CHECKS en de SBOM-generator zeggen dat de CRA de SBOM vereist #2717

New issue

Closed

opened 2026-11-02 22:16:51 +00:00 by brenno · 0 comments

brenno commented

2026-11-02 22:16:51 +00:00

Owner

Wat er mis is

Het positiebesluit (assurance/CRA-2024-2847-positie.md, #532) schrijft voor: “als beschreven in de CRA”, nooit “zoals vereist door”. Een “vereist”-zin wordt in een vragenlijst teruggeciteerd als fabrikantenplicht. Die formulering staat nog op een paar plekken die wél worden gelezen.

Dit is geen gat in de SBOM zelf. De poort en de bouw hangen aan sbom-verify.

Bewijs

docs/CHECKS.md rond regel 1332–1333: “the Software Bill of Materials the EU Cyber Resilience Act … requires”, zonder het voorbehoud dat README.md en docs/SBOM.md (Why) wél zetten.
tool/sbom_build.dart rond regel 1144 schrijft diezelfde “requires” in de gegenereerde tekst (sbom/ocideck.sbom.md).
tool/generate_sbom.dart regel 6 heeft het in een commentaar.
docs/SBOM.md de tabel CRA mapping heeft als kolomkop “Where OciDeck satisfies it”. Dat is een conformiteitszin, geen beschrijving van wat de bouw doet.

CHANGELOG.md heeft historische zinnen. Die niet herschrijven.

Voorstel

In docs/CHECKS.md: “requires” vervangen door “as described in”.
In de generator hetzelfde, en sbom/ opnieuw laten ontstaan via make sbom zodat de gepubliceerde inventaris meeloopt.
Kolomkop in docs/SBOM.md naar een feitelijke formulering (“Where this is done”), zonder “satisfies” of “compliant”.
Optioneel een regel in check_conventions die in docs/ de combinatie van “Cyber Resilience Act” met “requires” of “required by” afkeurt, zodat #532 niet stil terugkomt.

Geen zin toevoegen die zegt dat het project conform is. Het bestandsformaat verandert niet.

## Wat er mis is Het positiebesluit (`assurance/CRA-2024-2847-positie.md`, #532) schrijft voor: “als beschreven in de CRA”, nooit “zoals vereist door”. Een “vereist”-zin wordt in een vragenlijst teruggeciteerd als fabrikantenplicht. Die formulering staat nog op een paar plekken die wél worden gelezen. Dit is geen gat in de SBOM zelf. De poort en de bouw hangen aan `sbom-verify`. ## Bewijs - `docs/CHECKS.md` rond regel 1332–1333: “the Software Bill of Materials the EU Cyber Resilience Act … **requires**”, zonder het voorbehoud dat `README.md` en `docs/SBOM.md` (*Why*) wél zetten. - `tool/sbom_build.dart` rond regel 1144 schrijft diezelfde “requires” in de gegenereerde tekst (`sbom/ocideck.sbom.md`). - `tool/generate_sbom.dart` regel 6 heeft het in een commentaar. - `docs/SBOM.md` de tabel *CRA mapping* heeft als kolomkop “Where OciDeck satisfies it”. Dat is een conformiteitszin, geen beschrijving van wat de bouw doet. `CHANGELOG.md` heeft historische zinnen. Die niet herschrijven. ## Voorstel - In `docs/CHECKS.md`: “requires” vervangen door “as described in”. - In de generator hetzelfde, en `sbom/` opnieuw laten ontstaan via `make sbom` zodat de gepubliceerde inventaris meeloopt. - Kolomkop in `docs/SBOM.md` naar een feitelijke formulering (“Where this is done”), zonder “satisfies” of “compliant”. - Optioneel een regel in `check_conventions` die in `docs/` de combinatie van “Cyber Resilience Act” met “requires” of “required by” afkeurt, zodat #532 niet stil terugkomt. Geen zin toevoegen die zegt dat het project conform is. Het bestandsformaat verandert niet.

brenno added the

docs

label

2026-11-02 22:16:51 +00:00

brenno added the

in-progress

label

2026-11-02 23:12:00 +00:00

brenno referenced this issue

2026-11-03 00:46:15 +00:00

fix: dertien openstaande issues — documentatie, opslagraces, herstel en a11y #2762

brenno referenced this issue from a commit