Eine CBOM (Cryptography Bill of Materials) ist ein maschinenlesbares Inventar der Kryptografie in einem Produkt: Algorithmen mit Schlüssellänge, Zertifikate mit Ablaufdatum, Schlüsselmaterial und Protokolle wie TLS, SSH oder IPsec, jeweils mit der Komponente, die sie nutzt. CycloneDX beschreibt sie seit Version 1.6 als Komponenten vom Typ cryptographic-asset. Gebraucht wird sie vor allem für den Umstieg auf Post-Quanten-Kryptografie.

Eine HBOM (Hardware Bill of Materials) ist die Stückliste der Hardware eines Produkts: Baugruppen und Bauteile mit Hersteller, Bestellnummer, Hardware-Ausgabestand und Herkunft, dazu die Firmware, die darauf läuft. Für die Lieferkettensicherheit hat die US-Behörde CISA im September 2023 ein HBOM-Framework veröffentlicht, das kein Format vorschreibt. In einer Maschine ist die HBOM vor allem der Schlüssel zu den Sicherheitsmeldungen der Steuerungshersteller, die betroffene Geräte über Bestellnummern benennen.

Was ist der Unterschied zwischen SBOM und CBOM?

Die SBOM zählt auf, welche Softwarekomponenten in einem Produkt stecken. Die CBOM zählt auf, welche kryptografischen Verfahren diese Komponenten verwenden. Eine SBOM sagt also, dass OpenSSL 3.0 enthalten ist, die CBOM sagt, dass damit RSA-2048 für die Signatur und AES-256-GCM für die Verbindung genutzt wird. In CycloneDX liegen beide im selben Dokument und sind über Referenzen verknüpft.

Verlangt der Cyber Resilience Act eine HBOM oder eine CBOM?

Nein. Der Cyber Resilience Act verlangt in Anhang I eine Software-Stückliste, die zumindest die obersten Abhängigkeiten enthält. HBOM und CBOM nennt er nicht. Er verlangt aber in Anhang I, Daten mit modernsten Mechanismen zu verschlüsseln, und ein Schwachstellenmanagement über den Unterstützungszeitraum. Beides lässt sich ohne Kryptografie-Inventar und ohne Kenntnis der verbauten Hardware schwer belegen. Näher an eine HBOM kommt die Maschinenverordnung, die ab dem 20. Januar 2027 verlangt, die installierte sicherheitsrelevante Software einer Maschine kenntlich zu machen.

Welches Format eignet sich für HBOM und CBOM?

CycloneDX. Es kennt Komponenten vom Typ device und firmware für Hardware und seit Version 1.6 den Typ cryptographic-asset für Kryptografie, mit eigenen Feldern für Algorithmen, Zertifikate und Protokolle. Seit Dezember 2025 ist CycloneDX 1.7 als zweite Ausgabe von ECMA-424 genormt. SPDX 3.0.1 hat Profile für Software, Sicherheit, KI und Datensätze, aber keins für Hardware oder Kryptografie. Ein Hardware-Profil bringt erst SPDX 3.1, das bisher nur als Release Candidate vorliegt.

Wie erstellt man eine CBOM?

Im Build, mit zwei Quellen. Ein Code-Scanner wie das sonar-cryptography-Plugin aus dem CBOMkit findet Aufrufe kryptografischer Bibliotheken in Java, Python und Go. Ein zweiter Schritt, etwa cbomkit-theia, liest Zertifikate, Schlüssel und Konfigurationsdateien im fertigen Image oder Verzeichnis. Bei Maschinen mit zugekauften Steuerungen kommt die Konfiguration der Anlage dazu, etwa die OPC-UA-Security-Policies und die Zertifikate auf Steuerung und HMI.

Warum ist die CBOM für Maschinen dringender als für IT-Systeme?

Wegen der Lebensdauer. Eine Maschine, die 2027 ausgeliefert wird, läuft oft bis weit in die 2040er Jahre. NIST lässt RSA und Verfahren auf elliptischen Kurven laut IR 8547 ab 2035 nicht mehr zu, der EU-Fahrplan sieht für Hochrisiko-Anwendungen den Umstieg bis Ende 2030 vor. Ob eine Steuerung dann per Update auf neue Verfahren wechseln kann, entscheidet sich heute im Design, und die CBOM zeigt, wo das nötig wird.

Brauche ich für SBOM, HBOM und CBOM drei getrennte Dateien?

Nein, CycloneDX kann alle drei in einem Dokument tragen. Praktisch hilft trotzdem eine Trennung nach Lebenszyklus: Die SBOM gehört zum Software-Release, die HBOM zur einzelnen Maschine mit Seriennummer, und Zertifikate entstehen oft erst bei der Inbetriebnahme. Die Pipeline führt die Teile zu einer Datei je Release und einer je Seriennummer zusammen.

Was bedeutet Krypto-Agilität?

Krypto-Agilität heißt, dass ein Produkt ein kryptografisches Verfahren wechseln kann, ohne dass Hardware oder Architektur neu entworfen werden müssen, typischerweise per Firmware-Update. Für Maschinen ist das die eigentliche Frage hinter der Post-Quanten-Migration, denn ein Signaturschlüssel, der fest im Bootloader steckt, lässt sich im Feld nicht tauschen. Die CBOM zeigt, an welchen Stellen das Produkt heute nicht agil ist.

