Din forsyningskæde stikker dybere end din SBOM
En sårbarhed er ligeglad med, hvor mange led der er imellem. Det er CRA også.
De fleste produkter bygger på snesevis, ofte hundredvis, af eksterne komponenter – og på de komponenter, som de selv trækker med sig. En SBOM på øverste niveau viser kun dine direkte leverandører. CRA kræver, at du håndterer sårbarheder i alle produktets komponenter i hele supportperioden, og at du laver due diligence på tredjeparts- og open source-komponenter. SBOM'en er kun minimumskravet – ansvaret for sårbarhederne stopper ikke på øverste niveau. Overser du en sårbarhed tre led nede, risikerer du bøder og at skulle trække produktet fra markedet.
