La SBOM è obbligatoria? Cosa prevede il CRA
Sì: dall'11 dicembre 2027 ogni fabbricante che mette sul mercato europeo un prodotto con elementi digitali deve redigere una SBOM (Software Bill of Materials, la distinta base del software) e tenerla nella documentazione tecnica. Il Cyber Resilience Act (CRA) però dice meno di quanto molti si aspettano: non impone un formato, non chiede di pubblicarla, non fissa una profondità oltre il primo livello. Qui separiamo ciò che il regolamento chiede da ciò che lascia a te, e da ciò che i clienti chiedono comunque.
In sintesi
La SBOM è obbligatoria per i fabbricanti, come parte della documentazione tecnica, per i prodotti messi sul mercato dall'11 dicembre 2027. Non è un documento da pubblicare né da consegnare a chiunque: si tiene a disposizione dell'autorità di vigilanza del mercato, che può chiederla. Importatori e distributori non la redigono, ma rispondono del fatto che il fabbricante abbia fatto la sua parte. Tutto il resto (formato, profondità, frequenza di aggiornamento, condivisione con i clienti) è una scelta tua, o un requisito che arriva dai contratti.
Il riferimento normativo
L'obbligo è nell'Allegato I, Parte II, punto 1: i fabbricanti «identificano e documentano le vulnerabilità e i componenti contenuti nel prodotto con elementi digitali, redigendo anche una distinta base del software in un formato di uso comune e leggibile da un dispositivo automatico, che includa almeno le dipendenze di primo livello del prodotto». Tre espressioni pesano più delle altre.
- «Identificano e documentano». È un'attività che continua per tutto il periodo di assistenza, non un file prodotto una volta.
- «Formato di uso comune e leggibile da un dispositivo automatico». Non un PDF né un foglio di calcolo: un formato che un programma può confrontare con le banche dati delle vulnerabilità.
- «Almeno le dipendenze di primo livello». I componenti che il prodotto usa direttamente. È un minimo, non un obiettivo: molte vulnerabilità stanno nei componenti indiretti.
La SBOM compare anche tra i contenuti della documentazione tecnica (Allegato VII). Il fabbricante la redige prima di mettere il prodotto sul mercato, la tiene aggiornata durante il periodo di assistenza (articolo 31) e la conserva per dieci anni o per tutto il periodo di assistenza, se più lungo (articolo 13, paragrafo 13).
A chi va consegnata
| Chi la chiede | Devi darla? | Perché |
|---|---|---|
| Autorità di vigilanza del mercato (in Italia l'ACN) | Sì, su richiesta | Fa parte della documentazione tecnica che l'autorità può chiedere per verificare la conformità (Allegato VII; considerando 77). |
| Organismo notificato | Sì, se il tuo prodotto passa da una valutazione di terza parte | L'organismo esamina la documentazione tecnica, SBOM compresa, per i prodotti importanti e critici che seguono quelle procedure (Allegato VIII). |
| Il pubblico | No | Il regolamento dice espressamente che i fabbricanti non devono essere obbligati a renderla pubblica (considerando 77). |
| I clienti | Non per il CRA | Nessun articolo lo impone. La chiedono però i contratti, soprattutto dei clienti soggetti a NIS2, dei grandi gruppi e di chi integra il tuo prodotto in un prodotto suo. |
| Importatori e distributori | Non per il CRA | Devono verificare che tu abbia redatto la documentazione tecnica (articoli 19 e 20): chiedere la SBOM è il modo più semplice per farlo. |
Le richieste dei clienti
Un caso tipico. Un cliente soggetto a NIS2 scrive all'ufficio commerciale: «Per il nostro registro dei fornitori ci serve la SBOM del controllore che ci avete fornito, in formato CycloneDX o SPDX, entro trenta giorni». Il regolamento non obbliga a rispondere; il contratto, o il prossimo ordine, sì. Che cosa conviene fare:
- chiedere a quale versione del prodotto si riferisce la richiesta: una SBOM vale per una versione precisa;
- rispondere con il file nel formato richiesto, con data di creazione, versione del prodotto e nome dello strumento che l'ha generata;
- se la SBOM non c'è ancora, dirlo e indicare una data: un elenco parziale compilato a mano per chiudere la pratica resta agli atti;
- se il contenuto è riservato, regolare la consegna con un accordo di riservatezza, non con un rifiuto.
Chi riceve una SBOM dovrebbe leggerla prima di archiviarla: nell'esempio commentato ci sono cinque controlli da fare senza strumenti.
