Requisiti SBOM CRA: CycloneDX, SPDX e HBOM

Gli SBOM sono obbligatori sotto il CRA per ogni prodotto con elementi digitali. Vedi esattamente cosa prescrive la norma e cosa no.

Entrambi i formati sono conformi al CRA. Confronti CycloneDX e SPDX su strumenti, supporto VEX e compatibilità con BSI TR-03183 prima di fare una scelta definitiva.

Il CRA non nomina campi né versioni minime. BSI TR-03183 colma questa lacuna con campi obbligatori, un floor a CycloneDX 1.6 e SPDX 3.0.1.

Lo SBOM elenca il software, ma Articolo 3(1), Articolo 13(5) e Allegato I riguardano anche l'hardware. Scopra quando un HBOM è necessario e cosa deve contenere.

Sei lacune SBOM che emergono in fase di audit: alberi superficiali, snapshot obsoleti, campi identificativi mancanti e le altre che la maggior parte dei fabbricanti trascura prima di dicembre 2027.

Articolo 14 rende obbligatoria la segnalazione delle vulnerabilità dall'11 settembre 2026. L'applicazione completa scatta l'11 dicembre 2027. Le sanzioni raggiungono 15 milioni di EUR o il 2,5% del fatturato.