Software Bill of Behavior als Packungsbeilage für Container
Die Software Bill of Behavior (SBOB) beschreibt das Laufzeitverhalten von Software präskriptiv – als signierte Absichtserklärung des Herstellers.
Man stelle sich kurz vor, die Softwareindustrie wäre die Pharmaindustrie und ein Hersteller käme auf die Idee, Patienten nur die Zutatenliste zu überlassen, um ein Medikament an sich selbst auszuprobieren. Klingt nach Mitte des 20. Jahrhunderts. Denn vor der 1976 eingeführten Packungsbeilage waren Deklarationen weitgehend freiwillig. Es brauchte Katastrophen – Sulfanilamid in den USA, Contergan in Deutschland –, bis Hersteller systematische Prüfungen und eine Packungsbeilage vorweisen mussten.
Mit der SBOM (Software Bill of Materials) existiert seit der Executive Order 14028 (USA 2021) in der US-Bundesbeschaffung ein verpflichtendes Zutatenverzeichnis für Software: sämtliche Abhängigkeiten inklusive Lizenz und Version. Der europäische Gesetzgeber brauchte etwas länger, antwortete jedoch noch strenger mit dem Cyber Resilience Act (CRA, anwendbar ab Dezember 2027), der NIS2-Richtlinie und dem Digital Operational Resilience Act (DORA), die verpflichtend und mit Haftungsfolgen verschiedene Aspekte der Cybersecurity aufgreifen. Und obwohl die SBOM ein großer Schritt nach vorn ist, beschreibt sie lediglich, woraus Software besteht – nicht, wie sie sich zur Laufzeit verhalten soll (alle Links siehe ix.de/za2u).
