Die Software Bill of Materials (SBOM) gilt als eine der zentralen Anforderungen des Cyber Resilience Act. Eine SBOM zu erstellen, ist jedoch nur der erste Schritt. Damit sie einen praktischen Nutzen bietet, muss sie in den Entwicklungsprozess und das Schwachstellenmanagement integriert werden.

Das Webinar betrachtet deshalb den gesamten Weg von der Erstellung bis zur praktischen Nutzung. Anhand konkreter Erfahrungen und einer Live-Demo wird gezeigt, wie eine SBOM erzeugt und in den Software Development Lifecycle integriert werden kann. Dabei werden gängige Standards und Tools ebenso behandelt wie Unterschiede in den Ergebnissen und typische Probleme bei der Umsetzung.
Außerdem zeigt das Webinar, wie eine SBOM im Schwachstellenmanagement eingesetzt werden kann, um Komponenten mit bekannten oder bereits aktiv ausgenutzten Sicherheitslücken zu identifizieren.

Der Vortrag richtet sich an Fachleute aus der Software- und Produktentwicklung sowie der IT-Sicherheit und an technisch Verantwortliche, deren Unternehmen vom Cyber Resilience Act betroffen sind oder ihre Security Posture verbessern möchten, insbesondere aus den Bereichen IoT, Industrie 4.0, Automotive und OT.

Cybersicherheit wird zur Überlebensfrage für die Wirtschaft und Gesellschaft Europas und hat daher hohe Priorität in der Agenda der Europäischen Union. Zum Schutz von Unternehmen und Wertschöpfungsketten hat das EU-Parlament und der Rat den Cyber Resilience Act (CRA) verabschiedet. Dies ist eine unmittelbar wirkende Regulierung mit Fokus auf Produkte mit digitalen Elementen, die von Herstellern, Händlern und Importeuren in den Markt gebracht werden. Denn unsichere Produkte überschwemmen den europäischen Markt und gefährden dabei auch wichtige und kritische Unternehmen und Infrastruktur.
Der CRA, der am 11. Dezember 2027 vollumfänglich in Kraft tritt, fordert Security by Default und Design, eine Software-Stückliste (SBOM), das Melden von schweren Sicherheitsvorfällen und ausgenutzten Schwachstellen sowie Dokumentationen und Konformitätserklärungen. 
Das Webinar vermittelt einen Überblick über diese Anforderungen. Seit dem 27. Juli gibt es eine Leitlinie der EU-Kommission zur Umsetzung der Anforderungen, die sich als roter Faden durchs Webinar ziehen wird. In nachfolgenden Webinaren werden einzelne Aspekte des CRA herausgegriffen und detailliert behandelt.
 
Dr. Matthias Kampmann | Senior Consultant, ibi research an der Universität Regensburg GmbH

Der Cyber Resilience Act (CRA) will die Produktsicherheit von Software sowie kombinierten Soft- und Hardware-Produkten nachhaltig erhöhen. Sicheres Software Engineering wird zur Pflicht, wenn das Gesetz zum 1. Dezember 2027 in vollem Umfang in Kraft tritt. Bislang gab es derartig weitreichende Regelungen für diese Produktgattung nicht. Bereits ab dem 11. September 2026 verpflichtet der CRA die  Unternehmen, die Produkte mit digitalen Elementen herstellen, in Verkehr bringen oder einführen, bei gravierenden Sicherheitsvorfällen oder wenn bekannt wird, dass Schwachstellen im Produkt ausgenutzt werden, diese bei der ENISA, der europäischen Cybersicherheitsbehörde, zu melden. Wie das funktioniert und welche Rolle dabei das Bundesamt für Sicherheit in der Informationstechnik spielt, erläutert Dr. Matthias Kampmann in dem Webinar. Ebenfalls thematisiert werden Mechanismen zum sicheren Umgang mit Schwachstellen und gute Praktiken im Umgang mit ihnen (Responsible Disclosure bzw. Coordinated Vulnerability Disclosure).

Dr. Matthias Kampmann | Senior Consultant, ibi research an der Universität Regensburg GmbH