Die Regel: Hersteller müssen die Komponenten ihres Produkts ermitteln und dokumentieren, „“ (Anhang I Teil II Nr. 1).
Die Untergrenze sind die obersten Abhängigkeiten: die Pakete, von denen Ihr Produkt direkt abhängt. Transitive Abhängigkeiten verlangt der Text nicht. Ein vollständiger, aus der Lockdatei abgeleiteter Baum ist aber leicht zu erzeugen und weit nützlicher, wenn eine Schwachstelle drei Ebenen tiefer auftaucht. Die SBOM muss maschinenlesbar sein; eine Tabelle mit Namen genügt nicht.
Die Verordnung definiert den Begriff selbst: Eine Software-Stückliste ist „“ (Art. 3 Nr. 39).
Der CRA nennt weder CycloneDX noch SPDX. Stattdessen erlaubt Art. 13 Abs. 24 der Kommission, „“ der SBOM durch Durchführungsrechtsakt festzulegen, unter Berücksichtigung europäischer und internationaler Normen. Zum Zeitpunkt dieses Textes ist dieser Rechtsakt nicht erlassen, und die Normungsarbeit bei CEN/CENELEC läuft. Praktische Folge: Erzeugen Sie heute beide etablierten Formate und seien Sie bereit, neu zu generieren, sobald das Format feststeht. Wer Ihnen ein „“ verkauft, ist dem Gesetz voraus.
Zwei Dinge werden oft falsch verstanden. Erstens ist die SBOM Teil Ihrer technischen Dokumentation (Anhang VII Nr. 2), muss also existieren und gepflegt werden. Zweitens müssen Sie sie nicht veröffentlichen: Erwägungsgrund 77 stellt klar, dass Hersteller nicht verpflichtet sein sollten, die SBOM öffentlich zu machen, und Anhang VII Nr. 8 fasst sie als etwas, das Marktüberwachungsbehörden auf Verlangen vorgelegt wird, soweit es zur Prüfung der Konformität erforderlich ist. Bewahren Sie sie auf, seien Sie in der Lage, sie herauszugeben, aber ob Kunden eine Kopie bekommen, entscheiden Sie.
Die technische Dokumentation, SBOM eingeschlossen, muss den Behörden mindestens zehn Jahre nach dem Inverkehrbringen oder für die Dauer des Supportzeitraums zur Verfügung stehen, je nachdem, welcher Zeitraum länger ist (Art. 13 Abs. 13). Ein Zehnjahreshorizont ist der Grund, warum eine manipulationssichere, signierte SBOM mehr wert ist als eine einfache JSON-Datei: Die Frage im Jahr 2035 wird lauten, ob das wirklich der Stand von 2027 ist.
Die Dokumentationspflichten, SBOM eingeschlossen, gelten ab dem 11. Dezember 2027 (Art. 71 Abs. 2). Produkte, die vor diesem Datum bereits am Markt sind, werden den vollen Anforderungen nicht rückwirkend unterworfen, sofern sie nicht wesentlich verändert werden. Die separate Meldepflicht des Artikels 14 gilt dagegen seit dem 11. September 2026 für alle erfassten Produkte.
Zwei kostenlose Werkzeuge, die das auf Ihren Fall anwenden: die Anwendbarkeitsprüfung in zwei Minuten (gilt der CRA für Sie, mit den Fundstellen) und der SBOM-Generator (CycloneDX + SPDX aus Ihrer Manifestdatei, signiert; englischsprachig). Für keines brauchen Sie ein Konto.
Quellen, ausschließlich Primärquellen: Verordnung (EU) 2024/2847 (EUR-Lex) · Europäische Kommission, CRA-Überblick · Europäische Kommission, CRA-Meldepflichten · ENISA, Single Reporting Platform. Keine Rechtsberatung; maßgeblich ist der Verordnungstext.