustellusta pyynnöstä vaatimustenmukaisuuden tarkistamiseksi. Viranomaiset voivat pyytää SBOM:eja myös unionin laajuista riippuvuusarviointia varten	Liite VII, 8 kohta; 13 artiklan 25 kohta
Kuinka kauan se säilytetään?	Tekninen dokumentaatio säilytetään vähintään 10 vuotta tuotteen markkinoille saattamisesta tai tukiajan, sen mukaan, kumpi on pidempi	13 artiklan 13 kohta

Asetusta sovelletaan kokonaisuudessaan 11.12.2027 alkaen, ja sen raportointivelvoitteita sovelletaan 11.9.2026 alkaen. Asetuksen muista vaatimuksista kerrotaan sivulla mitä CRA vaatii.

Vähimmäistason yli: BSI TR-03183-2

Ennen kuin komissio täsmentää muodon täytäntöönpanosäädöksellä, yksityiskohtaisin julkinen ohjeistus tulee Saksan liittovaltion tietoturvavirastolta (BSI). Sen tekninen ohje TR-03183-2, versio 2.1.0 elokuulta 2025, on ohjeistusta eikä osa asetusta, mutta se näyttää, mihin suuntaan odotukset ovat menossa:

Formaatti: JSON tai XML, joka on validi CycloneDX 1.6:n tai uudemman tai SPDX 3.0.1:n tai uudemman mukaan.
Syvyys: riippuvuuksien rekursiivinen selvittäminen jokaiselle toimituksen laajuuteen kuuluvalle komponentille aina ensimmäiseen sen ulkopuoliseen komponenttiin asti, se mukaan lukien.
Totuuden lähde: SBOM:n on sisällettävä "samat tiedot kuin build-prosessin aikana on saatavilla", tai vastaavat tiedot, jos build-prosessia ei ole.

Ohje nimeää myös SBOM-tyypit. Build SBOM "luodaan osana build-prosessia". Analysed SBOM "luodaan build-prosessin jälkeen analysoimalla artefakteja, kuten suoritettavia tiedostoja, paketteja, kontteja ja virtuaalikonekuvia". Tämä ero on suurin ero tämän sivun työkalujen välillä.

Ylimmän tason vai transitiiviset riippuvuudet

Ylimmän tason riippuvuudet ovat vähimmäistaso, eivät tavoite. Transitiivisen paketin haavoittuvuus on silti tuotteessasi, ja CRA edellyttää, että valmistajat puuttuvat toimittamiensa komponenttien haavoittuvuuksiin ja korjaavat ne. Ensimmäiseen tasoon pysähtyvä SBOM jättää nuo paketit haavoittuvuuksien käsittelysi ulkopuolelle. Käytännön kysymys ei ole se, tallennetaanko transitiiviset riippuvuudet, vaan miten voi olla varma, että tallenne vastaa sitä, mitä toimitettiin. Sivulla transitiiviset riippuvuudet kerrotaan, miten ne luetellaan ja miten haavoittuvat korjataan.

Build SBOM vai analysoitu SBOM

Useimmat SBOM-työkalut generoivat analysoidun SBOM:n buildin jälkeen tai hallinnoivat muiden työkalujen tuottamia SBOM:eja. CRACI tallentaa build SBOM:n buildin ollessa käynnissä. SBOM-generaattoreiden ja -hallintatyökalujen vertailut löydät sivuilta SBOM-hallinta ja SBOM-työkalut vertailussa. CRA:ta varten rakennetut työkalut löydät sivulta CRA-vaatimustenmukaisuuden työkalut vertailussa.

CRACI:n paikka

CRACI tallentaa SBOM:n GitHub Actions -buildisi ollessa käynnissä. Runnerin paketit tunnistava välityspalvelin tallentaa jokaisen paketin, jonka jobi haki, CI-välimuisteista palautetut paketit mukaan lukien, joten SBOM kuvaa artefaktin tuottanutta buildia eikä jossain lähistöllä ajettua skannausta. Jokaisen jobin SBOM:lla on kattavuustila, ja CycloneDX- ja SPDX-viennit sisältävät transitiiviset riippuvuudet ja kunkin komponentin ilmoitetun lisenssin.

