Die Software-Stückliste für Ersatzteile: Warum eine Leiterplatte jetzt ein Compliance-Dokument ist

Der Wandel von Hardware- zu Software-Compliance

Wenn ein europäischer Servicetechniker eine Motor-Treiberplatine in einem in China hergestellten Roboterarm austauscht, ist der physische Vorgang unkompliziert: Stecker ziehen, abschrauben, austauschen, testen. Aber unter dem Cyber Resilience Act (CRA) ist diese Platine nicht mehr nur eine Hardwarekomponente. Sie enthält Firmware, und Firmware ist jetzt ein reguliertes digitales Element. Der CRA, offiziell die Verordnung (EU) 2024/2847, verlangt von Herstellern, eine Software-Stückliste (SBOM) für Produkte mit digitalen Elementen bereitzustellen. Für Ersatzteile bedeutet dies, dass eine einfache Leiterplatte ein eigenständiges Compliance-Dokument sein kann.

Die praktische Konsequenz für After-Sales-Netzwerke ist erheblich. Ein Ersatzteil, das irgendeine programmierbare Logik enthält – von einem Mikrocontroller bis zu einem vollständigen System-on-Module – muss nicht nur über seine Teilenummer, sondern auch über die genaue Softwareversion, seine Abhängigkeiten und seinen Schwachstellenstatus rückverfolgbar sein. Dies ist kein bürokratisches Extra; es ist eine rechtliche Verpflichtung, die sich darauf auswirkt, wie Ersatzteile beschafft, gelagert und installiert werden.

Was der CRA tatsächlich verlangt

Der CRA, veröffentlicht im Amtsblatt der Europäischen Union am 23. Oktober 2024, führt harmonisierte Regeln für Produkte mit digitalen Elementen ein. Sein Anwendungsbereich umfasst „jedes Software- oder Hardwareprodukt und seine Fernverarbeitungslösungen, einschließlich Softwarekomponenten, die separat auf den Markt gebracht werden.“ Ersatzteile sind nicht ausdrücklich ausgenommen. Tatsächlich stellen die Erwägungsgründe der Verordnung klar, dass Komponenten, die für die Integration in Endprodukte bestimmt sind, dieselben wesentlichen Anforderungen erfüllen müssen, wenn sie auf den Markt gebracht werden.

Artikel 13 des CRA legt die Pflichten für Hersteller fest, einschließlich der Pflicht, „Schwachstellen und Komponenten zu identifizieren und zu dokumentieren, auch durch die Erstellung einer Software-Stückliste.“ Die SBOM muss „die Lieferkettenbeziehungen des Produkts, die im Produkt enthaltenen Komponenten und die Schwachstellen, denen das Produkt ausgesetzt sein kann“ enthalten. Dies ist kein einmaliges Dokument; es muss während des Unterstützungszeitraums, der in der Regel mindestens fünf Jahre nach dem Inverkehrbringen des Produkts beträgt, aktuell gehalten werden.

Für ein Ersatzteil wie eine Steuerplatine muss der Hersteller (oder der Importeur, wenn der Hersteller außerhalb der EU ansässig ist) eine SBOM bereitstellen, die die auf dieser Platine installierte Firmware abdeckt. Dies umfasst die Firmware-Version, die verwendeten Open-Source-Bibliotheken und bekannte Schwachstellen. Die SBOM muss den Marktüberwachungsbehörden auf Anfrage zur Verfügung gestellt werden, und in der Praxis wird sie auch mit nachgelagerten Geschäftskunden geteilt, um ihnen die Bewertung und das Management von Risiken zu ermöglichen.

Warum eine Leiterplatte jetzt ein Compliance-Dokument ist

Betrachten Sie ein typisches Szenario: Ein chinesischer Roboterhersteller liefert einen kollaborativen Roboter an einen europäischen Integrator. Die Hauptsteuerplatine des Roboters enthält Firmware, die Sicherheitsfunktionen, Kommunikationsprotokolle und Bewegungssteuerung übernimmt. Wenn diese Platine ausfällt, bestellt das After-Sales-Netzwerk ein Ersatzteil. Unter dem CRA ist die Ersatzplatine ein eigenständiges „Produkt mit digitalen Elementen“. Sie muss eine eigene SBOM haben, nicht nur die SBOM des kompletten Roboters.

