Requisiti SBOM secondo il Cyber Resilience Act (CRA) dell'UE

Il Cyber Resilience Act (CRA) dell'UE rende la distinta base del software (SBOM) un requisito legale per ogni prodotto con elementi digitali venduto nell'Unione Europea. Se il tuo prodotto contiene software (che si tratti di un'applicazione SaaS, di un dispositivo IoT o di un componente firmware), dovrai produrre e mantenere un SBOM conforme. Questa guida spiega cosa richiedono il CRA e la specifica tecnica BSI TR-03183, quali formati sono accettati, quali campi deve contenere il tuo SBOM, quando scattano le scadenze di conformità e quali sanzioni si applicano in caso di inadempienza.

Cos'è un SBOM?

Una Software Bill of Materials (SBOM) è un inventario strutturato e leggibile da macchina di ogni componente software presente in un prodotto: librerie, framework, pacchetti del sistema operativo e le rispettive dipendenze. Può essere paragonata a un'etichetta nutrizionale per il software: elenca esattamente cosa contiene un prodotto, così che acquirenti e autorità di regolamentazione possano valutare i rischi, tracciare le vulnerabilità e verificare la conformità delle licenze. A differenza di un semplice elenco di componenti, un SBOM cattura anche le relazioni tra di essi (quali librerie dipendono da quali altre), formando un albero completo delle dipendenze. Il CRA rende questo inventario un requisito legale per tutti i prodotti con elementi digitali immessi sul mercato dell'UE.

Cosa richiede il CRA per gli SBOM?

Il CRA fa riferimento agli SBOM in due sezioni fondamentali del regolamento. Comprendere entrambe è essenziale per definire il perimetro di conformità della propria organizzazione.

Allegato I: Requisiti Essenziali

"I produttori identificano e documentano le vulnerabilità e i componenti contenuti nei prodotti, anche redigendo una distinta base del software in un formato di uso comune e leggibile da una macchina."

Questo significa:

• Gli SBOM sono obbligatori, non facoltativi
• Devono essere in formato leggibile da macchina (non PDF o fogli di calcolo)
• Devono coprire tutti i componenti, comprese le dipendenze transitive

Allegato VII: Documentazione Tecnica

Il fascicolo tecnico deve includere informazioni SBOM che consentano:

• Tracciamento delle vulnerabilità a livello di componente
• Identificazione dei fornitori
• Verifica della conformità delle licenze
• Pianificazione del fine vita

Quali formati SBOM sono accettati dal CRA?

Il CRA richiede formati "di uso comune e leggibili da macchina". Il regolamento non impone uno standard specifico, ma in pratica due formati soddisfano pienamente questo requisito e sono riconosciuti dalle autorità di sorveglianza del mercato:

Entrambi i formati sono accettati, ma CycloneDX è sempre più preferito per i casi d'uso di sicurezza grazie al suo supporto nativo per:

• Vulnerability Exploitability eXchange (VEX)
• Avvisi di sicurezza
• Grafi delle dipendenze

graph TD
    SBOM((SBOM))
    SCN[Nomi dei Componenti] --> SBOM
    VS[Versioni] --> SBOM
    SUP[Informazioni Fornitore] --> SBOM
    DEP[Dipendenze] --> SBOM
    LIC[Licenze] --> SBOM
    PURL[URL dei Pacchetti] --> SBOM
    HASH[Valori Hash] --> SBOM
    OSC[Componenti Open Source] --> SBOM
    style SBOM fill:#008080,color:#fff,stroke:#006666,stroke-width:4px
    style SCN fill:#e8f4f8,stroke:#008080,color:#333
    style VS fill:#e8f4f8,stroke:#008080,color:#333
    style SUP fill:#e8f4f8,stroke:#008080,color:#333
    style DEP fill:#e8f4f8,stroke:#008080,color:#333
    style LIC fill:#e8f4f8,stroke:#008080,color:#333
    style PURL fill:#e8f4f8,stroke:#008080,color:#333
    style HASH fill:#e8f4f8,stroke:#008080,color:#333
    style OSC fill:#e8f4f8,stroke:#008080,color:#333

Quali campi deve contenere un SBOM?

L'Ufficio federale tedesco per la sicurezza informatica (BSI) ha pubblicato TR-03183, che fornisce requisiti dettagliati di qualità SBOM che vanno oltre il minimo del CRA. Usalo come obiettivo di conformità.

Campi Obbligatori (BSI TR-03183)

• Nome e versione del componente
• Informazioni su fornitore/produttore
• Identificatori univoci (PURL, CPE)
• Relazioni di dipendenza
• Informazioni sulla licenza

Livelli di Qualità

TR-03183 definisce tre livelli di qualità:

Sebbene TR-03183 sia uno standard tedesco, sta diventando il punto di riferimento de facto per la conformità CRA in tutta l'UE.

Quali sono le scadenze di conformità SBOM del CRA?

Il CRA prevede un'applicazione graduale con scadenze precise. I produttori devono pianificare fin da ora, poiché la prima scadenza è a meno di un anno.

I prodotti immessi sul mercato dell'UE dopo dicembre 2027 che non dispongono di un SBOM conforme non potranno ottenere la marcatura CE e non potranno essere legalmente venduti. Questo vale tanto per i nuovi prodotti quanto per le nuove versioni di prodotti già esistenti.

