Giver en CRA SBOM-tjekliste jer en licensside?

Produktteams bør betragte 2026 til 2027 som vinduet til at opsætte komponentoversigt, SBOM-generering, sårbarhedsprocesser og (adskilt herfra) processer til licensoplysning. At vente med at opdage, at I ikke har en gennemgået tredjepartslicensregistrering, til overensstemmelsesvurderingen, skaber dobbelt brandslukning.

Tidsfrister varierer efter produktklasse og gennemførelsesretsakter, og dokumentationen skal holdes ajour gennem hele supportperioden. Bekræft alle datoer med jeres advokat. Denne side er ikke juridisk rådgivning.

Omfanget afhænger af produktklassificering, ikke virksomhedens størrelse: Produkter med digitale elementer, der bringes i omsætning på EU-markedet, er omfattet, mens produkter, der allerede er dækket af sektorspecifikke EU-regler (medicinsk udstyr, motorkøretøjer, civil luftfart), og rene cloud-services uden en produktvinkel, generelt er undtaget. Installerbar software, firmware, tilsluttede enheder og mange kommercielle open source-distributionsmodeller kan være omfattet, når de sælges i EU.

Rene SaaS-undtagelser findes i markedets almindelige forståelse, men kræver produktspecifik juridisk gennemgang.

CRA kræver en SBOM, men det dækker ikke licensoplysning. Bilag I, del II forpligter producenter til at identificere og dokumentere komponenter, herunder en SBOM i et almindeligt anvendt, maskinlæsbart format, der som minimum dækker de øverste afhængigheder, hvilket er komponentidentitetsdata, ikke gennemgået licenstekst.

Den forpligtelse accelererer udbredelsen af SBOM'er blandt leverandører, der sælger i EU. Teams producerer CycloneDX eller SPDX fra CI, ofte for første gang, og afleverer filer til sikkerhed eller compliance. SBOM'en opfylder CRA's komponentdokumentation. Den producerer ikke automatisk notice, kildeangivelse eller fuld licenstekst for hver komponent.

CRA's cybersikkerhedsdokumentation dækker risikovurdering, sårbarheder, opdateringer og sikker udvikling. Produktsikkerhed, PSIRT og jura ejer det arbejde. Licens-compliance dækker immaterialretlige forpligtelser i tredjepartssoftware: Notice, kildeangivelse, copyleft-betingelser. En anden arbejdsgang med gates til menneskelig gennemgang.

At sammenblande dem skaber falsk tryghed. Et team kan bestå en intern CRA-parathedsgennemgang med SBOM'er og patch-SLA'er, mens det stadig fejler på en købers anmodning om licens-compliance, fordi ingen har gennemgået licensteksten.

• CRA-SBOM: Komponentidentitet til sikkerheds- og regulatorisk dokumentation.
• Licensoplysning: Fuld tekst og kildeangivelse til jura og indkøb.
• CRA: Sårbarhedsrapportering til myndigheder under definerede betingelser.
• Licens: Copyright- og distributionsbetingelser i OSS-licenser.
• Samme lockfile-input, forskellige output og forskellige ejere.

CRA forventer, at dokumentationen opdateres gennem supportperioden, når sårbarheder og komponenter ændrer sig. Den samme afvigelse i afhængigheder bryder licensudsagn, hvis ingen gennemgår det leverede igen.

Teams med flere personer merger løbende pakkeopdateringer. Uden genimport og genudgivelse ved hver release beskriver jeres CRA-SBOM og jeres licensoplysning begge gårsdagens produkt. Regulatorisk dokumentation og køberrettede registreringer skal følge med kodebasen.

Store kunder kortlægger leverandørers CRA-status ind i deres forsyningskædeprogrammer, og de indsætter stadig licensafsnit fra RFP-skabeloner, der blev skrevet, før CRA fandtes. De beder om SBOM plus open source-licensside plus attestation af, at listen vedligeholdes.

CRA-uddannet indkøb vil forvente holdbar adgang til compliance-artefakter. Det erstatter ikke indholdet af licensoplysningen. Det hæver barren for, hvor aktuelle og tilgængelige jeres registreringer skal være.

Sikkerhedsorganisationen: SBOM-generering, sårbarhedshåndtering, hændelsesrapportering, input til CRA-overensstemmelse, sikker levering af opdateringer.

Compliance / jura / engineering ops: Oversigt over tredjepartslicenser, gennemgang, publish-gates, oplysningseksporter, svar på købernes spørgeskemaer.

Fælles input: Lockfiles og SBOM'er fra CI. Forskelligt output: Sikkerhed bruger SBOM'en til CVE'er. Compliance bruger den samme import til gennemgåede licensregistreringer.