Auf den Punkt: CISA erweitert die SBOM-Mindestanforderungen um neue Datenelemente wie Hash-Werte, Lizenzen und Autorensignaturen, um Organisationen eine bessere Softwarelieferketten-Transparenz zu ermöglichen.
Die US-Behörde CISA hat gemeinsam mit internationalen Partnern eine überarbeitete Leitlinie für Software Bill of Materials (SBOM) veröffentlicht, die die fünf Jahre alte Version von 2021 ersetzt. Die Neufassung integriert über 90 Rückmeldungen aus der öffentlichen Konsultation und erweitert die erforderlichen Datenelemente erheblich.
Die neue Leitlinie „2026 Minimum Elements for a Software Bill of Materials“ basiert auf den 2021 von der NTIA veröffentlichten Mindestanforderungen und passt diese an den heutigen Stand der Technik an. Eine SBOM dient als strukturierte Zutatenliste für Software und ermöglicht es Organisationen, ein genaues Inventar aller eingesetzten Softwarekomponenten zu führen.
Die überarbeitete Fassung behält die Grundprinzipien der Vorgängerversion, erweitert aber das Spektrum der abdeckbaren Anwendungsfälle und verbessert die Datenqualität. Neu aufgenommen wurden etwa der Hash-Algorithmus und Hash-Wert von Komponenten, Lizenzinformationen, Autorensignaturen, Name und Version des Datenformats, der Erstellungskontext sowie Name, Version und Bezeichnung des verwendeten SBOM-Tools. Entfernt wurden dagegen nur zwei Elemente: Zugriffskontrolle und Software Identification Tags. Mehrere Elemente wurden überarbeitet oder neu strukturiert – etwa der Komponentenname, der künftig mehrere Einträge zulässt.
Nach Angaben der beteiligten Behörden hat sich das Werkzeugumfeld rund um SBOMs seit 2021 deutlich weiterentwickelt, was Organisationen heute deutlich detailliertere Informationen über ihre Softwarelieferkette einfordern können als noch vor fünf Jahren. Diese Daten ermöglichen es CISOs, ihre Softwarelieferkette besser zu verstehen und fundiertere Entscheidungen im Risikomanagement zu treffen – etwa beim Umgang mit bekannten oder neu entdeckten Schwachstellen.
Die aktualisierte Leitlinie adressiert grundsätzlich sämtliche Software, wobei bestimmte Softwarearten wie KI-Systeme oder Software-as-a-Service zusätzliche Bestandteile erfordern können. Die G7-Regierungsbehörden hatten bereits im Mai eine spezialisierte SBOM-Leitlinie speziell für KI-Systeme veröffentlicht.
Quelle: www.it-daily.net · Erschienen 30. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.