Det tyske forbundskontor for informationssikkerhed, BSI, har udgivet en teknisk retningslinje for softwarekomponentlister, TR-03183-2. Retningslinjen er frivillig, og en liste, der følger den, formodes ikke af den grund at opfylde forordningen. Til gengæld er den detaljeret og kan bruges som målestok, hvor forordningen kun siger “almindeligt anvendt og maskinlæsbart”.
Artiklen gennemgår retningslinjens krav, så de kan bruges i en gennemgang, og siger tydeligt, hvor grænsen for dens vægt går.
Status
Den læste version er 2.1.0 af 20. august 2025. BSI skriver selv om retningslinjen, at den ikke er bindende eller obligatorisk, og at den ikke kan bruges som formodning om overensstemmelse. Den forventes afløst af harmoniserede standarder, når de foreligger.
Det er vigtigt. En liste, der følger TR-03183-2, er ikke af den grund i overensstemmelse med bilag I, del II, nr. 1. Og en liste, der afviger fra retningslinjen, kan sagtens opfylde forordningen. Retningslinjen giver en konkret målestok, hvor forordningen er åben. Den erstatter ikke vurderingen.
Pr. november 2026 har vi ikke fundet harmoniserede standarder til CRA med reference i EU-Tidende, og Kommissionen har ikke fastsat format ved gennemførelsesretsakt efter artikel 13, stk. 24, i de kilder, vi har læst. Det er derfor, en målestok som denne er nyttig lige nu.
BSI har udgivet flere dele af TR-03183. Del 1 handler om generelle krav og del 3 om sårbarhedsrapporter. Vi har ikke læst dem og skriver ikke om deres indhold.
Format
Retningslinjen kræver, at en ny eller opdateret liste er i JSON eller XML og er gyldig efter CycloneDX version 1.6 eller nyere eller SPDX version 3.0.1 eller nyere. Kun officielt udgivne versioner af formaterne må bruges.
Der er en overgangsregel. Den seneste version af retningslinjen skal bruges, men den foregående må bruges i seks måneder efter, at en ny er udgivet.
ENISA henviser i sin rapport fra 2026 selv til retningslinjens formatkrav. Det giver ikke retningslinjen større retlig vægt, men det viser, at den bliver brugt som reference.
Dybde
Her går retningslinjen markant længere end forordningens minimum. Den kræver rekursiv opløsning af afhængigheder for hver komponent i leveringsomfanget, og stopper først ved den første komponent, der ligger uden for leveringsomfanget.
Forordningen nøjes med de vigtigste produktafhængigheder. Retningslinjen vil have hele træet med for det, I leverer.
Datafelter
Retningslinjen opstiller felter for selve listen og for hver komponent.
For listen: hvem der har lavet den (e-mail eller URL) og et tidsstempel.
For hver komponent, altid:
- komponentens ophav,
- navn,
- version,
- filnavn,
- afhængigheder, med angivelse af, om opregningen er fuldstændig,
- distributionslicenser,
- SHA-512-hashværdi af den leverede komponent,
- egenskaberne eksekverbar, arkiv og struktureret.
For hver komponent, hvis de findes: URI til kildekoden, URI til den leverede form, andre identifikatorer som CPE eller purl og de oprindelige licenser.
Ingen sårbarhedsoplysninger i listen
Efter retningslinjen hører sårbarhedsoplysninger ikke hjemme i komponentlisten. De sendes ud som sikkerhedsmeddelelser, og BSI peger på CSAF med dens VEX-profil.
CycloneDX-specifikationen kan selv bære sårbarheds- og udnyttelighedsoplysninger. BSI fraråder det i selve listen. Begrundelsen er, at listen beskriver indholdet, som er stabilt for en version, mens vurderingen af en sårbarhed kan ændre sig fra dag til dag.
En liste pr. version
Retningslinjen kræver en særskilt liste for hver softwareversion og en opdateret liste for en given version kun, når der kommer nye oplysninger om komponenterne, eller når fejl rettes. Det er emnet for artiklen om en komponentliste for hver version.
Sådan bruges den i en gennemgang
En almindelig fremgangsmåde er at holde en eksisterende liste op mod retningslinjens felter og dybde og notere afvigelserne. Afvigelserne er ikke fund i forhold til forordningen. De er oplysninger, der hjælper med at vurdere, om listen er god nok til den sårbarhedshåndtering, fabrikanten selv har beskrevet.
Rapporten bør derfor holde de to ting adskilt: hvad forordningen kræver, og hvordan listen står i forhold til en ikke-bindende målestok. Blandes de, får læseren indtryk af, at retningslinjen er lov.
Når kunder henviser til retningslinjen
Nogle erhvervskunder skriver i deres krav, at en komponentliste skal følge TR-03183-2. Det er et aftalekrav og ikke et krav fra forordningen. Har I sagt ja til det, bliver retningslinjen en målestok, som kunden kan holde jer op på. Dokumentationen bør da skelne mellem det, I gør for at opfylde forordningen, og det, I gør for at opfylde aftalen.
Hvad det kræver, og hvad det koster at lade være
Vil I bruge retningslinjen, kræver det, at byggeværktøjerne kan opløse afhængigheder rekursivt og udfylde felterne, og at listerne laves i en understøttet version af formatet.
Ignorerer I den helt, mister I en konkret målestok i en periode, hvor forordningen ikke giver en. Bruger I den som om, den var lov, risikerer I at bruge kræfter på felter, ingen myndighed kræver, og at overse det, forordningen faktisk kræver.
Det skal I lade være med
- At skrive i dokumentationen, at retningslinjen giver formodning om overensstemmelse · BSI siger selv, at den ikke gør.
- At lægge sårbarhedsstatus ind i komponentlisten, hvis I følger retningslinjen · den fraråder det.
- At bruge en uofficiel formatversion · retningslinjen kræver officielt udgivne versioner.
Det skal auditten kunne vise
- ☐ Hvilken version af retningslinjen, der eventuelt er brugt som målestok.
- ☐ Format og formatversion for listen.
- ☐ Dybden af opløsningen af afhængigheder.
- ☐ En oversigt over afvigelser fra retningslinjens felter, adskilt fra forordningens krav.
Kilder
- BSI, TR-03183-2, version 2.1.0, dokumenthistorik, afsnit 1, 3.1, 4, 5.1, 5.2.1-5.2.5, 7 og 8.1.14, læst 13. november 2026.
- BSI, oversigtsside for TR-03183, læst 13. november 2026.
- Forordning (EU) 2024/2847, dansk udgave, artikel 13, stk. 24, og bilag I, del II, nr. 1, læst 13. november 2026.
- ENISA, SBOM Adoption State of Play 2026, afsnit 2.4.2, læst 13. november 2026.
- CycloneDX, specifikationsoversigt, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag komponentlisten for jeres seneste version, og sammenlign felterne for én komponent med retningslinjens liste.
Læs også: Øverste niveau er lovens minimum · En komponentliste for hver version
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