Dies ist wichtig, weil die Firmware auf der Ersatzplatine von der ursprünglichen abweichen kann. Sie könnte einen Sicherheitspatch, einen Fehlerbehebung oder eine neue Funktion enthalten. Die SBOM für das Ersatzteil muss diese spezifische Firmware-Version widerspiegeln. Wenn das After-Sales-Netzwerk eine Platine mit veralteter oder anfälliger Firmware installiert, könnte dies eine Sicherheitslücke schaffen, für die der Hersteller haftbar ist. Die SBOM ist das Dokument, das belegt, dass das Teil konform und rückverfolgbar ist.

Darüber hinaus verlangt der CRA, dass Schwachstellen im Produkt während des gesamten Unterstützungszeitraums behandelt werden. Wenn eine Schwachstelle in einer Firmware-Komponente entdeckt wird, muss der Hersteller ein Sicherheitsupdate herausgeben. Das After-Sales-Netzwerk muss in der Lage sein, zu identifizieren, welche Ersatzteile betroffen sind, was eine präzise SBOM für jedes Teil erfordert. Ohne diese kann das Netzwerk Rückrufe oder Patches nicht effektiv verwalten.

Hardwareteil vs. Firmware-tragendes Teil: ein Compliance-Vergleich

Aspekt	Nur-Hardware-Ersatzteil (z. B. Halterung, Getriebe)	Firmware-tragendes Ersatzteil (z. B. Steuerplatine)
Regulatorische Einstufung	Kein Produkt mit digitalen Elementen; keine SBOM erforderlich	Produkt mit digitalen Elementen; SBOM obligatorisch
Erforderliche Dokumentation	Konformitätserklärung (falls zutreffend), Materialdatenblatt	Konformitätserklärung, SBOM, Offenlegung von Schwachstellen
Rückverfolgbarkeit	Teilenummer, Chargennummer	Teilenummer, Firmware-Version, SBOM-Hash
Schwachstellenmanagement	Nicht zutreffend	Muss während des Unterstützungszeitraums überwacht und gepatcht werden
Risiko der Marktüberwachung	Gering; hauptsächlich physische Sicherheit	Hoch; Nichteinhaltung kann zu Geldstrafen und Produktrückrufen führen
Auswirkung auf After-Sales	Einfache Bestandsverwaltung	Erfordert Software-Versionskontrolle und Update-Verfahren

So erstellen Sie eine SBOM für ein Ersatzteil

Die Erstellung einer SBOM für ein Ersatzteil ist nicht so entmutigend, wie es scheinen mag, erfordert jedoch einen systematischen Ansatz. Die Leitlinien der Europäischen Kommission zum CRA (verfügbar auf der Website zur digitalen Strategie) betonen, dass die SBOM maschinenlesbar sein und einem Standardformat wie SPDX oder CycloneDX folgen sollte. Hier ist ein Schritt-für-Schritt-Prozess, den ein Servicenetzwerk verwenden kann:

1. Firmware-tragende Komponenten identifizieren: Bestimmen Sie für jedes Ersatzteil, ob es programmierbare Logik enthält. Dies umfasst Mikrocontroller, FPGAs und jedes Modul mit eingebetteter Software.
2. Softwarekomponenten inventarisieren: Listen Sie für jedes Firmware-tragende Teil alle Softwarekomponenten auf, einschließlich des Betriebssystems (falls vorhanden), Bibliotheken und Drittanbietermodule. Dies ist der Kern der SBOM.
3. Version und Herkunft erfassen: Notieren Sie für jede Komponente die genaue Version, den Lieferanten und die Lizenz. Diese Informationen sind für die Schwachstellenverfolgung unerlässlich.
4. SBOM in einem Standardformat generieren: Verwenden Sie ein Tool, um eine SBOM im SPDX- oder CycloneDX-Format zu generieren. Dies kann vom Hersteller durchgeführt werden, aber das After-Sales-Netzwerk sollte sie anfordern und ihre Richtigkeit überprüfen.
5. Prozess zur Schwachstellenüberwachung einrichten: Die SBOM ist nur nützlich, wenn sie aktuell gehalten wird. Abonnieren Sie Schwachstellendatenbanken (z. B. NVD) und verfolgen Sie Sicherheitshinweise für die aufgeführten Komponenten.
6. SBOM in die Bestandsverwaltung integrieren: Verknüpfen Sie die SBOM jedes Ersatzteils mit seiner Lagereinheit (SKU) im Bestandssystem. Dadurch kann das Netzwerk schnell identifizieren, welche Teile von einer neuen Schwachstelle betroffen sind.

