SBOM- en componentdossiers onder de CRA

Vereiste van bijlage I

kwetsbaarheden en componenten in producten met digitale elementen identificeren en documenteren, onder meer door een software bill of materials op te stellen in een gangbaar en machineleesbaar formaat dat ten minste de afhankelijkheden op het hoogste niveau van de producten omvat;

Verordening (EU) 2024/2847, bijlage I, deel II, punt 1

De SBOM maakt deel uit van een breder componentendossier. De SBOM helpt de fabrikant te begrijpen welke componenten in het product zitten en welke kwetsbaarheden die componenten kunnen treffen.

Wat moet worden onderscheiden

Voorbeeld: een traceerbaar componentenrecord

Het volgende fictieve record beschrijft een directe softwareafhankelijkheid in een firmwareversie van een controller. Het illustreert nuttige technische informatie; de velden vormen geen aanvullend door de CRA voorgeschreven schema.

• Product: controllerfirmware 1.2.0, releasebuild 120; de inventaris is opgesteld op basis van de vrijgegeven build en de afhankelijkheidsgegevens daarvan.
• Component: example-parser 2.4.0, geleverd door het fictieve project Example Components; directe afhankelijkheid van de firmware.
• Identiteit en herkomst: pakketidentificatie, exacte bronrevisie of leveranciersreferentie en een werkelijke digest van het geleverde artefact.
• Gebruik: de component verwerkt een configuratiebestand dat via een geauthenticeerde onderhoudsinterface wordt geüpload. Leg relevante buildopties en de aanroepende component vast.
• Bewijs: koppel de machineleesbare SBOM en de build- of leveranciersregistraties waarmee deze vermelding is gecontroleerd. Bewaar de inventaris van de vorige release wanneer de component verandert.

De naam en versie van een component kunnen helpen mogelijke kwetsbaarheden te vinden. Om te bepalen of een product getroffen is, is verdere analyse nodig: is de kwetsbare code opgenomen, wordt de getroffen functie uitgevoerd, welke invoer kan een aanvaller bereiken en welke maatregelen zijn relevant? Een onopgeloste match blijft in onderzoek; dit bewijst niet dat het product niet getroffen is.

Een verklaring als “niet getroffen” moet de productversie, kwetsbaarheid, technische reden en ondersteunend bewijs vermelden. Beoordeel deze opnieuw wanneer een buildoptie, componentversie, interface of implementatieaanname verandert.

Koppeling met technische documentatie

Bijlage VII neemt informatie over componenten en de SBOM op in de technische documentatie. De bijlage vraagt ook om informatie over het proces voor de afhandeling van kwetsbaarheden, het beleid voor gecoördineerde bekendmaking van kwetsbaarheden, het meldingscontact en de beveiligde distributie van updates.

Het procesgedeelte wordt toegelicht in Registratie van de afhandeling van kwetsbaarheden en prEN 40000-1-3 Afhandeling van kwetsbaarheden.

Formaatstatus

Bijlage I vereist een gangbare, machineleesbare SBOM die ten minste afhankelijkheden op het hoogste niveau omvat. Artikel 13, lid 24, staat de Commissie ook toe het formaat en de elementen ervan via een uitvoeringshandeling te specificeren, rekening houdend met Europese of internationale normen en beste praktijken. Bij de keuze van een formaat moet daarom onderscheid worden gemaakt tussen de basisvereisten van de verordening en toepasselijke uitvoeringsvereisten.

• Een pdf met een lijst van componenten voldoet niet aan de vereiste van een machineleesbaar SBOM-formaat.
• De SBOM identificeert componenten; voor de afhandeling van kwetsbaarheden zijn ook impactanalyse, herstel en communicatie nodig.
• Bijlage VII voorziet in toegang tot de SBOM op verzoek van een autoriteit; er ontstaat geen algemene verplichting om de SBOM te publiceren.