normakte / SBOM y CRA
El Cyber Resilience Act hace obligatoria la lista de materiales de software para todos los productos con elementos digitales. Sin ella no es posible gestionar las vulnerabilidades ni notificar a tiempo.
El fabricante registra en una SBOM los componentes del producto, en un formato habitual legible por máquina y como mínimo con las dependencias de primer nivel. La SBOM forma parte de la documentación técnica y se facilita a las autoridades de vigilancia del mercado si la solicitan; no hay que publicarla.
Para el software, las herramientas de compilación y los gestores de paquetes generan casi toda la lista automáticamente; para el firmware y los módulos comprados hacen falta los datos de los proveedores. Lo importante es guardar una SBOM correspondiente para cada versión entregada.
Con la SBOM el fabricante cruza las nuevas vulnerabilidades con sus productos. Si una vulnerabilidad se explota activamente, muestra en pocas horas qué productos y versiones están afectados: la base de la alerta temprana en 24 horas.
| Contenido | Ejemplo |
|---|---|
| Componente y versión | openssl 3.0.13 |
| Proveedor | editor de la biblioteca o del módulo |
| Identificador único | p. ej. package URL o CPE |
| Dependencias | qué componente incluye a cuál |
| Formato | CycloneDX o SPDX, legible por máquina |
| Estado | fecha y versión del producto correspondiente |
Registro con todos los requisitos del CRA, clasificación, SBOM, notificaciones con plazos, periodo de soporte y página de destino para la información a los usuarios: un expediente de prueba gratis hasta el 20.01.2027.
Fuente. Reglamento (UE) 2024/2847, DO L, 2024/2847 de 20.11.2024. Resumido; solo da fe el texto oficial. normakte no sustituye el asesoramiento jurídico.