B&R SBOM: X20-Module und POWERLINK-Teilnehmer in die Geräteliste bekommen

Was an einer B&R-Steuerung hängt und was davon im Netz sichtbar ist

Die Steuerung ist eine X20-CPU, ein Automation PC oder ein Power Panel mit Automation Runtime. Daran hängen X20- und X90-Module direkt am X2X-Link (dem lokalen Modulbus), X20-Buscontroller und ACOPOS-Antriebe über POWERLINK, dazu Panels und IPCs über Ethernet. POWERLINK ist zwar Ethernet-basiert, arbeitet aber mit Managing Node und festem Zyklus; ein Wartungs-PC außerhalb des POWERLINK-Netzes sieht die Teilnehmer nicht.

• Über IP vom Wartungs-PC sichtbar: CPU, Automation PCs und Power Panels über OPC UA (ServerStatus/BuildInfo, Automation-Runtime-Version) und, je nach Konfiguration, SNMP; Switches.
• Nur über die Steuerung: alle X20-/X90-Module am X2X-Link und alle POWERLINK-Teilnehmer. Ihre Bestellnummer und Firmware kennt die CPU, nicht das Netz.
• Nur aus dem Engineering: Module ohne Firmware (einfache I/O) und die mapp-/APROL-Softwarestände, die als Software zu führen sind.

Wie X20-Module und POWERLINK-Teilnehmer in die Liste kommen: System Diagnostics Manager und Automation Studio

Der System Diagnostics Manager (SDM) ist die Web-Diagnose der Automation Runtime: Er zeigt den Hardware-Baum der Steuerung mit Modultyp, Bestellnummer, Firmware- und Hardware-Revision je X20-Modul und je POWERLINK-Teilnehmer. Das ist der Blick auf das, was läuft, und der Weg, den Werkspilot Scan für B&R nutzt. Das Automation-Studio-Projekt zeigt dagegen, was geplant war:

• Automation-Studio-Projekt (.apj): Hardwarekonfiguration mit Modultypen und den im Projekt hinterlegten Firmwareversionen der X20-/X90-Module.
• System Diagnostics Manager (SDM, Web-Diagnose in Automation Runtime): Hardware- und Software-Analyse des Zielsystems mit Modulen und Versionen. Das ist der Blick auf das, was läuft.
• Netz: POWERLINK-Teilnehmer sind vom Wartungs-PC aus nicht per Standard-Scan erreichbar; Automation PCs und Power Panels antworten über OPC UA (ServerStatus/BuildInfo) und, je nach Konfiguration, SNMP. Mehr dazu im Beitrag zum Netzwerkscan je Steuerungswelt.

Wie B&R meldet und worüber der Abgleich läuft

Die Advisory-Seite von B&R bietet „RSS Feed“ und „ROLIE / CSAF feed“ an. Beide zeigen auf ABB PSIRT, das seit der Übernahme die Veröffentlichung trägt. Ein eigener Provider unter br-automation.com existiert nicht; sieben ältere CSAF-Dateien liegen als Einzel-Downloads ohne Index auf der B&R-Seite. ABB ist im CSAF-Aggregator des BSI gelistet, B&R-Dokumente sind am ID-Muster sa<jj>p<nnn> erkennbar.

Beispiel SA25P005 (ANSL-Server): Produktbaum „Automation Runtime <6.5“ und „>=R4.93“, also Produktname plus Versionsbereich, keine Materialnummer. Hardware-Advisories wie SA24P003 (PixieFail, „B&R PCs“) nennen Produktfamilien. In der Nummerierung fehlen SA26P002 bis SA26P008 öffentlich; ob sie unter TLP:AMBER liegen oder nicht veröffentlicht wurden, ist offen.

Weil die Advisories weder CPE noch Materialnummern führen, ist die Automation-Runtime-Version (zum Beispiel R4.93 oder 6.5) je Steuerung der eigentliche Schlüssel, ergänzt um den Gerätetyp für Hardware- und UEFI-Advisories. Die X20-Modulliste ist für die Zuordnung nachrangig, gehört aber in die Anlagen-SBOM, weil Firmware-Advisories für Module jederzeit kommen können.

Mit 10 neuen Advisories in 2026 veröffentlicht B&R inzwischen regelmäßig. Wer den Feed nicht abonniert hat, verpasst im Schnitt eines pro Monat. Die Meldefrist nach CRA läuft ab Kenntnis, nicht ab Veröffentlichung.

B&R erklärt im CRA-Statement, SBOMs zu erstellen, gibt sie aber nicht heraus; für die Anlage brauchen Sie sie nicht, die AR-Version je Steuerung genügt.

Was das für Anlagen mit B&R-Komponenten heißt

• Je B&R-Steuerung die Automation-Runtime-Version und den Gerätetyp erfassen; das ist die Spalte, über die 14 von 14 CSAF-Dokumenten zugeordnet werden.
• Die X20-/X90-Module aus dem Projekt oder SDM mit Typ und Firmware aufnehmen. POWERLINK liefert sie nicht an einen externen Scan.
• APROL- und mapp-Komponenten als Software führen, nicht als Geräte.

Zehn neue Advisories in neun Monaten, und die Modulliste steht weder im Netz noch in der Stückliste mit Firmware, sondern nur in der Steuerung. In Werkspilot Scan ist B&R deshalb Stufe 3: Der Lauf vom Wartungs-PC erfasst CPU, Panels und IPCs über OPC UA und SNMP, und nach Freischaltung die X20- und POWERLINK-Liste über die Systemdiagnose der Steuerung. Wir erproben diese Stufe derzeit mit Entwicklungspartnern an deren Anlagen.