A. Product, scope en inventaris
A-03 SBOM in machineleesbaar formaat (SPDX of CycloneDX), automatisch bij de build gemaakt, minstens alle directe afhankelijkheden
Waarom
Wie niet weet wat er in zijn software zit en welke AI erin gebruikt wordt, kan geen risico's inschatten of melden. De CRA en de AI Act vragen die inventaris.
Hoe we het controleren
Methode: scan
- Scan: volledig automatisch, met vaste regels. Dezelfde code geeft altijd dezelfde uitkomst.
Deze check zit in de open-source scanner. Bekijk de code van deze check (aiscan/checks/supply.py).
Zo los je een bevinding op
Laat de pipeline bij elke build een SBOM maken, bv. met syft of @cyclonedx/cyclonedx-npm, en bewaar die bij de release.
Op welk niveau
| Niveau 1 · Basisscan | ● verplicht |
|---|---|
| Niveau 2 · Gekeurd | ● verplicht |
| Niveau 3 · Gekeurd Plus | ● verplicht |
| Niveau 4 · Kritiek | ● verplicht |
Norm of wet
CRA bijlage I deel II (1); ISO/IEC 5962
Standaardernst
Middel Een keurder mag hiervan afwijken, met een motivatie in het rapport.