Giver en SBOM til CRA jer også en licensside?

Produktteams bør betragte 2026 til 2027 som vinduet til at opsætte komponentoversigt, SBOM-generering, sårbarhedsprocesser og (adskilt herfra) processer til licensoplysning. At vente med at opdage, at I ikke har en gennemgået tredjepartslicensregistrering, til overensstemmelsesvurderingen, skaber dobbelt brandslukning.

Tidsfrister varierer efter produktklasse og gennemførelsesretsakter, og dokumentationen skal holdes ajour gennem hele supportperioden. Bekræft alle datoer med jeres advokat. Denne side er ikke juridisk rådgivning.

Omfanget afhænger af produktklassificering, ikke virksomhedens størrelse: Produkter med digitale elementer, der bringes i omsætning på EU-markedet, er omfattet, mens produkter, der allerede er dækket af sektorspecifikke EU-regler (medicinsk udstyr, motorkøretøjer, civil luftfart), og rene cloud-services uden en produktvinkel, generelt er undtaget. Installerbar software, firmware, tilsluttede enheder og mange kommercielle open source-distributionsmodeller kan være omfattet, når de sælges i EU.

Rene SaaS-undtagelser findes i markedets almindelige forståelse, men kræver produktspecifik juridisk gennemgang.

CRA kræver en SBOM, men det dækker ikke licensoplysning. Bilag I, del II forpligter producenter til at identificere og dokumentere komponenter, herunder en SBOM i et almindeligt anvendt, maskinlæsbart format, der som minimum dækker de øverste afhængigheder, hvilket er komponentidentitetsdata, ikke gennemgået licenstekst.

Den forpligtelse øger udbredelsen af SBOM'er blandt leverandører, der sælger i EU. Teams producerer CycloneDX eller SPDX fra CI, ofte for første gang, og afleverer filerne til sikkerhed eller compliance. SBOM'en opfylder CRA's krav til komponentdokumentation. Den producerer ikke automatisk licensmeddelelser, kildeangivelse eller fuld licenstekst for hver komponent.

CRA's cybersikkerhedsdokumentation dækker risikovurdering, sårbarheder, opdateringer og sikker udvikling. Produktsikkerhed, PSIRT og jura ejer det arbejde. Licensoverholdelse dækker immaterialretlige forpligtelser i tredjepartssoftware: licensmeddelelser, kildeangivelse og copyleft-betingelser. Det er en anden arbejdsgang med menneskelig kontrol.

At blande de to ting sammen skaber falsk tryghed. Et team kan bestå en intern CRA-gennemgang med SBOM'er og frister for sikkerhedsrettelser og stadig fejle en købers krav om dokumentation for licensoverholdelse, fordi ingen har gennemgået licensteksten.

• CRA-SBOM: Komponentidentitet til sikkerheds- og regulatorisk dokumentation.
• Licensoplysning: Fuld tekst og kildeangivelse til jura og indkøb.
• CRA: Sårbarhedsrapportering til myndigheder under definerede betingelser.
• Licens: Copyright- og distributionsbetingelser i OSS-licenser.
• Samme input fra lockfilen, forskellige resultater og forskellige ansvarlige.

CRA forventer, at dokumentationen opdateres gennem supportperioden, når sårbarheder og komponenter ændrer sig. Den samme afvigelse i afhængigheder bryder licensudsagn, hvis ingen gennemgår det leverede igen.

Teams med flere personer fletter løbende pakkeopdateringer ind. Uden genimport og genudgivelse ved hver udgivelse beskriver både jeres CRA-SBOM og jeres licensoplysning gårsdagens produkt. Regulatorisk dokumentation og køberrettede registreringer skal følge med kodebasen.

Store kunder kortlægger leverandørers CRA-status i deres forsyningskædeprogrammer, og de bruger stadig licensafsnit fra RFP-skabeloner, der blev skrevet, før CRA fandtes. De beder om en SBOM, en open source-licensside og en attestering af, at listen vedligeholdes.

CRA-uddannet indkøb vil forvente holdbar adgang til compliance-artefakter. Det erstatter ikke indholdet af licensoplysningen. Det hæver barren for, hvor aktuelle og tilgængelige jeres registreringer skal være.

Sikkerhedsorganisationen: SBOM-generering, sårbarhedshåndtering, hændelsesrapportering, input til CRA-overensstemmelse, sikker levering af opdateringer.

Compliance / jura / udvikling: Oversigt over tredjepartslicenser, gennemgang, kontrol før udgivelse, oplysningseksporter og svar på købernes spørgeskemaer.

Fælles input: Lockfiles og SBOM'er fra CI. Forskellige resultater: Sikkerhed bruger SBOM'en til CVE'er. Compliance bruger den samme import til gennemgåede licensregistreringer.