Che cosa contiene il vostro SBOM

Questo è un esempio. Il file su cui si basa è un piccolo SBOM dimostrativo, scritto da noi per questa pagina.

Abbiamo letto un file CycloneDX 1.6. Componenti: 12.

Secondo il file, è stato creato il 1 ottobre 2026.

Gli elementi minimi NTIA

Questi sono i campi di dati elencati nel documento "The Minimum Elements For a Software Bill of Materials (SBOM)", pubblicato dal Dipartimento del Commercio degli Stati Uniti e dall'NTIA il 12 luglio 2021.

Nome del fornitore: presente in 7 su 12 componenti
Nome del componente: presente in 12 su 12 componenti
Versione: presente in 11 su 12 componenti
Altri identificativi univoci (package URL): presenti in 9 su 12 componenti
Relazioni di dipendenza riportate: 12
Autore dei dati dell'SBOM: Example Devices
Data e ora: 2026-10-01T09:00:00Z

Che cosa chiede il regolamento sulla ciberresilienza a un SBOM

L'allegato I, parte II, punto 1, del regolamento (UE) 2024/2847 stabilisce che i fabbricanti:

identificano e documentano le vulnerabilità e i componenti contenuti nel prodotto con elementi digitali, redigendo anche una distinta base del software in un formato di uso comune e leggibile da un dispositivo automatico, che includa almeno le dipendenze di primo livello del prodotto;

Il file indica il prodotto che descrive: Sample Gateway.
Dipendenze dirette di quel prodotto, riportate nel file come relazioni di dipendenza: 5.

Il regolamento non indica alcun formato in particolare; chiede un formato di uso comune e leggibile da un dispositivo automatico. L'articolo 13, paragrafo 24, consente alla Commissione di specificare il formato e gli elementi dell'SBOM mediante atti di esecuzione.

Che cosa si può sorvegliare alla ricerca di vulnerabilità

I dati sulle vulnerabilità vengono abbinati a un componente tramite il suo package URL.

Componenti con un package URL che DevKit Dossier può confrontare con i dati pubblici sulle vulnerabilità: 7 su 12.
Senza package URL: 3.
Di un tipo di pacchetto non ancora coperto da DevKit Dossier: 1.
Senza versione: 1.

Che cosa non siamo riusciti a leggere senza intoppi

Niente: ogni voce è stata letta.

Un singolo controllo è un'istantanea. Ogni giorno si scoprono nuove vulnerabilità.

DevKit Dossier archivia l'SBOM di ogni release, lo confronta ogni giorno con le nuove vulnerabilità e ne tiene il registro con data e ora. Vi aiuta a conservare le vostre prove documentali; non sostituisce la vostra valutazione.

Controlla un altro file

Non sapete che cosa chiede il CRA a un SBOM? Leggete la guida.

Il rapporto conteggia ciò che il file contiene. Non è un'attestazione di conformità e non costituisce consulenza legale.