Sichere SBOMs teilen, ohne zu viel zu verraten

Wed, 24 Jun 2026 07:55:13 +0000

Warum kontrollierte Transparenz das eigentliche Ziel ist – und wie ein abgestuftes Offenlegungsmodell sie erreicht

SBOMs schaffen Transparenz – aber nicht ohne Risiko

Die Software-Bill-of-Materials (SBOM) hat in den vergangenen Jahren einen bemerkenswerten Bedeutungswandel erfahren. Was lange Zeit als technisches Hilfsmittel zur internen Bestandsführung galt, ist inzwischen zu einem regulatorisch eingeforderten Nachweisdokument geworden. Der europäische Cyber Resilience Act verpflichtet Hersteller digitaler Produkte künftig dazu, die Zusammensetzung ihrer Software belastbar zu dokumentieren; die NIS-2-Richtlinie erhöht den Druck auf Betreiber wesentlicher Einrichtungen, ihre Lieferketten nachvollziehbar abzusichern; und die US-amerikanische Executive Order 14028 hat bereits 2021 die Stückliste zum Bestandteil staatlicher Beschaffung erhoben. Die Stückliste ist damit vom freiwilligen Artefakt zur erwartbaren Pflichtangabe aufgestiegen.

Die Parent POM: Vom Build-Werkzeug zum Fundament der Software Supply Chain Security

Wed, 27 May 2026 07:53:06 +0000

Einleitung

In den meisten Java-Projekten hat die Parent POM einen festen Platz, aber selten viel Aufmerksamkeit. Sie gilt als Hilfsmittel der Bauhygiene: ein zentraler Ort, an dem Versionen, Plugins und Build-Konfigurationen abgelegt werden, damit nicht in jedem Modul dieselben 50 Zeilen XML wiederholt werden müssen. Diese Wahrnehmung ist nicht falsch, aber sie greift inzwischen zu kurz.

In den vergangenen Jahren hat sich die Bedeutung dessen, was in einer Parent POM steht, grundlegend verändert. Was früher als technisches Detail galt, ist heute Gegenstand regulatorischer Aufmerksamkeit. Der Cyber Resilience Act der Europäischen Union (Verordnung EU 2024/2847), die NIS-2-Richtlinie (Richtlinie EU 2022/2555) und vergleichbare Vorgaben in anderen Jurisdiktionen verpflichten Software-Hersteller in zunehmendem Maß dazu, ihre Komponentenstruktur transparent zu dokumentieren, Verwundbarkeiten systematisch zu behandeln und ihre Lieferkette nachvollziehbar zu gestalten. Diese Anforderungen lassen sich technisch nur dann seriös erfüllen, wenn die zugrunde liegende Build-Konfiguration konsistent, kontrolliert und reproduzierbar ist — also genau dort, wo die Parent POM ihre eigentliche Wirkung entfaltet.

SBOM on JAVAPRO Germany

Sichere SBOMs teilen, ohne zu viel zu verraten

SBOMs schaffen Transparenz – aber nicht ohne Risiko

Die Parent POM: Vom Build-Werkzeug zum Fundament der Software Supply Chain Security

Einleitung