Eine CVE ist eine Abfrage,
kein Krisenstab.
Zulieferer-SBOMs landen auf der Architektur, nicht in einem Ordner. Wird eine CVE veröffentlicht, ist der Weg — Komponente → Software-Unit → ECU → Projekt → Fahrzeug — bereits verdrahtet. Sie antworten in Minuten, mit angehängter Nachweiskette.
SBOMs wie geliefert.
Verglichen, nicht überschrieben.
CycloneDX und SPDX je Software-Unit, versioniert je Baseline. Re-Importe werden gegen die letzte Lieferung verglichen — 12 neue Komponenten sind ein Changelog-Eintrag, kein Rätsel.
Kontinuierlich beobachtet.
Nach Position triagiert.
Komponenten werden rund um die Uhr gegen Schwachstellen-Feeds abgeglichen. Die Priorität ergibt sich daraus, wo eine Komponente in der Architektur sitzt — nicht aus dem CVSS allein.
CVE → Komponente →
ECU → Fahrzeug. Eine Abfrage.
Der Treffer landet auf dem Graph, sodass der Wirkungsradius berechnet wird: welche Software-Units, welche Projekte, welche Programme. Zulieferer erhalten eine Freigabeanfrage, keinen E-Mail-Thread.
VEX mit eingebautem
Nachweis.
Nicht-betroffen-Aussagen tragen ihre Begründung aus dem Graph. Wir veröffentlichen unsere eigene Plattform-SBOM auf dieselbe Weise — siehe das Trust Center.