Гайд ЕС по CRA на 84 страницах ни разу не упоминает SBOM

Анализ 84-страничного руководства Еврокомиссии C(2026) 5252 к закону о киберустойчивости (CRA) показал: термины SBOM, CycloneDX и SPDX не встречаются ни разу, хотя регламент (EU) 2024/2847 требует составлять SBOM в машиночитаемом формате. Обязанность сообщать об эксплуатируемых уязвимостях уже действует с 11 сентября 2026 года, основные требования вступят в силу 11 декабря 2027 года.

• В 84-страничном гайде ЕС по CRA нет ни одного упоминания SBOM, CycloneDX и SPDX
• Регламент (EU) 2024/2847 требует SBOM в машиночитаемом формате, но формат не задан
• Обязанность сообщать об уязвимостях действует с 11 сентября 2026 года
• Основные требования CRA начнут применяться с 11 декабря 2027 года