DEV-13 Transparenz über Softwarekomponenten

Dieses Kriterium kann durch eine hinreichend detaillierte Liste von Softwarekomponenten erfüllt werden. Hinreichende Detaillierung bedeutet, dass die Liste dem Cloud-Anbieter ermöglicht, alle Cloud-Dienste zu identifizieren, die von einer gegebenen bekannten Schwachstelle betroffen sind. Dieses Kriterium kann auch durch eine Software Bill of Materials (SBOM) erfüllt werden. Der Stand der Technik hinsichtlich der Erstellung, Pflege und Nutzung von SBOMs, einschließlich ihrer Bestandteile und Formate, werden in der jeweils aktuellen Version der Technischen Richtlinie TR-03183-2 des BSI beschrieben. Automatisierte Werkzeuge zum Erzeugen, Pflegen und Validieren von Listen von Softwarekomponenten oder SBOMs werden empfohlen, um Genauigkeit und Integration in Sicherheits- und Schwachstellenmanagementprozesse sicherzustellen. Es ist möglicherweise nicht notwendig, jede Version der SBOM zu speichern - genau wie in den anderen Entwicklungsprozessen für Komponenten -, solange der Cloud-Anbieter in der Lage ist, die Änderungen nachzuverfolgen.

Dieses Unterkriterium gilt nur für integrierte Softwarekomponenten. Falls integrierte Softwarekomponenten z. B. Open Source sind und dieses Kriterium über SBOMs erfüllt wird, kann es Fälle geben, in denen eine SBOM nicht verfügbar ist und nicht mit vertretbarem Aufwand erstellt werden kann. Vertretbar impliziert, dass der Austausch dieser Komponente gegen eine mit SBOM wirtschaftlich nicht machbar ist. Die Risiken aus diesen Ausnahmen werden jedoch innerhalb des Ausnahmeprozesses behandelt (vgl. SP-03).