Der Cyber Resilience Act (CRA) will die Produktsicherheit von Software sowie kombinierten Soft- und Hardware-Produkten nachhaltig erhöhen. Sicheres Software Engineering wird zur Pflicht, wenn das Gesetz zum 1. Dezember 2027 in vollem Umfang in Kraft tritt. Bislang gab es derartig weitreichende Regelungen für diese Produktgattung nicht. Bereits ab dem 11. September 2026 verpflichtet der CRA die  Unternehmen, die Produkte mit digitalen Elementen herstellen, in Verkehr bringen oder einführen, bei gravierenden Sicherheitsvorfällen oder wenn bekannt wird, dass Schwachstellen im Produkt ausgenutzt werden, diese bei der ENISA, der europäischen Cybersicherheitsbehörde, zu melden. Wie das funktioniert und welche Rolle dabei das Bundesamt für Sicherheit in der Informationstechnik spielt, erläutert Dr. Matthias Kampmann in dem Webinar. Ebenfalls thematisiert werden Mechanismen zum sicheren Umgang mit Schwachstellen und gute Praktiken im Umgang mit ihnen (Responsible Disclosure bzw. Coordinated Vulnerability Disclosure).

Dr. Matthias Kampmann | Senior Consultant, ibi research an der Universität Regensburg GmbH

Die Software Bill of Materials (SBOM) gilt als eines der zentralen Werkzeuge des Cyber Resilience Act – aber was in der Theorie einfach klingt, wird in der Praxis schnell komplex. Dieser Vortrag geht bewusst über die Frage „Was ist eine SBOM?" hinaus und zeigt anhand echter Erfahrungen, wie SBOMs tatsächlich in Softwareentwicklung und Betrieb integriert werden.

Anhand einer konkreten Demo wird gezeigt, wie eine SBOM praktisch erzeugt wird, welche Formate und Ansätze es gibt – und warum „SBOM nicht gleich SBOM" ist. Im Mittelpunkt steht die Integration in den Entwicklungsprozess und die CI/Build-Pipeline: Welche technischen Probleme tauchen dabei typischerweise auf? Wie hält man eine SBOM aktuell? Und wie gibt man diese Informationen sinnvoll an Kunden weiter?

Der Vortrag richtet sich an alle, die nicht nur die CRA-Theorie zur SBOM kennen, sondern nachvollziehen wollen, wie sie in einem echten Entwicklungsprozess funktioniert – inklusive der Stolpersteine, die dabei niemand offen anspricht.

Zielgruppen: Software- und Produktentwicklung, IT-Sicherheit, technische Leitung in Unternehmen mit Software-/eingebetteten Produkten (Embedded, IoT, Industrie 4.0, Automotive, OT)

Nutzen für die Teilnehmenden

Konkretes Verständnis, wie eine SBOM erzeugt wird und aussieht
Einblick in die Integration in CI-/Build-Prozesse
Live-Demo statt reiner Theorie
Learnings aus echten technischen Herausforderungen
Format Vortrag (ca. 45 Min.) mit Live-Demo, anschließend Fragerunde

Cybersicherheit wird zur Überlebensfrage für die Wirtschaft und Gesellschaft Europas und hat daher hohe Priorität in der Agenda der Europäischen Union. Zum Schutz von Unternehmen und Wertschöpfungsketten hat das EU-Parlament und der Rat den Cyber Resilience Act (CRA) verabschiedet. Dies ist eine unmittelbar wirkende Regulierung mit Fokus auf Produkte mit digitalen Elementen, die von Herstellern, Händlern und Importeuren in den Markt gebracht werden. Denn unsichere Produkte überschwemmen den europäischen Markt und gefährden dabei auch wichtige und kritische Unternehmen und Infrastruktur.
Der CRA, der am 11. Dezember 2027 vollumfänglich in Kraft tritt, fordert Security by Default und Design, eine Software-Stückliste (SBOM), das Melden von schweren Sicherheitsvorfällen und ausgenutzten Schwachstellen sowie Dokumentationen und Konformitätserklärungen. 
Das Webinar vermittelt einen Überblick über diese Anforderungen. Seit dem 27. Juli gibt es eine Leitlinie der EU-Kommission zur Umsetzung der Anforderungen, die sich als roter Faden durchs Webinar ziehen wird. In nachfolgenden Webinaren werden einzelne Aspekte des CRA herausgegriffen und detailliert behandelt.
 
Dr. Matthias Kampmann | Senior Consultant, ibi research an der Universität Regensburg GmbH