Zurück zum Blog

DEVSECOPS · SBOM · HBOM · CBOM·6. November 2026·15 MIN LESEZEIT

SBOM, HBOM, CBOM:
drei Stücklisten
für eine Maschine.

Die SBOM listet die Software, die HBOM die Hardware, die CBOM die Kryptografie. In einer Maschine hängen die drei enger zusammen als in der IT, denn jede Steuerung ist Hardware, Firmware und Zertifikat zugleich. Was in welche Liste gehört, welche Vorgaben dahinterstehen und wie alle drei aus derselben Pipeline entstehen.

Zwei Ingenieure an einem geöffneten Schaltschrank einer Verpackungsmaschine: Er liest mit einer Taschenlampe das Typenschild einer SPS-CPU, sie hält einen Laptop mit einer Komponentenliste

Andreas Schönfeld

Geschäftsführer & DevOps-Berater, Comquent GmbH

DevOps, CI/CD und Industrial Automation seit 2006.

Veröffentlicht: 6. November 2026Zuletzt aktualisiert: 6. November 2026

// 01Kurz erklärt

Was unterscheidet
SBOM, HBOM
und CBOM?

Eine SBOM (Software Bill of Materials) listet die Softwarekomponenten eines Produkts mit Version, Lizenz und Abhängigkeiten. Eine HBOM (Hardware Bill of Materials) listet die Hardware: Baugruppen, Hersteller, Bestellnummern, Ausgabestände und Herkunft. Eine CBOM (Cryptography Bill of Materials) listet die Kryptografie: Algorithmen, Schlüssel, Zertifikate und Protokolle. Alle drei lassen sich seit CycloneDX 1.6 im selben Format beschreiben. Pflicht ist nach dem Cyber Resilience Act nur die SBOM.

Stand: 06.11.2026 · CycloneDX 1.7 (ECMA-424) · BSI TR-03183-2 v2.1.0 · NIST IR 8547 final (27.10.2026) · CRA-Meldepflicht seit 11.09.2026

Ein Dienstagmorgen im Service eines Verpackungsmaschinenbauers. Ein Steuerungshersteller hat eine Sicherheitsmeldung veröffentlicht, betroffen sind zwei Bestellnummern einer CPU-Baureihe bis zu einem bestimmten Firmware-Stand. Die SBOM der Maschinen ist sauber gepflegt, sie kennt jede Bibliothek im Anwenderprogramm. Die Bestellnummer der CPU kennt sie nicht. Die steht im Elektroplan, der Firmware-Stand im Inbetriebnahmeprotokoll, und welcher Kunde welche Seriennummer mit welchem Stand betreibt, weiß niemand, ohne anzurufen.

Bis Mittwochabend sind zwölf von vierzig Kunden erreicht. Die SBOM war nicht falsch, sie beschreibt nur die Hälfte der Maschine. Zur anderen Hälfte gehört die Hardware, auf der die Software läuft, und seit dem EU-Fahrplan für Post-Quanten-Kryptografie auch die Verfahren, mit denen die Software ihre Verbindungen und Updates absichert.

Der Artikel in vier Teilen

Nach dem Vergleich in Abschnitt 02 geht der Artikel die drei Listen einzeln durch und endet bei der Pipeline, die alle drei erzeugt. Welche Liste Sie zuerst brauchen, beantwortet der Finder in Abschnitt 06.

/01SBOMWo sie in der Maschine endet
/02HBOMBestellnummer, Firmware, Herkunft
/03CBOMZertifikate, Algorithmen, Post-Quanten
/04Alle drei aus der PipelineSechs Schritte, ein Jenkinsfile

11.12.27

SBOM-Pflicht nach CRA

2026

EU: Umstieg auf PQC beginnen

2030

EU: Hochrisiko quantensicher

2035

NIST: Aus für RSA und ECC

Quellen: Verordnung (EU) 2024/2847, EU-Fahrplan für Post-Quanten-Kryptografie (Juni 2025), NIST IR 8547 (Oktober 2026).

// Kurz gefragt1 Klick, anonym

Ist HBOM oder CBOM bei Ihnen gerade ein Thema?

Wir fragen kurz, wie dringend das Thema bei Ihnen gerade ist. Je nach Antwort zeigen wir Ihnen direkt den passenden nächsten Schritt — ganz ohne Formular.

// 02Drei Listen im Vergleich

Was steht in
welcher Stückliste?

Alle drei sind Inventare, und alle drei taugen nur, wenn sie zum Produkt passen, das tatsächlich ausgeliefert wurde. Sie unterscheiden sich darin, was sie aufzählen, wer sie pflegt und wie oft sie sich ändern.

