Ger en CRA-checklista för SBOM dig en licenssida?

Produktteam bör betrakta 2026 till 2027 som fönstret för att sätta upp komponentförteckning, SBOM-generering, sårbarhetsprocesser och (separat) arbetsflöden för licensredovisning. Att vänta till bedömningen av överensstämmelse med att upptäcka att du saknar en granskad tredjepartslicensredovisning skapar dubbla brandövningar.

Tidslinjer varierar beroende på produktklass och genomförandeakter, och dokumentationen måste hållas aktuell under hela supportperioden. Bekräfta alla datum med en jurist. Den här sidan är inte juridisk rådgivning.

Omfånget avgörs av produktklassificering, inte företagsstorlek: Produkter med digitala element som släpps ut på EU-marknaden omfattas, medan produkter som redan täcks av sektorsspecifika EU-regler (medicintekniska produkter, motorfordon, civil luftfart) och rena molntjänster utan produktvinkel generellt undantas. Installerbar mjukvara, firmware, uppkopplade enheter, och många kommersiella modeller för distribution av open source kan omfattas när de säljs inom EU.

Rena SaaS-undantag finns i marknadens tolkning men kräver produktspecifik juridisk granskning.

CRA kräver en SBOM, men det täcker inte licensredovisning. Bilaga I, del II förpliktar tillverkare att identifiera och dokumentera komponenter, inklusive en SBOM i ett vanligt förekommande, maskinläsbart format som täcker minst beroendena på toppnivå, vilket är komponentidentitetsdata, inte granskad licenstext.

Den skyldigheten påskyndar SBOM-adoptionen hos leverantörer som säljer inom EU. Team producerar CycloneDX eller SPDX från CI, ofta för första gången, och lämnar filer till säkerhet eller efterlevnad. SBOM:en uppfyller CRA:s komponentdokumentation. Den ger inte automatiskt meddelande, attribuering eller fullständig licenstext för varje komponent.

CRA:s dokumentation om cybersäkerhet täcker riskbedömning, sårbarheter, uppdateringar och säker utveckling. Produktsäkerhet, PSIRT och juridik äger det arbetet. Licensefterlevnad täcker immaterialrättsliga skyldigheter i tredjepartsmjukvara: Meddelande, attribuering, copyleft-villkor. Ett annat arbetsflöde med mänskliga granskningsgrindar.

Att blanda ihop dem skapar falsk trygghet. Ett team kan klara en intern CRA-beredskapsgranskning med SBOM:er och SLA:er för patchning, men ändå misslyckas med en köpares begäran om licensefterlevnad eftersom ingen granskat licenstexten.

• CRA:s SBOM: Komponentidentitet för säkerhets- och regulatorisk dokumentation.
• Licensredovisning: Fullständig text och attribuering för juridik och inköp.
• CRA: Sårbarhetsrapportering till myndigheter under definierade villkor.
• Licens: Upphovsrätts- och distributionsvillkor i OSS-licenser.
• Samma lockfile-underlag, olika utdata och olika ägare.

CRA förväntar sig att dokumentationen uppdateras under supportperioden när sårbarheter och komponenter ändras. Samma beroendeavvikelse bryter licensutfästelser om ingen granskar om det som levererats.

Team med flera personer mergar paketuppdateringar kontinuerligt. Utan ny import och ny publicering vid varje release beskriver både din CRA-SBOM och din licensredovisning gårdagens produkt. Regulatorisk dokumentation och köparvända redovisningar måste följa med kodbasen.

Stora kunder kartlägger leverantörers CRA-status in i sina program för leveranskedjan, och de klistrar fortfarande in licensavsnitt från RFP-mallar skrivna innan CRA fanns. De ber om SBOM plus en licenssida för open source plus en attestering om att listan underhålls.

Inköpsteam med CRA-utbildning kommer förvänta sig varaktig tillgång till efterlevnadsartefakter. Det ersätter inte innehållet i licensredovisningen. Det höjer ribban för hur aktuella och tillgängliga dina redovisningar måste vara.

Säkerhetsorganisationen: SBOM-generering, sårbarhetshantering, incidentrapportering, underlag för CRA-överensstämmelse, säker leverans av uppdateringar.

Efterlevnad / juridik / utvecklingsdrift: Förteckning över tredjepartslicenser, granskning, publiceringsgrindar, redovisningsexporter, svar på köparformulär.

Delat underlag: Lockfiles och SBOM:er från CI. Skilda utdata: Säkerhet använder SBOM:en för CVE:er, efterlevnad använder samma import för granskade licensredovisningar.