SBOM sta per Software Bill of Materials. Tradotto in una lingua che in officina si capisce meglio: è la distinta base, ma dei componenti digitali. Se la distinta di una macchina elenca cuscinetti, motori e riduttori con i loro codici, l'SBOM elenca controlli numerici, PLC, pannelli operatore, software e firmware, ognuno con la sua versione.
È un concetto semplice. Il motivo per cui improvvisamente riguarda ogni costruttore di macchine lo è altrettanto: senza, è difficile rispettare l'obbligo di segnalazione applicabile dall'11 settembre 2026.
Il Cyber Resilience Act la nomina esplicitamente. Nell'Allegato I, tra i requisiti di gestione delle vulnerabilità, si legge che i fabbricanti di prodotti con elementi digitali:
Tre cose in una riga sola, e vale la pena leggerle bene. Formato di uso comune: non un foglio Excel fatto a modo vostro, ma uno standard riconosciuto. Leggibile da un dispositivo automatico: deve poterlo elaborare una macchina, non solo una persona. Almeno le dipendenze di primo livello: non basta scrivere "PLC Siemens", serve sapere cosa c'è dentro al livello immediatamente sotto.
Questo requisito sta nell'Allegato I, e l'Allegato I fa parte della struttura del regolamento che si applica dall'11 dicembre 2027. Quello che si applica prima, dall'11 settembre 2026, è l'Articolo 14, cioè l'obbligo di segnalare le vulnerabilità sfruttate attivamente e gli incidenti gravi.
Quindi, formalmente: dall'11 settembre 2026 non è l'SBOM in sé a essere obbligatorio. È l'obbligo di segnalazione. Ma qui sta il punto pratico che rende la distinzione accademica.
Per un costruttore di macchine, l'inventario utile è quello che permette di rispondere alla domanda "questa vulnerabilità mi riguarda?" in pochi minuti. Serve quindi, per ogni linea di prodotto:
La versione è il punto più difficile da ricostruire. Sapere di montare un certo PLC non basta: se l'advisory dice che sono colpite le versioni firmware fino alla 2.9.2, la domanda diventa quale versione avete montato, su quali macchine, e presso quali clienti. Senza quel dato, non c'è segnalazione possibile né rimedio possibile.
La reazione istintiva è pensare: l'SBOM me lo dà Siemens, o chi per lui. In parte è vero, perché il fornitore conosce il proprio componente. Ma non risolve il problema, per due motivi.
Il primo: l'obbligo ricade sul fabbricante della macchina, non sul fornitore del componente. Chi immette sul mercato il prodotto finito è il costruttore, e a lui si applica l'Articolo 14. Il fornitore fornisce informazioni, non si assume l'obbligo al posto vostro.
Il secondo, più pratico: l'SBOM di un componente non è l'SBOM della vostra macchina. La vostra macchina monta più componenti, di fornitori diversi, in versioni che avete scelto voi, magari diverse da linea a linea e da anno di produzione. La composizione è vostra, e solo voi potete ricostruirla.
Il punto di partenza è più vicino di quanto sembri. Le informazioni ci sono già, sparse: nel fascicolo tecnico, nelle distinte di produzione, negli schemi elettrici, nei manuali, negli ordini ai fornitori. Il lavoro non è inventare da zero, è raccogliere, normalizzare e tenere aggiornato.
Poi c'è la parte che l'inventario da solo non risolve, ed è quella che conta davvero: una volta che sapete cosa montate, il passo successivo è confrontarlo con continuità con le vulnerabilità nuove che escono, e sapere quando una di queste compare negli indicatori pubblici di sfruttamento. Quello è il monitoraggio: il CRA non lo impone di per sé ai fini della segnalazione, ma è il secondo dei tre presidi che rendono sostenibile il termine delle 24 ore, e anticipa gli obblighi di gestione delle vulnerabilità applicabili dall'11 dicembre 2027.
Cinque domande sul vostro prodotto, un verdetto sulle tre capacità che servono per reggere il termine delle 24 ore. Gratuito, senza registrazione per vedere il risultato.
Fai la verificaPer capire cosa richiede l'obbligo applicabile dall'11 settembre, leggi la guida all'Articolo 14. Per sapere cosa si rischia, la pagina sulle sanzioni del CRA.