Praktische Auswirkungen für After-Sales-Netzwerke

Für ein Servicenetzwerk wie das in Europa aufgebaute ändert der CRA die Art und Weise, wie Ersatzteile gehandhabt werden. Es reicht nicht mehr aus, eine Ersatzplatine zu lagern; das Netzwerk muss auch die entsprechende SBOM haben und in der Lage sein, die Firmware bei Bedarf zu aktualisieren. Dies erfordert eine enge Zusammenarbeit mit dem Hersteller, um genaue SBOMs zu erhalten und Sicherheitsupdates rechtzeitig zu erhalten.

Eine der Herausforderungen besteht darin, dass viele chinesische Hersteller möglicherweise noch keine SBOMs für ihre Komponenten haben. Das After-Sales-Netzwerk muss daher diese Dokumentation als Teil des Beschaffungsprozesses einfordern. Es muss möglicherweise auch Herstellern helfen, die Anforderungen zu verstehen, da der CRA für jedes Produkt gilt, das auf dem EU-Markt platziert wird, unabhängig davon, wo der Hersteller ansässig ist.

Eine weitere Auswirkung ist der Bedarf an technischem Fachwissen. Die Techniker des Netzwerks müssen geschult werden, um Firmware-Updates durchzuführen und zu überprüfen, ob die installierte Firmware mit der SBOM übereinstimmt. Dies ist eine neue Fähigkeit, die über die traditionelle Hardware-Reparatur hinausgeht.

Ehrliche Vorbehalte: Was variiert und was zu überprüfen ist

Es ist wichtig zu beachten, dass der CRA eine Verordnung und keine Richtlinie ist, sodass er in allen EU-Mitgliedstaaten einheitlich gilt. Die Durchsetzung und Strafen können jedoch von Land zu Land variieren, da die nationalen Behörden für die Marktüberwachung zuständig sind. Der CRA legt Höchststrafen fest (bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist), aber die tatsächliche Durchsetzung kann unterschiedlich sein.

Außerdem hat der CRA Übergangsfristen. Er trat am 11. Dezember 2024 in Kraft, aber die meisten Verpflichtungen gelten ab dem 11. Dezember 2027. Dies gibt Herstellern und Servicenetzwerken Zeit, sich vorzubereiten, aber es ist ratsam, früh zu beginnen, insbesondere für Ersatzteile, die sich bereits in der Lieferkette befinden.

Schließlich sind das genaue Format und der Inhalt der SBOM in der Verordnung nicht vollständig festgelegt. Die Europäische Kommission wird voraussichtlich Durchführungsrechtsakte und Leitlinien erlassen, aber bis dahin ist es ratsam, die gängigen Standards (SPDX, CycloneDX) zu befolgen und sich an den Anforderungen der Marktüberwachungsbehörden zu orientieren.

Fazit

Der Cyber Resilience Act macht aus einer einfachen Leiterplatte ein Compliance-Dokument. Für After-Sales-Netzwerke ist dies sowohl eine Herausforderung als auch eine Chance. Durch die Einführung von SBOMs kann das Netzwerk ein höheres Serviceniveau bieten und sicherstellen, dass jedes Ersatzteil nicht nur funktional, sondern auch sicher und konform ist. Der Schlüssel liegt darin, die Prozesse jetzt aufzubauen, bevor die Verpflichtungen vollständig durchsetzbar werden.

Quellen

• EUR-Lex — Verordnung (EU) 2024/2847 — https://eur-lex.europa.eu/eli/reg/2024/2847/oj (abgerufen am 26.08.2026)
• Europäische Kommission — Cyber Resilience Act — https://digital-strategy.ec.europa.eu/ (abgerufen am 26.08.2026)