Schwachstellen im Griff
Erst mit einer SBOM inklusive eindeutiger Kennungen (purl, CPE) lässt sich automatisiert prüfen, ob bekannte Schwachstellen wie Log4Shell im eigenen Produkt stecken, über den gesamten Support-Zeitraum hinweg.
SBOM · BSI TR-03183-2 · NTIA
Warum SBOM-Standards wichtig sind und wann welcher gilt
Eine Software Bill of Materials ist nur so viel wert wie die Angaben, die sie enthält. Ob Ihre SBOM den Anforderungen genügt, hängt vom Markt ab: In der EU setzt der Cyber Resilience Act den Rahmen und die BSI TR-03183-2 den Maßstab, in den USA sind es die NTIA Minimum Elements. Diese Seite ordnet ein, welcher Standard für welchen Anwendungsfall zählt.
Direkt zum kostenlosen SBOM-CheckWarum überhaupt eine SBOM?
Moderne Software besteht überwiegend aus Fremd- und Open-Source-Komponenten. Ohne ein vollständiges Inventar lässt sich weder bewerten, ob eine neue Schwachstelle das eigene Produkt betrifft, noch, welche Lizenzpflichten gelten.
Regulatorische Pflicht
Der Cyber Resilience Act macht die SBOM ab dem 11.12.2027 zur Pflicht für Produkte mit digitalen Elementen auf dem EU-Markt. In den USA fordern Executive Order 14028 und die FDA SBOMs bereits heute.
Vertrauen in der Lieferkette
Kunden, Auditoren und Behörden verlangen zunehmend belastbare SBOMs als Eingangsvoraussetzung. Wer eine standardkonforme SBOM liefern kann, verkürzt Beschaffungsprozesse und Sicherheitsprüfungen deutlich.
Wann Sie die BSI TR-03183-2 berücksichtigen sollten
Die Technische Richtlinie TR-03183-2 des BSI legt fest, welche Angaben eine SBOM auf Dokument- und Komponentenebene enthalten muss. Sie ist der Referenzmaßstab für den europäischen Markt.
Hersteller im Geltungsbereich des CRA
Der EU Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen, eine maschinenlesbare SBOM zu erstellen und aktuell zu halten (Anhang I, Teil II Nr. 1). Die BSI TR-03183-2 konkretisiert, wie eine solche SBOM formal und inhaltlich aussehen soll, und gilt damit als wichtigste Referenz für die Umsetzung in der EU.
Nachweise gegenüber Behörden und Prüfstellen
Wer gegenüber Marktüberwachung, notifizierten Stellen oder Auditoren den Stand der Technik bei SBOMs belegen muss, ist mit der Technischen Richtlinie des BSI auf der sicheren Seite. Sie definiert eindeutige Pflicht- und Zusatzfelder je Komponente und macht die Qualität einer SBOM damit objektiv prüfbar.
Zulieferer von CRA-pflichtigen Herstellern
Hersteller reichen die CRA-Anforderungen vertraglich an ihre Lieferkette weiter. Wer Softwarekomponenten, Bibliotheken oder Embedded-Stacks an europäische Produkthersteller liefert, wird zunehmend nach einer SBOM gemäß BSI TR-03183-2 gefragt, inklusive Hashes, Lizenzangaben und aufgelöster Abhängigkeiten.
Öffentliche Auftraggeber und kritische Infrastrukturen
In Ausschreibungen des öffentlichen Sektors und bei Betreibern kritischer Infrastrukturen in Deutschland wird die TR-03183-2 häufig als Anforderungsmaßstab referenziert. Eine dazu konforme SBOM erleichtert Beschaffung, Schwachstellenmanagement und die Zusammenarbeit mit dem BSI.
Welche Version der TR-03183-2 ist die richtige?
| Version | Stand | Wann sinnvoll |
|---|---|---|
| v2.1.0 | Aktuelle Fassung | Für alle neuen SBOM-Prozesse und die CRA-Vorbereitung. Fordert CycloneDX ab 1.6 (SPDX 2.x ist nicht mehr zulässig), SHA-512-Hashes, BSI-Komponenten-Properties und eine explizit gekennzeichnete Vollständigkeit des Abhängigkeitsgraphen. |
| v2.0.0 | September 2024 | Wenn Verträge oder Kundenvorgaben ausdrücklich auf v2.0.0 verweisen. Akzeptiert noch SPDX 2.2/2.3 neben CycloneDX ab 1.5, verlangt aber bereits SHA-512-Hashes und die erweiterten Komponentenfelder. |
| v1.1 | Ältere Fassung | Nur für Bestandsverträge, die auf v1.1 fixiert sind. Genügsamer bei Hashes (SHA-256 reicht) und Komponentenfeldern. Für neue Vorhaben nicht mehr empfohlen. |
Wann die NTIA Minimum Elements zählen
Das Dokument „The Minimum Elements For a Software Bill of Materials" der NTIA (Juli 2021) definiert die international verbreitete Untergrenze: Basisdatenfelder, Automatisierbarkeit und Prozesse.
Software für den US-Markt und US-Behörden
Die NTIA Minimum Elements entstanden 2021 im Auftrag der US-Regierung (Executive Order 14028) und sind der Ausgangspunkt aller SBOM-Anforderungen in der US-Bundesbeschaffung. Wer Software an US-Behörden oder deren Zulieferer liefert, sollte mindestens diese Basisfelder erfüllen.
Medizinprodukte mit US-Zulassung
Die FDA verlangt für vernetzte Medizinprodukte (Cyber Devices nach Section 524B FD&C Act) eine SBOM im Zulassungsverfahren und orientiert sich dabei an den NTIA Minimum Elements. Für MedTech-Hersteller mit US-Geschäft ist NTIA-Konformität damit faktisch Pflicht.