Merkmal	SBOM	HBOM	CBOM
Beantwortet	Welche Software steckt im Produkt?	Welche Hardware steckt im Produkt, und woher kommt sie?	Welche Kryptografie steckt im Produkt, und wie lange hält sie?
Typische Einträge	Bibliotheken, Betriebssystem, Firmware, Anwenderprogramm, mit Version, Lizenz und Hash	Baugruppen, Steuerungen, Chips, mit Hersteller, Bestellnummer, Ausgabestand und Herkunft	Algorithmen mit Schlüssellänge, Zertifikate mit Ablaufdatum, Schlüssel, Protokolle
Pflicht in der EU	Ja, mit dem CRA ab 11.12.2027	Nein	Nein, Verschlüsselung mit modernsten Mechanismen aber schon
Maßgebliche Vorgabe	CRA Anhang I, BSI TR-03183-2	CISA-HBOM-Framework (2023), Maschinenverordnung Anhang III 1.1.9	EU-Fahrplan Post-Quanten-Kryptografie, NIST IR 8547, BSI TR-02102-1
Format	CycloneDX oder SPDX	CycloneDX, Typen device und firmware	CycloneDX ab 1.6, Typ cryptographic-asset
Entsteht aus	Build, Paketmanager, Engineering-Projekt	Gerätekonfiguration im Projekt, ERP, Elektrokonstruktion	Quellcode, Build-Ergebnis, Anlagenkonfiguration
Gehört zu	dem Software-Release	der einzelnen Maschine mit Seriennummer	dem Release und der Inbetriebnahme

Die letzte Zeile entscheidet, wie Sie die Listen pflegen. Die SBOM ändert sich mit jedem Build. Die HBOM ändert sich mit jeder Lieferung, weil dieselbe Bestellnummer mit anderem Ausgabestand und anderer Firmware kommen kann. Und viele Zertifikate entstehen erst bei der Inbetriebnahme beim Kunden. Wer alle drei in eine einzige, einmal gepflegte Datei schreibt, hat danach drei veraltete Listen in einer.

// 03SBOM · Software

Wo endet die SBOM
in einer Maschine?

An der Firmware der zugekauften Geräte. Bis dorthin beschreibt die SBOM, was Sie selbst bauen und einbinden: Anwenderprogramm, Bibliotheken, die Software auf dem Industrie-PC, das HMI-Projekt. Die Firmware einer Steuerung, eines Antriebs oder eines Switches stammt vom Hersteller, und deren Innenleben kann nur er beschreiben.

Die BSI TR-03183-2 erlaubt deshalb, auf die SBOMs der Zulieferer zu verweisen, solange diese selbst der Richtlinie entsprechen. Der Verweis braucht aber einen Anker, und der ist Hardware: Hersteller, Bestellnummer, Firmware-Stand. Genau an dieser Stelle geht die SBOM einer Maschine in die HBOM über. Sie ist das Bindeglied, ohne das die Lieferanten-SBOMs zwar vorliegen, aber an keinem Gerät hängen.

Wie Sie die SBOM selbst erzeugen, mit welchem Werkzeug und Format und wie Sie sie gegen die Pflichtfelder prüfen, beschreibt unsere Anleitung SBOM erstellen. Für SPS-Projekte liest der PLC SBOM Builder die Komponenten aus den Projekten von TIA Portal, CODESYS, TwinCAT und Studio 5000 und schreibt zu jedem Gerät Bestellnummer und Firmware-Stand mit. Damit trägt seine SBOM bereits den Teil der HBOM, den die Sicherheitsmeldungen brauchen.

// 04HBOM · Hardware

Was ist eine HBOM,
und wer braucht sie?

Eine HBOM ist die Stückliste der Hardware eines Produkts, gedacht für Sicherheit und Lieferkette statt für Einkauf und Montage. Sie nennt je Baugruppe Hersteller, Bestellnummer, Hardware-Ausgabestand, Herkunft und die Firmware, die darauf läuft. Sie braucht jeder, der Geräte ausliefert, deren Firmware er nicht selbst schreibt.

Die US-Behörde CISA hat im September 2023 ein HBOM-Framework veröffentlicht. Es legt einheitliche Namen für die Angaben fest und ordnet sie drei Zwecken zu: Compliance, Sicherheit und Verfügbarkeit. Ein Format schreibt es nicht vor, seine Felder bildet es auf CycloneDX und SPDX ab, wo das geht. Software lässt es ausdrücklich draußen, Firmware erfasst es nur über den Anbieter. Die Verbindung zur SBOM bleibt also Ihre Aufgabe.

Eine Hardware-Stückliste gibt es in jedem Maschinenbau längst. Die Elektrokonstruktion kennt jede Klemme bis zur Bestellnummer, das ERP jede Lieferung. Nur hört diese Liste beim Wareneingang auf: Welcher Firmware-Stand auf der CPU war, als die Maschine das Werk verlassen hat, und welcher nach dem letzten Serviceeinsatz läuft, steht dort nicht. Die HBOM ist die bestehende Stückliste plus diese zwei Spalten, maschinenlesbar und je Seriennummer.

Eine Pflicht zur HBOM gibt es in der EU nicht. Die Maschinenverordnung kommt ihr ab dem 20. Januar 2027 aber nahe: Nach Anhang III Nr. 1.1.9 muss eine Maschine die für den sicheren Betrieb installierte Software kenntlich machen und Eingriffe in Software und Konfiguration nachweisen, auch an Hardware-Bauteilen, über die auf diese Software zugegriffen wird. Welche Software auf welchem Bauteil läuft, ist genau die Verbindung, die eine HBOM mit Firmware-Angaben herstellt.

