Das Build-Umgebungs-SBOM
Nützliche Tiefe für technische Dokumentation und Neubauten bei langer Supportlaufzeit, nicht der Leitfaden für Artikel 14 im September 2026. Beginnen Sie mit dem Produktinventar dessen, was Sie ausgeliefert haben.
Wichtig: Die Bereitschaft für Artikel 14 (ab dem 11. September 2026) betrifft aktiv ausgenutzte Schwachstellen in bereits in Verkehr befindlichen Produkten. Ein Toolchain-SBOM ersetzt dieses Rückgrat nicht. Nutzen Sie diese Seite, nachdem Produktinventar, kontinuierlicher Scan und Triage laufen.
Die meisten SBOM-Tools beantworten eine Frage: Was steckt in meinem finalen Artefakt? Bei cross-kompilierter Firmware kann die Build-Umgebung, Compiler, sysroot, SDK, für technische Dokumentation und zum Rekonstruieren der Umgebung, die Jahre später ein betroffenes Release gebaut hat, trotzdem zählen.
Was ein Build-Umgebungs-SBOM erfasst
- Den Cross-Compiler (z. B. arm-linux-gnueabihf-gcc) und seine Version
- Das sysroot und seine Systembibliotheken (glibc, OpenSSL, …)
- Das SDK / BSP, mit dem die Firmware gebaut wurde
- Build-Zeit-Abhängigkeiten, die während der Kompilierung gezogen werden
- Die exakt gepinnten Versionen von all dem oben
Wie alloy-it eines erzeugt (Reproduce-Zweig)
Weil alloy-it Ihre Build-Umgebung als versionierten Blueprint beschreibt, kennt es bereits jede Toolchain, jedes sysroot, jedes SDK und jedes Paket in dieser Umgebung. Jedes Provisioning-Ereignis kann eine Lock-Datei, ein SBOM (CycloneDX/SPDX) der Build-Umgebung und einen CVE-Scan darüber erzeugen und diesen Blueprint als Build-Provenance an ein Release binden.
Wenn Sie Jahre in den Unterstützungszeitraum hinein einen Patch ausliefern müssen, ist das Neubau-Ziel bereits festgehalten. Die vollständige CRA-Konformitäts-Checkliste ansehen →
CRA-Konformitätshub
CRA-Überblick für Embedded und Firmware
Was der Cyber Resilience Act verlangt, die Fristen und wie Hersteller von Produkten mit digitalen Elementen konform werden.
CRA-SBOM-Anforderungen
Format, Umfang und Regeln je Version für ein CRA-konformes Produkt-Software Bill of Materials.
CRA für Embedded und Firmware
Warum Firmware Hersteller-SBOM plus aus Binary abgeleitetes Inventar braucht, und wie HEX-/verschlüsselte Images abweichen.
CRA-Konformitäts-Checkliste
Eine praktische Checkliste, die jede CRA-Pflicht darauf abbildet, was Ihr Team tun muss.
Schwachstellenbehandlung und Artikel 14
24h-/72h-/14-Tage-Meldung, KEV/EUVD, Kenntnisuhr und was Sep. 2026 tatsächlich verlangt.
Diese Seite bietet allgemeine Informationen zum EU Cyber Resilience Act und ist keine Rechtsberatung. Die Verordnung und ihre harmonisierten Normen entwickeln sich weiter: konsultieren Sie die offiziellen Quellen von EU, ENISA und BSI sowie qualifizierten Rechtsbeistand für Ihr konkretes Produkt. alloy-it hilft bei Produktinventar, SBOM-Überwachung, Triage, Nachweisen zu Artikel 14 und dem Neubau-Pfad; es ist keine CE-Kennzeichnungssoftware, keine notifizierte Stelle und reicht keine Berichte bei ENISA oder nationalen CSIRTs ein.
Mit dem Produktinventar starten
Zuerst Bereitschaft für Artikel 14. Build-Umgebungstiefe hinzufügen, wenn Sie sie für technische Dokumentation und Neubauten bei langer Supportlaufzeit brauchen.