Internationale Kundenanforderungen
Viele Konzerne und Plattformbetreiber verlangen von ihren Softwarelieferanten weltweit eine „NTIA-konforme SBOM" als kleinsten gemeinsamen Nenner. Die Minimum Elements sind bewusst schlank gehalten und mit gängigen Werkzeugen schnell erreichbar.
Einstieg in das SBOM-Programm
Wer gerade erst mit SBOMs beginnt, startet sinnvoll mit den NTIA Minimum Elements: wenige Pflichtfelder, klare Struktur, schnelle Erfolge. Der Umstieg auf die strengeren BSI-Anforderungen (Hashes, Lizenzvalidierung, vollständiger Abhängigkeitsgraph) fällt danach deutlich leichter.
Die beiden Maßstäbe im Vergleich
Die NTIA Minimum Elements definieren das Fundament, die BSI TR-03183-2 baut darauf auf und geht bei Feldtiefe und Nachprüfbarkeit deutlich weiter.
| Kriterium | NTIA Minimum Elements | BSI TR-03183-2 (v2.1.0) |
|---|---|---|
| Herkunft und Bezug | US-Handelsministerium (NTIA), Executive Order 14028; Basis für US-Beschaffung und FDA | BSI; konkretisiert die SBOM-Pflicht des EU Cyber Resilience Act |
| Formate | SPDX oder CycloneDX, maschinenlesbar (JSON, XML, Tag-Value) | CycloneDX ab 1.6 oder SPDX ab 3.0.1 (ältere Fassungen: auch SPDX 2.2/2.3) |
| Pflichtfelder je Komponente | Lieferant, Name, Version, eindeutige Kennungen (soweit verfügbar), Abhängigkeiten | Zusätzlich Ersteller mit Kontakt, Dateiname, SHA-512-Hash, validierte Lizenzangaben, Eigenschaften (ausführbar, Archiv, strukturiert) |
| Abhängigkeiten | Mindestens Top-Level-Abhängigkeiten oder eine explizite Vollständigkeitsaussage | Rekursiv aufgelöster, vollständiger Graph mit gekennzeichneter Vollständigkeit |
| Typischer Einsatz | Einstieg, US-Markt, internationale Mindestanforderung | EU-Markt, CRA-Nachweise, Behörden und kritische Infrastrukturen |
Faustregel: Wer die BSI TR-03183-2 erfüllt, erfüllt die NTIA Minimum Elements gleich mit. Umgekehrt gilt das nicht. Für Hersteller mit EU-Geschäft ist die Technische Richtlinie deshalb das sinnvolle Zielniveau, NTIA das Mindestniveau für den schnellen Start.
Wo steht Ihre SBOM heute?
Prüfen Sie Ihre SBOM kostenlos gegen BSI TR-03183-2 (v2.1.0, v2.0.0, v1.1) oder die NTIA Minimum Elements. Die Prüfung läuft vollständig in Ihrem Browser, inklusive Prüfbericht als PDF.
Zum SBOM-Compliance-CheckFragen zur Umsetzung? Schreiben Sie uns an info@actsecure.eu.
Häufige Fragen zu SBOM-Standards
Ist die BSI TR-03183-2 rechtlich verbindlich?
Die Technische Richtlinie selbst ist keine Rechtsnorm. Verbindlich ist der Cyber Resilience Act, der eine SBOM fordert, ohne deren Inhalt im Detail festzulegen. Die TR-03183-2 beschreibt jedoch den Stand der Technik aus Sicht des BSI und wird in Verträgen, Ausschreibungen und Prüfungen regelmäßig als Maßstab herangezogen. Wer sie erfüllt, ist für die CRA-Nachweisführung gut aufgestellt.
Reicht eine NTIA-konforme SBOM für den CRA?
Als Ausgangspunkt ja, als Zielbild nein. Die NTIA Minimum Elements decken die Basisfelder ab (Lieferant, Name, Version, Abhängigkeiten, Autor, Zeitstempel), verlangen aber weder Hashes noch validierte Lizenzangaben oder die von der TR-03183-2 geforderte Feldtiefe. Für den europäischen Markt sollte die SBOM mittelfristig am BSI-Maßstab ausgerichtet werden.
Welches Format sollte ich wählen: CycloneDX oder SPDX?
Beide sind etablierte, maschinenlesbare Standards. Für neue Vorhaben mit BSI-Bezug empfiehlt sich CycloneDX ab Version 1.6, da die aktuelle TR-03183-2 v2.1.0 SPDX erst wieder ab Version 3.0.1 akzeptiert und die BSI-spezifischen Komponentenfelder in CycloneDX als Properties sauber abbildbar sind. Im US-Umfeld sind beide Formate gleichwertig verbreitet.
Muss ich mich für einen der beiden Standards entscheiden?
Nein. Eine SBOM, die die BSI TR-03183-2 erfüllt, deckt die NTIA Minimum Elements praktisch vollständig mit ab. Sinnvoll ist daher: NTIA als Einstiegs- und Mindestniveau, BSI TR-03183-2 als Zielniveau für den EU-Markt. Mit unserem SBOM-Check können Sie beide Maßstäbe gegen dieselbe Datei prüfen.
Hinweis: Diese Übersicht dient der ersten Orientierung und ersetzt keine Rechtsberatung. Maßgeblich sind die Verordnung (EU) 2024/2847, die BSI TR-03183-2 in der jeweils gültigen Fassung sowie die einschlägigen US-Vorgaben.