/01
Sicherheitsmeldungen zuordnen
Hersteller nennen Bestellnummern, keine Paketnamen.
Die Advisories der Steuerungshersteller benennen betroffene Geräte über Bestellnummer und Firmware-Stand. Bei der Entwicklung unseres PLC SBOM Builder haben wir sechs CSAF-Advisories von Siemens ausgewertet: Alle sechs ordnen über die Bestellnummer zu, keines nennt eine CPE. Ohne Bestellnummer in der Stückliste findet ein automatischer Abgleich diese Meldungen schlicht nicht.
/02
Abkündigungen früh sehen
Eine abgekündigte CPU ist auch ein Sicherheitsthema.
Wenn ein Hersteller eine Baugruppe abkündigt, endet irgendwann auch die Firmware-Pflege. Wer weiß, welche ausgelieferten Maschinen die Baugruppe tragen, plant Ersatzteile und Migration, bevor die erste Sicherheitslücke ohne Patch bleibt. Für den Unterstützungszeitraum, den der CRA verlangt, ist das keine Nebensache.
/03
Herkunft und Fälschungen belegen
Kunden fragen inzwischen nach dem Ursprungsland.
Betreiber kritischer Anlagen fragen in Ausschreibungen nach der Herkunft von Komponenten. Die HBOM führt Hersteller, Lieferant und Ursprungsland je Baugruppe. Dieselben Angaben helfen, Graumarktware zu erkennen, bevor sie im Schaltschrank landet.
/04
Ist-Stand im Feld abgleichen
Geplant und verbaut sind zwei Listen.
Das Projekt sagt, welche Firmware geplant war. Bei der Inbetriebnahme läuft oft ein anderer Stand, weil die CPU mit neuerer Firmware geliefert wurde. Erst der Abgleich mit der Anlage ergibt die HBOM dieser einen Seriennummer, und die braucht der Service, wenn eine Meldung kommt.

Wie sieht eine HBOM in CycloneDX aus?

Die Baugruppe ist eine Komponente vom Typ device, die Firmware hängt als Komponente vom Typ firmware darunter. Für den Hersteller gibt es das Feld manufacturer. Für Bestellnummer, Ausgabestand und Seriennummer kennt CycloneDX keine eigenen Felder, sie stehen als Properties in einem Namensraum, den Sie festlegen.

Die Seriennummer gehört nur in die Fassung für eine einzelne Maschine. In der HBOM eines Maschinentyps fehlt sie, dort steht der geplante Stand aus dem Projekt.

hbom-station2.cdx.json (Ausschnitt, CycloneDX 1.6)

{
  "type": "device",
  "bom-ref": "st2-cpu",
  "manufacturer": { "name": "Beispiel Automation GmbH" },
  "name": "CPU 3200 PN",
  "properties": [
    { "name": "firma:device:orderNumber",      "value": "BA-3200-2PN-01" },
    { "name": "firma:device:hardwareRevision", "value": "4" },
    { "name": "firma:device:serialNumber",     "value": "26-04117" }
  ],
  "components": [
    {
      "type": "firmware",
      "bom-ref": "st2-cpu-fw",
      "name": "CPU 3200 PN Firmware",
      "version": "3.1.2"
    }
  ]
}

// 05CBOM · Kryptografie

Was ist eine CBOM,
und warum gerade jetzt?

Eine CBOM ist das Inventar der Kryptografie in einem Produkt: welche Algorithmen mit welcher Schlüssellänge, welche Zertifikate mit welchem Ablaufdatum, welche Protokolle, und welche Komponente was davon nutzt. CycloneDX beschreibt sie seit Version 1.6 als eigenen Komponententyp.

Dringend wird sie durch die Post-Quanten-Kryptografie. Ein ausreichend großer Quantencomputer bricht RSA und die Verfahren auf elliptischen Kurven, auf denen heute fast jede Signatur und jeder Schlüsselaustausch beruht. NIST hat im August 2024 die ersten Ersatzverfahren genormt. Der EU-Fahrplan vom Juni 2025 sieht vor, dass die ersten Schritte bis Ende 2026 getan sind, und nennt als ersten davon ein Krypto-Inventar, für das er ein standardisiertes Format „wie CBOM“ empfiehlt.

Für eine Maschine ist die Rechnung einfach. Was 2027 ausgeliefert wird, läuft beim Kunden oft bis in die 2040er Jahre. NIST stuft RSA und die Signaturverfahren auf elliptischen Kurven seit der Endfassung von IR 8547 im Oktober 2026 ab 2030 als veraltet ein und lässt sie ab 2035 nicht mehr zu. Das BSI empfiehlt klassische Schlüsseleinigung allein nur noch bis Ende 2031. Der EU-Fahrplan erwartet bis Ende 2030, dass quantensichere Software- und Firmware-Updates Standard sind. Dazwischen liegen Jahre, in denen die Maschine entweder per Update auf neue Verfahren wechseln kann oder nicht.

Die Frage dazu steht schon in den ersten Ausschreibungen von Betreibern kritischer Anlagen: Welche Verfahren nutzt die Maschine für Firmware-Updates und Fernwartung, und lassen sie sich tauschen, ohne die Steuerung zu wechseln? Mit einer CBOM ist das eine Abfrage. Ohne sie ist es eine Woche, in der Entwicklung, Elektrokonstruktion und der Anbieter der Fernwartung Mails hin und her schicken.

Wo steckt Kryptografie in einer Maschine?

