Der Bericht behandelt einige zentrale Themen:

• Herausforderung hinsichtlich der Transparenz: Die Angriffsfläche hat sich über proprietären Code hinaus auf Open-Source-Software, Build-Systeme, CI/CD-Pipelines und Artefakte von Drittanbietern ausgeweitet. Die größte Herausforderung besteht darin, dass viele Unternehmen nach wie vor nicht wissen, was in ihrer Software enthalten ist oder woher diese stammt.
• Regulatorische Anforderungen: SBOMs sind angesichts der US-amerikanischen Exekutivverordnung und des EU-Gesetzes zur Cyber-Resilienz nicht mehr nur ein „Nice-to-have“, sondern eine regulatorische Anforderung. Die meisten Unternehmen befinden sich noch in der Phase der Compliance.
• Geschwindigkeit: KI-generierter Code stellt einen unmittelbaren Druck dar. Mehr Code, mehr unkritisch eingebundene Abhängigkeiten und ein neues Herkunftsrisiko, bei dem die KI Pakete vorschlägt, die gar nicht existieren, wodurch Ziele für „Slopsquatting“ entstehen. Kontrollmechanismen, die für eine Überprüfung im menschlichen Tempo konzipiert wurden, müssen überdacht werden.
• Marktkonsolidierung: Der Markt konsolidiert sich, wobei SCA, SAST, Secrets-Scanning und Posture-Management in ASPM-Plattformen integriert werden. Konsolidierung ist dann sinnvoll, wenn sie den Kontext über den gesamten SDLC hinweg vereinheitlicht, und nicht, wenn sie lediglich ein Dashboard über denselben, voneinander getrennten Scannern darstellt.