Cyber Resilience Act: neue ENISA-Leitfäden zu SBOMs und sicheren Updates
Die ENISA veröffentlichte technische Leitfäden zu Software-Stücklisten (22. Oktober) und sicheren Update-Mechanismen (4. November) für CRA-Hersteller.
Die EU-Agentur für Cybersicherheit (ENISA) hat am 22. Oktober 2026 ein Technical Advisory for Software Bill of Materials und am 4. November 2026 ein Technical Advisory on Secure Update Mechanisms veröffentlicht. Beide richten sich an Hersteller unter dem Cyber Resilience Act (CRA), besonders an kleine und mittlere. Sie sind Leitfäden, kein Gesetz, und begründen keine Konformitätsvermutung.
Was sich ändert
Der CRA verlangt eine SBOM in einem gängigen, maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten abdeckt, und eine Marktüberwachungsbehörde kann sie anfordern (Anhang I Teil II und Anhang VII). Sicherheitsupdates müssen sicher, unverzüglich und kostenlos verteilt werden, soweit technisch möglich getrennt von Funktionsupdates. Die ENISA zeigt nun, wie das in der Praxis geht:
- SBOMs: CycloneDX oder SPDX nutzen, für jeden Build eine SBOM erzeugen, sie validieren, signieren, speichern und pflegen. Nachweise für Audits und Behördenanfragen aufbewahren und Lücken in der SBOM-Abdeckung dokumentieren.
- Updates: Update-Metadaten signieren und die Schlüssel schützen, Updates nur aus vertrauenswürdigen Quellen über verschlüsselte Verbindungen annehmen und veraltete oder wiederholte Metadaten ablehnen. Sicherheitsupdates wo möglich standardmäßig automatisch installieren und zu jedem Fix klare Hinweise veröffentlichen.
Wichtige Termine
- 11. September 2026: Die Meldung aktiv ausgenutzter Schwachstellen und schwerer Vorfälle über die Single Reporting Platform der ENISA gilt bereits. Gemeinsame EU-Erklärungen zu kritischen PHP-Schwachstellen (21. Oktober) und zu Vorfällen bei Kühlsystemen (4. November) haben Hersteller daran erinnert.
- 11. Dezember 2027: Der CRA gilt vollständig, einschließlich SBOMs, sicherer Updates und eines Unterstützungszeitraums von mindestens fünf Jahren, sofern das Produkt nicht voraussichtlich kürzer genutzt wird (Artikel 13 Absatz 8).
Mehr zur Meldepflicht: Cyber Resilience Act: Meldepflicht gilt.
Was jetzt zu tun ist
Erfassen Sie Ihre betroffenen Produkte, erstellen Sie für jedes Release eine SBOM und prüfen Sie, wer ein Update signieren darf und wie Geräte es verifizieren. Dazr Compliance bündelt das in einem CRA-Modul: Produktklassifizierung, SBOM-Upload in CycloneDX oder SPDX JSON mit Prüfung auf bekannte Schwachstellen, Meldefristen nach Artikel 14 und technische Dokumentation nach Anhang VII.
Quellen
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
Zur Information, keine Rechtsberatung. Zuletzt aktualisiert am 7. November 2026.
Auch verfügbar auf: English, Nederlands, Italiano, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål