Qu’est-ce qu’une SBOM, et le règlement sur la cyberrésilience en exige-t-il une ?

Une nomenclature logicielle (SBOM, software bill of materials) est une liste lisible par machine des composants d’un logiciel, comme les bibliothèques et leurs versions, un peu comme une liste d’ingrédients. Elle permet à un fabricant, et à toute personne à qui il la transmet, de savoir rapidement si une vulnérabilité nouvellement publiée touche un produit. Le CRA impose aux fabricants d’identifier et de documenter les composants de leurs produits, notamment en établissant une SBOM dans un format couramment utilisé et lisible par machine, couvrant au moins les dépendances de premier niveau. Elle fait partie de la documentation technique ; le règlement n’impose pas au fabricant de la publier, mais les autorités peuvent la demander. Si vous achetez des logiciels, demandez aux fournisseurs s’ils tiennent une SBOM et comment ils s’en servent pour suivre les vulnérabilités, plutôt que d’exiger le fichier lui-même. Les formats courants sont CycloneDX et SPDX. NetSenX ne génère pas de SBOM pour vos produits, et une sonde réseau ne voit pas quelles bibliothèques se trouvent dans une application.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 20 questions sur Droit de l’UE : RGPD, DORA, CRA et AI ActTous les thèmes