OPC UA: Jeder Server und jeder Client hat ein Applikationszertifikat. Die gängigen Security-Policies Basic256Sha256, Aes128_Sha256_RsaOaep und Aes256_Sha256_RsaPss beruhen auf RSA, die neueren ECC-Policies auf elliptischen Kurven. Eine Post-Quanten-Policy hat die OPC Foundation bisher nicht veröffentlicht.
Steuerung und Engineering: Eine S7-1500 ab Firmware V2.9 sichert die Verbindung zu TIA Portal und HMI seit TIA Portal V17 per TLS mit einem eigenen PLC-Kommunikationszertifikat. Ab TIA Portal V21 warnt der Compiler bei RSA-Schlüsseln unter 3.000 Bit. Wer die Zertifikate erzeugt hat und wann sie ablaufen, steht trotzdem selten in einer Liste.
HMI und Webserver: Bedienpanel und CPU-Webserver liefern HTTPS, häufig mit selbst signierten Zertifikaten aus der Inbetriebnahme. Läuft eins ab, merkt das zuerst der Bediener.
Fernwartung: Der Zugang des Service läuft über VPN mit IPsec oder TLS. Verfahren und Schlüssellänge legt oft der Anbieter der Fernwartungsbox fest, nicht der Maschinenbauer.
Firmware-Signatur und Secure Boot: Eigene Geräte prüfen beim Start und beim Update eine Signatur. Steckt der öffentliche Schlüssel fest im Bootloader, lässt sich das Verfahren im Feld nicht mehr tauschen.

Wie entsteht eine CBOM?

Aus zwei Richtungen. Für eigenen Quellcode findet ein Scanner die Aufrufe kryptografischer Bibliotheken, etwa das sonar-cryptography-Plugin aus dem CBOMkit der Post-Quantum Cryptography Alliance, das Java, Python und Go abdeckt. Für fertige Images und Verzeichnisse sucht cbomkit-theia nach Zertifikaten, Schlüsseln und Krypto-Konfiguration. Firmware in C oder C++ deckt keins der beiden ab, dort bleibt der Blick auf die eingebundene Krypto-Bibliothek und ihre Konfiguration.

In einer Maschine mit zugekauften Steuerungen reicht beides nicht. Die OPC-UA-Policies, die Zertifikate auf Steuerung und HMI und die Einstellungen der Fernwartung stehen in der Anlagenkonfiguration. Dafür braucht es einen eigenen Schritt, der sie ausliest, und für die Firmware der Geräte die Angaben der Hersteller.

Die Auswertung erleichtert das Feld nistQuantumSecurityLevel. Der Wert 0 heißt, dass das Verfahren keine der Sicherheitskategorien erreicht, die NIST für Post-Quanten-Verfahren festgelegt hat. Jeder Eintrag mit 0 ist ein Punkt auf der Migrationsliste.

cbom-station2.cdx.json (Ausschnitt, CycloneDX 1.6)

{
  "type": "cryptographic-asset",
  "bom-ref": "st2-opcua-cert",
  "name": "OPC UA Applikationszertifikat Station 2",
  "cryptoProperties": {
    "assetType": "certificate",
    "certificateProperties": {
      "subjectName": "CN=Station2, O=Muster Maschinenbau",
      "issuerName": "CN=Muster Maschinenbau CA",
      "notValidAfter": "2031-03-14T00:00:00Z",
      "signatureAlgorithmRef": "alg-sha256-rsa",
      "certificateFormat": "X.509"
    }
  }
},
{
  "type": "cryptographic-asset",
  "bom-ref": "alg-sha256-rsa",
  "name": "SHA256withRSA",
  "cryptoProperties": {
    "assetType": "algorithm",
    "algorithmProperties": {
      "primitive": "signature",
      "parameterSetIdentifier": "2048",
      "cryptoFunctions": ["sign", "verify"],
      "classicalSecurityLevel": 112,
      "nistQuantumSecurityLevel": 0
    }
  }
}

// 06Welche zuerst

Welche Stückliste
brauchen Sie zuerst?

Die, nach der gerade jemand fragt. Für den CRA ist das die SBOM, für den Service bei der nächsten Sicherheitsmeldung die Hardware, für die Ausschreibung des Versorgers die Kryptografie. Was Sie ausliefern, entscheidet, wie Sie anfangen.

// In 2 Klicks: Ihre erste StücklisteSchritt 1 / 2

Mit welcher Stückliste fangen Sie an?

Alle drei auf einmal aufzubauen, schafft kaum ein Team. Welche zuerst kommt, hängt davon ab, was Sie ausliefern und welche Frage gerade auf dem Tisch liegt. Zwei Klicks, dann sehen Sie den Einstieg, der zu Ihrer Lage passt.

Was liefern Sie aus?

// 07Alle drei aus der Pipeline

Wie entstehen alle drei
in der Pipeline?

In sechs Schritten, jeder mit eigener Quelle, am Ende eine geprüfte CycloneDX-Datei je Release. Von Hand gepflegt hält keine der drei Listen lange. Bei Kunden haben wir es mehrfach erlebt. Nach dem dritten Release stimmt die Excel-Liste nicht mehr, und niemand weiß, ab wann.