Julkaisun jälkeen CRACI arvioi valvotut SBOM:t jatkuvasti uudelleen uusien haavoittuvuuksien ilmaantuessa, ja se valmistelee CRA-ilmoitusten (ennakkovaroitus, ilmoitus ja loppuraportti) sisällön, jonka sinä lähetät. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI säilyttää build-tiedot oletuksena 180 päivää, ja Enterprisessa säilytysajan voi määrittää itse, joten vie talteen se, mikä kuuluu 10 vuotta säilytettävään tekniseen dokumentaatioosi. CRACI automatisoi merkittävän osan toimitusketjun näkyvyydestä ja näytöstä, jota CRA-prosessisi tarvitsee; vaatimustenmukaisuuden arviointi ja tekninen dokumentaatio jäävät valmistajan vastuulle. Kaikki CRA:n vaatimukset vaihe vaiheelta etenevänä tiekarttana löydät CRA-oppaasta. Lue lisää buildin aikaisesta SBOM-generoinnista tai varaa demo, niin näet SBOM:n, joka on tallennettu yhdestä buildistasi.

CRACI verrattuna kuhunkin työkaluun

Rinnakkain

Useita työkaluja yhdellä sivulla silloin, kun valitset kategoriaa etkä yksittäistä tuotetta.

CRA-vaatimustenmukaisuuden työkalut vertailussa Työkalut, jotka auttavat valmistajia täyttämään kyberkestävyyssäädöksen vaatimukset.

Vastauksia CRA:n SBOM-kysymyksiin

Vaatiiko CRA transitiiviset riippuvuudet SBOM:iin?

Asetuksen vähimmäistaso on "vähintään tuotteiden ylimmän tason riippuvuudet kattava" luettelo (liite I, II osa, 1 kohta). Transitiivisia riippuvuuksia ei mainita, mutta haavoittuva transitiivinen paketti on silti tuotteessasi, ja CRA edellyttää, että käsittelet toimittamiesi komponenttien haavoittuvuudet. Saksan BSI:n TR-03183-2-ohje menee pidemmälle ja edellyttää riippuvuuksien rekursiivista selvittämistä.

Pitääkö CRA:n mukaisen SBOM:n olla julkinen?

Ei. Johdanto-osan 77 kappaleen mukaan valmistajia ei pitäisi velvoittaa julkistamaan SBOM:ia. Se kuuluu tekniseen dokumentaatioon, ja markkinavalvontaviranomainen voi pyytää sitä perustellulla pyynnöllä. Jos päätät jakaa sen käyttäjille, tuotteen mukana tulevissa tiedoissa on kerrottava, mistä sen löytää (liite II, 9 kohta).

Pitäisikö CRA:n mukaisen SBOM:n olla CycloneDX vai SPDX?

CRA edellyttää "yleisesti käytettyä ja koneluettavaa muotoa" eikä nimeä mitään tiettyä; komissio voi täsmentää muodon täytäntöönpanosäädöksellä (13 artiklan 24 kohta). CycloneDX ja SPDX ovat kaksi yleistä vaihtoehtoa. BSI TR-03183-2 v2.1.0 hyväksyy CycloneDX 1.6:n tai uudemman ja SPDX 3.0.1:n tai uudemman JSON- tai XML-muodossa.

Kuinka kauan SBOM on säilytettävä?

SBOM on osa teknistä dokumentaatiota, jota valmistajat pitävät markkinavalvontaviranomaisten saatavilla vähintään 10 vuotta tuotteen markkinoille saattamisesta tai tukiajan, jos se on pidempi (13 artiklan 13 kohta).

Milloin CRA:n SBOM-vaatimuksia aletaan soveltaa?

CRA:n raportointivelvoitteita sovelletaan 11.9.2026 alkaen, ja asetusta sovelletaan kokonaisuudessaan, liitteen I SBOM-vaatimus mukaan lukien, 11.12.2027 alkaen.