SBOM von SPS-Herstellern

[Karabullo]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hallo zusammen,
ich weiß nicht ob das hier richtig ist, muss halt Herstellerübergreifend sein. Sonst bitte verschieben.

In Bezug zum Cyber Resilience Act CRA müssen Maschinenhersteller ja zukünftig auch eine SBOM liefern bzw. Cyber Security Probleme verfolgen und ggf. updaten.

BSI TR-03183 Cyber-Resilienz-Anforderungen

www.bsi.bund.de

Dazu benötigt man ja auch eine SBOM von der SPS selbst.
Ist euch dazu von den Herstellern bereits was bekannt, wie wollen diese eine solche SBOM zur Verfügung stellen? Mir geht es speziell um Siemens, B&R sowie Beckhoff.
Verfolgt jmd von euch bereits das Thema und hat dort bereits erste Erfahrungen sammeln dürfen?

Danke

 

[DCDCDC]

What is a service BOM | Siemens Software

A service BOM (sBOM) is a managed view of an asset’s service material requirements, bridging ongoing design to specific configuration requirements.

www.plm.automation.siemens.com

Bei B&R und Beckhoff gibts mal keine ähnlichen Artikel/News

 

[Botimperator]

Zuviel Werbung?
-> Hier kostenlos registrieren

Ich hab hier noch ne Siemens-Präsentation von letztem Jahr gefunden:
https://archive.fosdem.org/2023/sch...ns/slides/5749/A_standard_BOM_for_Siemens.pdf

Aber unterm Strich:


Bedeutet das dann, dass ich als Maschinnenhersteller bei jeder SPS im ERP-System auch noch zur jeweiligen Firmwareversion ein SDOM hinterlegen muss?
Und was soll dann damit passieren?
Ist das einfach eine Datei, die beim Kunden in Ablage P landet oder soll damit am Ende auch irgendetwas sinnvolles passieren?

 

[DCDCDC]

Ich hab hier noch ne Siemens-Präsentation von letztem Jahr gefunden:
https://archive.fosdem.org/2023/sch...ns/slides/5749/A_standard_BOM_for_Siemens.pdf

Aber unterm Strich:
Anhang anzeigen 74795

Bedeutet das dann, dass ich als Maschinnenhersteller bei jeder SPS im ERP-System auch noch zur jeweiligen Firmwareversion ein SDOM hinterlegen muss?
Und was soll dann damit passieren?
Ist das einfach eine Datei, die beim Kunden in Ablage P landet oder soll damit am Ende auch irgendetwas sinnvolles passieren?

Eher wohl eine Nummer, die im System hinterlegt werden kann und über die dann der ganze Produktionsablauf der Komponente angeforder/eingesehen werden kann

 

[Watchcat]

In Bezug zum Cyber Resilience Act CRA müssen Maschinenhersteller ja zukünftig auch eine SBOM liefern

Muss der Maschienenhersteller eine eigene SBOM liefern, oder nur die SBOMs der genutzen Software-Hersteller zur Verfügung stellen?

Technical Guideline TR-03183: Cyber Resilience Requirements for Manufacturers and Products:

An SBOM should be used by every software creator and provider in order to be able to transparently represent software complexity and to know which components (e. g. libraries) are used...

Für mich ließt sich das ganze Dokument ehr als ob es sich an Software-Hersteller richtet. Nicht direkt an Maschinenhersteller.

 

[Botimperator]

Zuviel Werbung?
-> Hier kostenlos registrieren

Für mich ließt sich das ganze Dokument ehr als ob es sich an Software-Hersteller richtet. Nicht direkt an Maschinenhersteller.

Hmm....das würde natürlich auch Sinn machen.
Wenn ich in der Doku einfach SPS-Typ + Firmware angeben muss & der Kunde zieht sich bei Bedarf die SDOM beim SPS-Hersteller, wäre das ok.
Wobei ich nicht wirklich glaube, dass sich irgendjemand im KMU-Bereich damit außeinandersetzen wird.

Aber, wenn ich das dann richtig verstehe, gilt diese CRA-Geschichte dann auch für mich als Hersteller, wenn ich beispielsweise eine kleine Scada-Software für meine Maschinen selbst entwickle & vertreibe, oder?

 

[Watchcat]

Aber, wenn ich das dann richtig verstehe, gilt diese CRA-Geschichte dann auch für mich als Hersteller, wenn ich beispielsweise eine kleine Scada-Software für meine Maschinen selbst entwickle & vertreibe, oder?

In dem Fall definitiv. Wobei es mitlerweile unmengen an Tools gibt, die deine Dependencies automatisch überprüfen. (Docker Scout usw.)

Docker kann auch SBOM automatisch erstellen:
Generate the SBOM for Docker images