Una pequeña estantería de libros que evoca el cuerpo normativo de la UE

Requisitos SBOM CRA: CycloneDX, SPDX y HBOM

Crea, intercambia y gestiona Listas de Materiales de Software en CycloneDX o SPDX para cumplir con los requisitos del CRA antes del plazo de diciembre de 2027.

Desarrolla tu conocimiento sobre SBOM

Seis guías especializadas que cubren lo que el CRA exige, la elección del formato, el punto de referencia de calidad BSI TR-03183, las listas de materiales de hardware, los errores más comunes y el calendario de plazos y sanciones.

Qué exige el CRA en un SBOM

Los SBOM son obligatorios bajo el CRA para todo producto con elementos digitales. Mira exactamente qué exige la ley (y qué no).

Leer la guía →
Elige el formato SBOM adecuado: CycloneDX o SPDX

Ambos formatos cumplen con el CRA. Compara CycloneDX y SPDX en herramientas, soporte VEX y compatibilidad con BSI TR-03183 antes de comprometerte.

Leer la guía →
Cumple con el estándar SBOM BSI TR-03183

El CRA no nombra campos ni versiones mínimas. BSI TR-03183 cubre ese vacío con campos de datos obligatorios, un suelo de CycloneDX 1.6 y SPDX 3.0.1.

Leer la guía →
Crea una Lista de Materiales de Hardware (HBOM)

Tu SBOM enumera el software, pero Artículo 3(1), Artículo 13(5) y Anexo I también cubren el hardware. Descubre cuándo se exige un HBOM y qué debe contener.

Leer la guía →
Evita los errores más comunes en los SBOM

Seis carencias en los SBOM que afloran durante las auditorías: árboles superficiales, instantáneas desactualizadas, campos de identidad ausentes y otros que la mayoría de fabricantes pasa por alto antes de diciembre de 2027.

Leer la guía →
Plazos del SBOM y sanciones del Artículo 64

La notificación de vulnerabilidades del Artículo 14 pasa a ser obligatoria el 11 de septiembre de 2026. La aplicación plena llega el 11 de diciembre de 2027. Las multas alcanzan 15 millones de EUR o el 2,5% de la facturación.

Leer la guía →
← Volver al centro de cumplimiento CRA