SBOM: che cos'è, che cosa chiede il Cyber Resilience Act e come partire
La SBOM (Software Bill of Materials) è la distinta base del software: l'elenco dei componenti software contenuti in un prodotto, con nome, versione e fornitore di ciascuno, come la distinta base di un macchinario elenca le parti meccaniche. Serve a una cosa precisa: sapere, quando esce una vulnerabilità, se e dove tocca i tuoi prodotti.
Aggiornato al 14 ottobre 2026 · Questa pagina ha scopo informativo e non costituisce consulenza legale.
Com'è fatta, con un esempio
Un firmware moderno contiene decine o centinaia di componenti di terzi: librerie di rete, di cifratura, un sistema operativo, interpreti, driver. Una SBOM li elenca uno per uno. Qui accanto, un estratto semplificato per un controllore immaginario.
- Componente e versione: senza la versione, l'elenco non serve a capire se una vulnerabilità ti riguarda.
- Fornitore e identificativo: un codice univoco (per esempio un «purl») permette il confronto automatico con le banche dati di vulnerabilità.
- Dipendenze: quali componenti ne tirano dentro altri. Il regolamento chiede almeno il primo livello.
- Data e versione del prodotto: una SBOM vale per una versione precisa; a ogni nuovo rilascio va aggiornata.
Che cosa chiede il Cyber Resilience Act
È obbligatoria
Il testo ufficiale: i fabbricanti «identificano e documentano le vulnerabilità e i componenti contenuti nel prodotto con elementi digitali, redigendo anche una distinta base del software in un formato di uso comune e leggibile da un dispositivo automatico, che includa almeno le dipendenze di primo livello del prodotto».
Allegato I, Parte II, punto 1. Obbligo pieno dall'11 dicembre 2027.
Non è pubblica
La SBOM fa parte della documentazione tecnica e si consegna all'autorità di vigilanza su richiesta motivata. Il regolamento dice espressamente che i fabbricanti non devono essere obbligati a renderla pubblica. Renderla disponibile ai clienti è una scelta, sempre più spesso richiesta dai contratti.
Allegato VII; considerando 77.
Nessun formato imposto
Il regolamento non fissa formato e campi. Nella pratica si usano due formati aperti, CycloneDX e SPDX, e come riferimento tecnico la linea guida tedesca BSI TR-03183, che molti clienti europei adottano nei loro requisiti.
Articolo 13, paragrafo 24: la Commissione può precisare il formato con un atto di esecuzione; al 6 ottobre 2026 non lo ha fatto.
Una SBOM «valida» può essere inutile
Il minimo di legge è il primo livello di dipendenze. Nella pratica, per sapere se una vulnerabilità ti riguarda, servono anche i livelli successivi e dati completi. Studi del 2026 su decine di migliaia di SBOM in circolazione mostrano che più della metà non dichiara alcuna relazione tra i componenti e che strumenti diversi producono elenchi molto diversi per lo stesso software.
Per questo Assiduo non si limita a chiedere «hai una SBOM?», ma ne misura la maturità: Iniziale, Intermedia, Avanzata o Da verificare.
Che cosa guardiamo
- Copertura: ci sono tutti i componenti, compresi quelli indiretti?
- Versioni e identificativi: ogni componente è riconoscibile dalle banche dati?
- Fornitore e licenza: si sa da dove viene ogni parte?
- Provenienza: generata dalla build reale o compilata a mano?
- Aggiornamento: corrisponde alla versione in circolazione?
- Fornitori: quanti ti danno la loro SBOM, e in che qualità?
Anche se parti da zero
Molte aziende non hanno ancora una SBOM, o ne hanno una incompleta. Si può partire comunque: il configuratore non chiede di caricare nulla e parte dal tuo perimetro reale. Se non sei ancora in grado di produrre le SBOM, ti invita a contattarci: possiamo aiutarti a ottenerle, dagli strumenti di sviluppo, dal firmware, dai fornitori, e a tenerle aggiornate a ogni rilascio. Per l'Inquadramento le SBOM servono: sono la base del rapporto sulla tua situazione CRA.
Inizia la configurazione gratuitaCostruttori di macchine e integratori
Per chi integra controllori, pannelli operatore, router per l'assistenza remota e altri componenti digitali di terzi, il problema non è tanto generare una SBOM propria quanto ottenere e verificare quelle dei fornitori. Assiduo ti aiuta a chiederle, a valutarne la qualità e a collegarle ai tuoi prodotti.
Chiedere
Quali informazioni chiedere a un fornitore, in che formato, con quale frequenza di aggiornamento.
Verificare
Leggere una SBOM ricevuta senza essere sviluppatori: completezza, versioni, identificativi, data.
Collegare
Associare ogni componente di terzi ai tuoi prodotti e alle tue versioni, così che un avviso del fornitore trovi subito la strada.
Domande frequenti sulla SBOM
Il CRA impone CycloneDX o SPDX?
No. Chiede un formato «di uso comune e leggibile da un dispositivo automatico». CycloneDX e SPDX sono i due formati aperti più diffusi e soddisfano entrambi questo requisito.
Basta il primo livello di dipendenze?
È il minimo richiesto dal regolamento. Per capire se una vulnerabilità ti riguarda spesso non basta, perché molte falle stanno nei componenti indiretti. Conviene arrivare più in profondità, con gradualità.
Devo dare la SBOM ai clienti?
Il regolamento non lo impone. Molti clienti, soprattutto quelli soggetti a NIS2 e i grandi gruppi, la chiedono per contratto: averla pronta è un vantaggio commerciale.
Che cos'è una dichiarazione VEX?
È il documento con cui il fabbricante dichiara se una vulnerabilità nota in un componente riguarda effettivamente il suo prodotto (per esempio «non applicabile», perché la parte vulnerabile non è usata). Evita di rincorrere falle che non ti riguardano e dà ai clienti una risposta documentata.
Ho solo un firmware compilato, senza i sorgenti. Si può fare una SBOM?
Sì, con strumenti di analisi del binario, con risultati meno precisi di quelli ottenuti dalla build. È un punto che valutiamo nell'Inquadramento.
Parti dal tuo perimetro reale
Non serve avere già una SBOM completa. Rispondi a poche domande sul tuo contesto e ottieni una prima configurazione del servizio.
Configura il tuo presidioOppure leggi la guida al Cyber Resilience Act.