Che cos’è una SBOM e il regolamento sulla ciberresilienza la richiede?

Una distinta base del software (SBOM) è un elenco leggibile da macchina dei componenti di un software, come librerie e relative versioni, simile a un elenco di ingredienti. Consente a un fabbricante, e a chiunque la riceva, di capire rapidamente se una vulnerabilità appena pubblicata riguarda un prodotto. Il CRA richiede ai fabbricanti di individuare e documentare i componenti dei loro prodotti, anche redigendo una SBOM in un formato di uso comune e leggibile da macchina che copra almeno le dipendenze di primo livello. Fa parte della documentazione tecnica; il regolamento non obbliga il fabbricante a pubblicarla, anche se le autorità possono chiederla. Se acquista software, chieda ai fornitori se mantengono una SBOM e come la usano per seguire le vulnerabilità, invece di pretendere il file stesso. I formati diffusi sono CycloneDX e SPDX. NetSenX non genera SBOM per i Suoi prodotti, e un sensore di rete non vede quali librerie ci sono dentro un’applicazione.

Informazione generale, non consulenza legale. Le leggi nazionali possono integrare i testi UE citati qui, per esempio con termini, moduli o canali di notifica: verifichi le regole del Suo Paese.

← Tutte le 20 domande su Diritto UE: GDPR, DORA, CRA e AI ActTutti i temi