Cosa succede in caso di non conformità?

La mancata conformità al CRA comporta conseguenze severe, sia dal punto di vista finanziario che operativo:

• Sanzioni fino a 15 milioni di EUR o il 2,5% del fatturato annuo globale (a seconda di quale importo sia maggiore)
• Ritiro del prodotto o ordine di richiamo dal mercato dell'UE
• Divieto di commercializzazione: i prodotti non conformi non possono ottenere la marcatura CE e non possono essere legalmente venduti nello Spazio Economico Europeo
• Impatto sulla catena di fornitura: i tuoi clienti potrebbero non poter utilizzare il tuo prodotto per la propria conformità CRA, creando un effetto a cascata lungo l'intera catena del valore
• Danno reputazionale: le azioni di sorveglianza del mercato sono pubbliche e possono influenzare la fiducia dei clienti e dei partner commerciali

Le autorità di sorveglianza del mercato di ciascuno Stato membro dell'UE saranno responsabili dell'applicazione di queste sanzioni. Le infrazioni più gravi, come la violazione dei requisiti essenziali di sicurezza dell'Allegato I, sono soggette alle sanzioni massime.

Errori SBOM comuni

1. Alberi delle dipendenze incompleti

Molti strumenti di analisi catturano solo le dipendenze dirette dichiarate nel manifest del progetto. Il CRA richiede le dipendenze transitive, ovvero i componenti da cui dipendono le tue dipendenze. Senza queste, il tuo SBOM sarà incompleto e non idoneo alla conformità.

Il Tuo Prodotto
├── Libreria A (diretta) ✓
│   ├── Libreria B (transitiva) ← Spesso mancante!
│   └── Libreria C (transitiva) ← Spesso mancante!
└── Libreria D (diretta) ✓

2. Informazioni sulla versione mancanti

Un SBOM senza informazioni accurate sulla versione è quasi inutile per la corrispondenza delle vulnerabilità. Assicurati che ogni componente abbia:

• Numeri di versione esatti (non intervalli)
• Valori hash per i componenti binari
• Identificatori PURL dove possibile

3. SBOM obsoleti

Un SBOM generato al momento della build ma mai aggiornato crea un falso senso di sicurezza. Implementa:

• Integrazione CI/CD per la generazione automatica di SBOM
• Controllo di versione per gli artefatti SBOM
• Rilevamento regolare delle deviazioni tra le build

4. Ignorare firmware e hardware

Per i prodotti con componenti embedded, ricorda di includere:

• Versioni e componenti del firmware
• Distinta base dell'hardware (HBOM) dove applicabile
• Componenti bootloader e kernel

Come iniziare

1. Verifica il tuo stato attuale: Generi SBOM oggi? In quale formato? Con quale copertura? Esegui un'analisi delle lacune rispetto ai requisiti del CRA e della BSI TR-03183 per capire quanto lavoro rimane.

2. Scegli il tuo formato: CycloneDX è la scelta migliore per i casi d'uso orientati alla sicurezza grazie al supporto VEX nativo. SPDX è più adatto alla conformità delle licenze e ha un'adozione più ampia. Molte organizzazioni adottano entrambi.

3. Automatizza la generazione: Integra la generazione SBOM nella tua pipeline CI/CD utilizzando strumenti come Syft, Trivy o cdxgen. Ogni build deve produrre automaticamente un SBOM aggiornato. I processi manuali non scalano e introducono errori.

4. Valida la qualità: Verifica i tuoi SBOM rispetto ai requisiti TR-03183. Tutti i campi obbligatori sono compilati? Le versioni sono esatte? Le dipendenze transitive sono incluse? Collega la validazione ai database delle vulnerabilità (NVD, OSV, GitHub Advisory Database, CISA KEV) per un monitoraggio proattivo.

5. Implementa il monitoraggio continuo: Ogni rilascio del prodotto deve generare un SBOM aggiornato e validato. Conserva gli SBOM per l'intero periodo di supporto del prodotto (minimo 5 anni secondo il CRA) e mantienili accessibili per le autorità di sorveglianza del mercato e per i clienti a valle.

6. Pianifica gli aggiornamenti: Stabilisci processi chiari affinché ogni versione del prodotto abbia un SBOM fresco, validato e tracciato nel sistema di controllo versione. Implementa il rilevamento delle deviazioni tra build successive per identificare modifiche impreviste nelle dipendenze. Gli SBOM obsoleti creano un falso senso di sicurezza e non soddisfano i requisiti del CRA.

Prossimi passi

Gestisci la conformità CRA su più prodotti? CRA Evidence tiene traccia dei tuoi SBOM, li valuta secondo i livelli di qualità BSI TR-03183 e segnala le nuove vulnerabilità non appena emergono.

Dopo aver scelto il formato, consulta la guida alla generazione di SBOM per automatizzare la creazione in CI/CD. Leggi la guida al fascicolo tecnico Allegato VII per capire dove si inserisce il tuo SBOM nella documentazione di conformità complessiva.

Questo articolo è solo a scopo informativo e non costituisce consulenza legale. Per indicazioni specifiche sulla conformità, consulta un consulente legale qualificato.