/01
SBOM aus dem Build
Für Container und IPC-Software schreibt Syft, Trivy oder cdxgen die SBOM nach dem Build. Für Steuerungen liest ein Werkzeug wie der PLC SBOM Builder das Engineering-Projekt aus und hängt die SBOMs der Hersteller ein. Format ist CycloneDX ab 1.6, damit die BSI TR-03183-2 und Dependency-Track passen.
/02
Hardware aus dem Engineering-Projekt
Die Gerätekonfiguration im Projekt kennt jede Baugruppe mit Bestellnummer und geplantem Firmware-Stand. Ein Schritt in der Pipeline liest sie aus, etwa aus dem AML-Export von TIA Portal oder der L5X-Datei von Studio 5000, und schreibt jede Baugruppe als Komponente vom Typ device, die Firmware darunter.
/03
Kryptografie aus Code und Konfiguration
Ein Scanner sucht im eigenen Quellcode nach Aufrufen kryptografischer Bibliotheken. Ein zweiter Schritt liest Zertifikate, Schlüsselspeicher und Konfigurationsdateien im Build-Ergebnis. Beides landet als cryptographic-asset mit Algorithmus, Schlüssellänge und Ablaufdatum in der CBOM.
/04
Zu einem Dokument je Release zusammenführen
Die CycloneDX CLI führt die drei Teile hierarchisch zu einer Datei zusammen. Die Maschine ist die oberste Komponente, darunter die Stationen, darunter Hardware, Firmware, Software und Kryptografie. Die bom-ref verbindet jede Kryptografie mit der Komponente, die sie nutzt.
/05
Prüfen und bei Lücken anhalten
Die fertige Datei läuft gegen das CycloneDX-Schema und gegen die Pflichtfelder der BSI TR-03183-2. Ein Release-Build bricht ab, wenn Felder fehlen oder ein Zertifikat vor dem Ende des Unterstützungszeitraums abläuft. Ein Entwicklungs-Build meldet dasselbe nur als Warnung.
/06
Ablegen und mit dem Feld abgleichen
Dependency-Track speichert jede Datei als eigenes Projekt und prüft sie fortlaufend gegen neue Schwachstellen. Die Kryptografie-Einträge wertet es in Version 5.2 noch nicht aus, sie brauchen eine eigene Auswertung, etwa eine Liste aller Einträge mit nistQuantumSecurityLevel 0. Bei der Inbetriebnahme entsteht zusätzlich eine Fassung je Seriennummer mit dem Firmware-Stand und den Zertifikaten, die in der Anlage tatsächlich laufen.

Das Jenkinsfile dazu

Das Beispiel zeigt die Stufen für eine Maschine mit SPS-Stationen und einem Industrie-PC. plc-sbom, Syft, cbomkit-theia und die CycloneDX CLI sind fertige Werkzeuge. Die zwei Python-Skripte sind die Stellen, an denen Ihre eigenen Daten hereinkommen: die ERP-Stückliste und die Anlagenkonfiguration. Sie sind in jedem Haus anders und meist in wenigen Tagen geschrieben.

Den vollständigen SBOM-Teil mit Release-Gate und Dependency-Track zeigt das Beispiel-Jenkinsfile des PLC SBOM Builder.

Jenkinsfile

pipeline {
  agent { label 'linux' }
  environment {
    RELEASE = "${env.TAG_NAME ?: 'dev-' + env.BUILD_NUMBER}"
  }
  stages {
    stage('SBOM') {
      steps {
        // Steuerungen der Maschine aus den Engineering-Projekten,
        // inklusive Bestellnummer und Firmware je Gerät
        sh 'plc-sbom build --config machine.yml --release $RELEASE --out build/plc.cdx.json'
        // Software auf dem Industrie-PC
        sh 'syft dir:ipc/rootfs -o cyclonedx-json@1.6=build/ipc.cdx.json'
      }
    }
    stage('HBOM') {
      steps {
        // eigenes Skript: Industrie-PC, Switches, Fernwartung aus der ERP-Stückliste
        sh 'python3 tools/hbom_aus_stueckliste.py stueckliste.csv > build/hbom.cdx.json'
      }
    }
    stage('CBOM') {
      steps {
        sh 'cbomkit-theia dir ipc/rootfs > build/cbom-ipc.cdx.json'
        // eigenes Skript: OPC-UA-Policies und Zertifikate aus der Anlagenkonfiguration
        sh 'python3 tools/cbom_aus_konfiguration.py config/ > build/cbom-anlage.cdx.json'
      }
    }
    stage('Zusammenführen und prüfen') {
      steps {
        sh '''cyclonedx merge --hierarchical --name "Maschine XY" --version $RELEASE \
              --input-files build/plc.cdx.json build/ipc.cdx.json build/hbom.cdx.json \
                            build/cbom-ipc.cdx.json build/cbom-anlage.cdx.json \
              --output-file build/maschine.cdx.json'''
        sh 'cyclonedx validate --input-file build/maschine.cdx.json --fail-on-errors'
      }
    }
    stage('Ablegen') {
      steps {
        archiveArtifacts artifacts: 'build/maschine.cdx.json'
        // danach Upload an Dependency-Track, Projekt = Maschinentyp, Version = RELEASE
      }
    }
  }
}

// 08Wo Sie anfangen

Eine Maschine,
alle drei Listen.

