normakte / SBOM para máquinas
El CRA exige una lista de materiales de software: qué componentes hay en el control, la HMI y el firmware. Sin ella, las vulnerabilidades no se pueden encontrar ni notificar a tiempo.
El fabricante recoge en una SBOM los componentes de software de la máquina, en un formato habitual legible por máquina y como mínimo con las dependencias de primer nivel. La SBOM forma parte de la documentación técnica; no hay que publicarla.
Firmware de autómatas y accionamientos, sistema operativo y software del PC industrial o la HMI, su propio software de control con sus bibliotecas, routers y pasarelas de mantenimiento remoto. A menudo estas piezas vienen de proveedores: necesita sus datos.
Los más extendidos son CycloneDX y SPDX. Lo importante es que la lista sea legible por máquina y se actualice con cada cambio de software.
La obligación de notificar vulnerabilidades explotadas activamente se aplica desde el 11 de septiembre de 2026. Si no sabe qué componente hay en qué máquina, no puede decir en 24 horas si le afecta.
Registre los componentes, vincúlelos al expediente y téngalos listos para las notificaciones.
Fuentes. Reglamento (UE) 2023/1230, DO L 165 de 29.6.2023; Reglamento (UE) 2024/2847, DO L, 2024/2847 de 20.11.2024. Resumido; solo da fe el texto oficial. normakte no sustituye el asesoramiento jurídico.