I punti che il regolamento lascia aperti
Il CRA lascia aperti cinque punti, e per ognuno la pratica ha già una risposta.
| Punto aperto | Che cosa dice il regolamento | Che cosa si fa nella pratica |
|---|---|---|
| Formato | Nessuno imposto. La Commissione può precisare formato ed elementi con un atto di esecuzione (articolo 13, paragrafo 24); al 13 ottobre 2026 non lo ha fatto. | CycloneDX o SPDX, i due formati aperti più diffusi. Come riferimento per i campi, la linea guida tedesca BSI TR-03183-2, che molti clienti europei citano nei loro requisiti. |
| Profondità | Almeno il primo livello di dipendenze. | Tutti i livelli che lo strumento di generazione riesce a vedere. Più della metà delle SBOM in circolazione non dichiara alcuna relazione tra componenti: sono valide sulla carta e poco utili nei fatti. |
| Aggiornamento | Nessuna cadenza fissa; la documentazione tecnica va tenuta aggiornata durante il periodo di assistenza. | Una SBOM per ogni versione rilasciata, generata dalla build e non riscritta a mano. |
| Componenti di terzi | Il fabbricante esercita la dovuta diligenza quando integra componenti di terzi, anche open source (articolo 13, paragrafo 5). | Si chiede la SBOM al fornitore, se ne verifica la qualità e la si collega alla propria. Dove il fornitore non la dà, si analizza il firmware ricevuto. |
| Chi la produce | La responsabilità è del fabbricante. | Il lavoro può farlo uno strumento, un fornitore o un consulente; la firma sulla documentazione tecnica resta tua. |
Che cosa cambia tra oggi e il 2027
Le date del regolamento disegnano due momenti diversi.
- Dall'11 settembre 2026 sono in vigore gli obblighi di segnalazione: una vulnerabilità attivamente sfruttata in un tuo prodotto va preannunciata entro 24 ore. Per dire in 24 ore se una vulnerabilità pubblicata in una libreria riguarda i tuoi prodotti devi sapere quali librerie contengono, e in quale versione. La SBOM non è ancora dovuta, ma senza di essa la segnalazione nei termini è affidata alla memoria delle persone.
- Dall'11 dicembre 2027 si applicano tutti gli obblighi, e la SBOM entra nella documentazione tecnica dei prodotti messi sul mercato da quella data. I prodotti messi sul mercato prima restano soggetti ai requisiti essenziali solo se subiscono una modifica sostanziale (articolo 69, paragrafo 2); gli obblighi di segnalazione valgono comunque.
In mezzo ci sono quattordici mesi: il tempo per generare le SBOM dalla build, chiederle ai fornitori e correggere le mancanze. Le date complete sono nella guida alle scadenze.
Domande frequenti
Sono un importatore: devo avere la SBOM dei prodotti che importo?
Non devi redigerla. Devi però verificare che il fabbricante abbia svolto la valutazione della conformità e redatto la documentazione tecnica (articolo 19): chiedergli la SBOM è il controllo più concreto. Se il prodotto porta il tuo marchio, il fabbricante sei tu, con tutti gli obblighi. La guida per importatori e distributori entra nel dettaglio.
Costruisco macchine con dentro un controllore di terzi. La SBOM del controllore la fa il fornitore o io?
La SBOM del tuo prodotto deve coprire il software che contiene, compreso quello del controllore. Il modo corretto è ottenere la SBOM dal fornitore e collegarla alla tua; se non la fornisce, puoi dichiarare il componente con nome, versione e fornitore e analizzare il firmware ricevuto. La dovuta diligenza sui componenti di terzi resta tua.
È sufficiente un foglio di calcolo con l'elenco dei componenti?
No. Il regolamento chiede un formato «leggibile da un dispositivo automatico», confrontabile con le banche dati delle vulnerabilità senza ricopiare nulla. Un foglio di calcolo è un buon punto di partenza per l'inventario, ma va esportato in CycloneDX o SPDX, con versioni e identificativi.
Da dove cominciare
Se la SBOM dei tuoi prodotti non c'è ancora, o non sai quanto sia buona, non è un motivo per rimandare. Il configuratore di Assiduo parte da dove sei e, senza caricare file, ti dice se il tuo perimetro rientra nel servizio. Nell'Inquadramento le SBOM servono: le leggiamo, ne misuriamo la maturità e ti restituiamo un rapporto puntuale sulla tua situazione CRA. Se non riesci a produrle, possiamo aiutarti.
Fonti: regolamento (UE) 2024/2847, Allegato I Parte II punto 1, Allegati VII e VIII, articolo 13 paragrafi 5, 13 e 24, articoli 19, 20, 31 e 69, considerando 77; BSI TR-03183-2; ENISA, «SBOM Adoption State of Play 2026». Consultate il 13 ottobre 2026. Leggi anche: la guida alla SBOM.