Nehmen Sie den Maschinentyp, von dem die meisten Seriennummern im Feld stehen. Erzeugen Sie dafür zuerst die SBOM mit Bestellnummer und Firmware je Gerät, denn damit sind Sie für den CRA und für die nächste Sicherheitsmeldung zugleich vorbereitet. Ergänzen Sie danach die übrige Hardware aus der Stückliste der Elektrokonstruktion. Die CBOM beginnt mit den Zertifikaten: Liste aller Zertifikate auf Steuerung, HMI und Fernwartung, mit Algorithmus und Ablaufdatum.

Für Container und IT-nahe Software ist das in wenigen Tagen eingerichtet. Bei SPS-Projekten dauert es länger, weil Bestellnummern und Firmware-Stände aus dem Engineering-Projekt gelesen werden müssen, und bei der Kryptografie hängt viel an den Antworten der Hersteller.

Bei der nächsten Sicherheitsmeldung eines Steuerungsherstellers sieht der Service dann anders aus. Die Bestellnummern aus der Meldung gehen als Abfrage über alle archivierten Stücklisten, und nach ein paar Minuten liegt die Liste der Seriennummern auf dem Tisch, sortiert nach Kunde und Firmware-Stand. Die Telefonate am Mittwoch werden zu einer Mail an genau die Kunden, die betroffen sind.

// 09Häufige Fragen

Fragen zu SBOM,
HBOM und CBOM.

Was ist eine CBOM?: Eine CBOM (Cryptography Bill of Materials) ist ein maschinenlesbares Inventar der Kryptografie in einem Produkt: Algorithmen mit Schlüssellänge, Zertifikate mit Ablaufdatum, Schlüsselmaterial und Protokolle wie TLS, SSH oder IPsec, jeweils mit der Komponente, die sie nutzt. CycloneDX beschreibt sie seit Version 1.6 als Komponenten vom Typ cryptographic-asset. Gebraucht wird sie vor allem für den Umstieg auf Post-Quanten-Kryptografie.
Was ist eine HBOM?: Eine HBOM (Hardware Bill of Materials) ist die Stückliste der Hardware eines Produkts: Baugruppen und Bauteile mit Hersteller, Bestellnummer, Hardware-Ausgabestand und Herkunft, dazu die Firmware, die darauf läuft. Für die Lieferkettensicherheit hat die US-Behörde CISA im September 2023 ein HBOM-Framework veröffentlicht, das kein Format vorschreibt. In einer Maschine ist die HBOM vor allem der Schlüssel zu den Sicherheitsmeldungen der Steuerungshersteller, die betroffene Geräte über Bestellnummern benennen.
Was ist der Unterschied zwischen SBOM und CBOM?: Die SBOM zählt auf, welche Softwarekomponenten in einem Produkt stecken. Die CBOM zählt auf, welche kryptografischen Verfahren diese Komponenten verwenden. Eine SBOM sagt also, dass OpenSSL 3.0 enthalten ist, die CBOM sagt, dass damit RSA-2048 für die Signatur und AES-256-GCM für die Verbindung genutzt wird. In CycloneDX liegen beide im selben Dokument und sind über Referenzen verknüpft.
Verlangt der Cyber Resilience Act eine HBOM oder eine CBOM?: Nein. Der Cyber Resilience Act verlangt in Anhang I eine Software-Stückliste, die zumindest die obersten Abhängigkeiten enthält. HBOM und CBOM nennt er nicht. Er verlangt aber in Anhang I, Daten mit modernsten Mechanismen zu verschlüsseln, und ein Schwachstellenmanagement über den Unterstützungszeitraum. Beides lässt sich ohne Kryptografie-Inventar und ohne Kenntnis der verbauten Hardware schwer belegen. Näher an eine HBOM kommt die Maschinenverordnung, die ab dem 20. Januar 2027 verlangt, die installierte sicherheitsrelevante Software einer Maschine kenntlich zu machen.
Welches Format eignet sich für HBOM und CBOM?: CycloneDX. Es kennt Komponenten vom Typ device und firmware für Hardware und seit Version 1.6 den Typ cryptographic-asset für Kryptografie, mit eigenen Feldern für Algorithmen, Zertifikate und Protokolle. Seit Dezember 2025 ist CycloneDX 1.7 als zweite Ausgabe von ECMA-424 genormt. SPDX 3.0.1 hat Profile für Software, Sicherheit, KI und Datensätze, aber keins für Hardware oder Kryptografie. Ein Hardware-Profil bringt erst SPDX 3.1, das bisher nur als Release Candidate vorliegt.
Wie erstellt man eine CBOM?: Im Build, mit zwei Quellen. Ein Code-Scanner wie das sonar-cryptography-Plugin aus dem CBOMkit findet Aufrufe kryptografischer Bibliotheken in Java, Python und Go. Ein zweiter Schritt, etwa cbomkit-theia, liest Zertifikate, Schlüssel und Konfigurationsdateien im fertigen Image oder Verzeichnis. Bei Maschinen mit zugekauften Steuerungen kommt die Konfiguration der Anlage dazu, etwa die OPC-UA-Security-Policies und die Zertifikate auf Steuerung und HMI.
Warum ist die CBOM für Maschinen dringender als für IT-Systeme?: Wegen der Lebensdauer. Eine Maschine, die 2027 ausgeliefert wird, läuft oft bis weit in die 2040er Jahre. NIST lässt RSA und Verfahren auf elliptischen Kurven laut IR 8547 ab 2035 nicht mehr zu, der EU-Fahrplan sieht für Hochrisiko-Anwendungen den Umstieg bis Ende 2030 vor. Ob eine Steuerung dann per Update auf neue Verfahren wechseln kann, entscheidet sich heute im Design, und die CBOM zeigt, wo das nötig wird.
Brauche ich für SBOM, HBOM und CBOM drei getrennte Dateien?: Nein, CycloneDX kann alle drei in einem Dokument tragen. Praktisch hilft trotzdem eine Trennung nach Lebenszyklus: Die SBOM gehört zum Software-Release, die HBOM zur einzelnen Maschine mit Seriennummer, und Zertifikate entstehen oft erst bei der Inbetriebnahme. Die Pipeline führt die Teile zu einer Datei je Release und einer je Seriennummer zusammen.
Was bedeutet Krypto-Agilität?: Krypto-Agilität heißt, dass ein Produkt ein kryptografisches Verfahren wechseln kann, ohne dass Hardware oder Architektur neu entworfen werden müssen, typischerweise per Firmware-Update. Für Maschinen ist das die eigentliche Frage hinter der Post-Quanten-Migration, denn ein Signaturschlüssel, der fest im Bootloader steckt, lässt sich im Feld nicht tauschen. Die CBOM zeigt, an welchen Stellen das Produkt heute nicht agil ist.

