Wissen

SBOM, VEX und CSAF: Wie alles zusammenpasst

SBOMs zeigen, was drin ist. VEX sagt, ob es Sie betrifft. CSAF transportiert beides. Ein Überblick.

Sofia Marino

3. Juli 2026· 6 Min Lesezeit

SBOM – die Zutatenliste

Eine Software Bill of Materials listet alle Komponenten eines Produkts. Formate: CycloneDX und SPDX.

Vulnerability Exploitability eXchange sagt, ob eine bekannte Schwachstelle in einer Komponente Ihr Produkt tatsächlich betrifft.

CSAF 2.0 kennt ein eigenes VEX-Profil. Damit kommunizieren Sie maschinenlesbar: betroffen, nicht betroffen, behoben oder in Untersuchung.

In Secvisory hängen SBOMs am Produktkatalog – und Advisories verweisen auf dieselben Produkte.

Aktiv ausgenutzte Schwachstellen müssen jetzt binnen 24 Stunden gemeldet werden. Wir erklären die Fristen und wie Sie sie zuverlässig einhalten.

Domain verifizieren, Schlüssel erzeugen, erstes Advisory veröffentlichen: So werden Sie Trusted Provider – an einem Nachmittag.

Beschreibungen, Remediations und Produktzuordnungen vorschlagen lassen – nur als Vorschlag, Sie behalten die Kontrolle.