normakte / SBOM e CRA
Il Cyber Resilience Act rende obbligatoria la distinta base del software per tutti i prodotti con elementi digitali. Senza, non si possono gestire le vulnerabilità né segnalare in tempo.
Il fabbricante censisce in una SBOM i componenti contenuti nel prodotto, in un formato diffuso e leggibile da macchina, almeno con le dipendenze di primo livello. La SBOM fa parte della documentazione tecnica e va fornita su richiesta alle autorità di vigilanza del mercato; non va pubblicata.
Per il software, gli strumenti di build e i gestori di pacchetti producono gran parte dell'elenco in automatico; per firmware e moduli acquistati servono i dati dei fornitori. Conta che per ogni versione consegnata sia conservata la SBOM corrispondente.
Con la SBOM il fabbricante confronta le nuove vulnerabilità con i propri prodotti. Se una vulnerabilità è attivamente sfruttata, mostra in poche ore quali prodotti e versioni sono coinvolti: la base per il preallarme entro 24 ore.
| Contenuto | Esempio |
|---|---|
| Componente e versione | openssl 3.0.13 |
| Fornitore | editore della libreria o del modulo |
| Identificativo univoco | per es. Package URL o CPE |
| Dipendenze | quale componente include quale altro |
| Formato | CycloneDX o SPDX, leggibile da macchina |
| Stato | data e versione del prodotto corrispondente |
Registro con tutti i requisiti CRA, classificazione, SBOM, segnalazioni con scadenze, periodo di supporto e pagina per le informazioni agli utilizzatori: un fascicolo di prova gratis fino al 20.01.2027.
Fonte. Regolamento (UE) 2024/2847, GU L, 2024/2847 del 20.11.2024. Riassunto; fa fede il testo ufficiale. normakte non sostituisce una consulenza legale.