// Ihr nächster Schritt1 Klick, anonym

Wie geht es bei Ihnen mit HBOM oder CBOM weiter?

Sagen Sie uns mit einem Klick, wie es bei Ihnen weitergeht. Passend dazu bekommen Sie direkt einen konkreten nächsten Schritt — ganz ohne Formular.

Erstgespräch.
90 Tage zum Ergebnis.

Wir klären gemeinsam, wie Sie in 90 Tagen die ersten messbaren Industrial-DevOps-Erfolge erzielen.

Persönliches Erstgespräch buchen

Seit 2006 · 47+ Projekte
Industrie · Automotive · Finance

SBOM, HBOM, CBOM:
drei Stücklisten
für eine Maschine.

Was unterscheidet
SBOM, HBOM
und CBOM?

Was steht in
welcher Stückliste?

Wo endet die SBOM
in einer Maschine?

Was ist eine HBOM,
und wer braucht sie?

Sicherheitsmeldungen zuordnen

Abkündigungen früh sehen

Herkunft und Fälschungen belegen

Ist-Stand im Feld abgleichen

Wie sieht eine HBOM in CycloneDX aus?

Was ist eine CBOM,
und warum gerade jetzt?

Wo steckt Kryptografie in einer Maschine?

Wie entsteht eine CBOM?

Welche Stückliste
brauchen Sie zuerst?

Wie entstehen alle drei
in der Pipeline?

SBOM aus dem Build

Hardware aus dem Engineering-Projekt

Kryptografie aus Code und Konfiguration

Zu einem Dokument je Release zusammenführen

Prüfen und bei Lücken anhalten

Ablegen und mit dem Feld abgleichen

Das Jenkinsfile dazu

Eine Maschine,
alle drei Listen.

Fragen zu SBOM,
HBOM und CBOM.

Verwandte Artikel

SBOM erstellen: Software-Stückliste für CI/CD und CRA

EU Cyber Resilience Act im Maschinenbau

IEC 62443 einfach erklärt: Security Levels und Nachweis aus der Pipeline

Erstgespräch.
90 Tage zum Ergebnis.

Was unterscheidetSBOM, HBOMund CBOM?

Was steht inwelcher Stückliste?

Wo endet die SBOMin einer Maschine?

Was ist eine HBOM,und wer braucht sie?

Sicherheitsmeldungen zuordnen

Abkündigungen früh sehen

Herkunft und Fälschungen belegen

Ist-Stand im Feld abgleichen

Wie sieht eine HBOM in CycloneDX aus?

Was ist eine CBOM,und warum gerade jetzt?

Wo steckt Kryptografie in einer Maschine?

Wie entsteht eine CBOM?

Welche Stücklistebrauchen Sie zuerst?

Wie entstehen alle dreiin der Pipeline?

SBOM aus dem Build

Hardware aus dem Engineering-Projekt

Kryptografie aus Code und Konfiguration

Zu einem Dokument je Release zusammenführen

Prüfen und bei Lücken anhalten

Ablegen und mit dem Feld abgleichen

Das Jenkinsfile dazu

Eine Maschine,alle drei Listen.

Fragen zu SBOM,HBOM und CBOM.

Verwandte Artikel

SBOM erstellen: Software-Stückliste für CI/CD und CRA

EU Cyber Resilience Act im Maschinenbau

IEC 62443 einfach erklärt: Security Levels und Nachweis aus der Pipeline

Erstgespräch.90 Tage zum Ergebnis.

Was unterscheidet
SBOM, HBOM
und CBOM?

Was steht in
welcher Stückliste?

Wo endet die SBOM
in einer Maschine?

Was ist eine HBOM,
und wer braucht sie?

Was ist eine CBOM,
und warum gerade jetzt?

Welche Stückliste
brauchen Sie zuerst?

Wie entstehen alle drei
in der Pipeline?

Eine Maschine,
alle drei Listen.

Fragen zu SBOM,
HBOM und CBOM.

Erstgespräch.
90 Tage zum Ergebnis.