Softwarestückliste (SBOM)
Eine Softwarestückliste dokumentiert die Bestandteile einer bestimmten Softwarefassung und ihre Beziehungen. Sie kann Informationen über enthaltene Komponenten, Versionen und Herkunft in maschinenverarbeitbarer Form bereitstellen.
Worauf es bei der Arbeit ankommt
Vereinbaren Sie das benötigte Format und die Zuordnung zu tatsächlich gelieferten Versionen. Klären Sie Aktualisierung, Bereitstellung sowie den Umgang mit Komponentenänderungen. Prüfen Sie, wie Informationen aus der Liste in einen praktischen Prozess zur Bewertung relevanter Sicherheitsmeldungen eingehen.
Was bedeutet das für Ihre Ausschreibung?
Im Einkauf unterstützt sie Transparenz über Softwareabhängigkeiten und spätere Sicherheitsbearbeitung. Eine SBOM ist kein Sicherheitszertifikat und belegt nicht, dass sämtliche aufgeführten Bestandteile frei von Schwachstellen sind.
Drei konkrete Prüfpunkte
- Welche Softwarefassung wird beschrieben?
- Sind Abhängigkeiten ausreichend erfasst?
- Wann wird die Liste aktualisiert?
Eine typische Verwechslung vermeiden
Eine einmal gelieferte Stückliste kann nach mehreren Produktänderungen die tatsächlich eingesetzten Komponenten nicht mehr zutreffend abbilden.