normakte  /  SBOM per macchine

SBOM per macchine

Il CRA chiede una distinta base del software: quali componenti ci sono nel controllore, nell'interfaccia e nel firmware. Senza, le vulnerabilità non si possono né trovare né segnalare in tempo.

Cosa è richiesto

Il fabbricante censisce in una SBOM i componenti software contenuti nella macchina, in un formato diffuso e leggibile da macchina, almeno con le dipendenze di primo livello. La SBOM fa parte della documentazione tecnica; non va pubblicata.

Cosa include per una macchina

Firmware di PLC e azionamenti, sistema operativo e software del PC industriale o dell'HMI, il proprio software di comando con le sue librerie, router e gateway di teleassistenza. Spesso queste parti vengono dai fornitori: servono i loro dati.

Formati

I più diffusi sono CycloneDX e SPDX. Conta che l'elenco sia leggibile da macchina e aggiornato a ogni modifica del software.

Perché è urgente

L'obbligo di segnalazione delle vulnerabilità attivamente sfruttate vale dall'11 settembre 2026. Se non sai quale componente c'è in quale macchina, entro 24 ore non puoi dire se sei interessato.

Allegato I parte II CRAAllegato VII CRAArt. 14 CRA

Una SBOM per macchina, con export CycloneDX

Censisci i componenti, collegali al fascicolo, tienili pronti per le segnalazioni.

Apri un fascicolo di prova

Da leggere poi

SBOM e CRACRACRA per tutti i prodotti digitalipanoramicaNovità: piattaforma ENISA per il CRAdall'11.09.2026Cyber Resilience Act e macchineCRAObbligo di segnalazione CRA24 hCybersicurezza1.1.9, 1.2.1

Fonti. Regolamento (UE) 2023/1230, GU L 165 del 29.6.2023; regolamento (UE) 2024/2847, GU L, 2024/2847 del 20.11.2024. Riassunto; fa fede il testo ufficiale. normakte non sostituisce una consulenza legale.