# ¿Qué es una SBOM y la exige el Reglamento de Ciberresiliencia?

Una lista de materiales de software (SBOM) es una relación legible por máquina de los componentes de un programa, como bibliotecas y sus versiones, parecida a una lista de ingredientes. Permite a un fabricante, y a quien se la facilite, saber rápidamente si una vulnerabilidad recién publicada afecta a un producto. El CRA exige a los fabricantes identificar y documentar los componentes de sus productos, entre otras cosas elaborando una SBOM en un formato de uso común y legible por máquina que cubra al menos las dependencias de primer nivel. Forma parte de la documentación técnica; el Reglamento no obliga al fabricante a publicarla, aunque las autoridades pueden pedirla. Si compra software, pregunte a los proveedores si mantienen una SBOM y cómo la usan para seguir las vulnerabilidades, en lugar de exigir el archivo en sí. Los formatos habituales son CycloneDX y SPDX. NetSenX no genera SBOM de sus productos, y un sensor de red no ve qué bibliotecas hay dentro de una aplicación.

Información general, no asesoramiento jurídico. Las leyes nacionales pueden completar los textos de la UE citados aquí, por ejemplo con plazos, formularios o canales de notificación: consulte las normas de su país.

FAQ: [Derecho UE: RGPD, DORA, CRA y Ley de IA](https://netsenx.com/es/faq/eu-law) · https://netsenx.com/es/faq/what-is-an-sbom-and-does-the-cra-require-one

## Siga leyendo

- https://netsenx.com/es/blog/2026-10-26_ai-act-nis2-dora-cra
- https://netsenx.com/es/compliance
- https://netsenx.com/es/dpa

## Preguntas relacionadas

- [¿Qué es la Ley de IA de la UE, explicada de forma sencilla?](https://netsenx.com/es/faq/what-is-the-eu-ai-act-in-plain-terms)
- [¿Es de alto riesgo la IA de una herramienta de seguridad según la Ley de IA?](https://netsenx.com/es/faq/is-ai-in-security-tools-high-risk-under-the-ai-act)
- [¿Qué obligaciones de transparencia fija la Ley de IA para los chatbots y los contenidos generados por IA?](https://netsenx.com/es/faq/what-are-the-ai-act-transparency-duties)
- [¿Qué significan la protección de datos desde el diseño y por defecto en el RGPD?](https://netsenx.com/es/faq/what-is-data-protection-by-design-and-by-default)
- [¿Qué registro de actividades de tratamiento nos exige llevar el RGPD?](https://netsenx.com/es/faq/what-records-of-processing-must-we-keep)