Vad är en SBOM? Förklaring av säkerhet i leveranskedjan för programvara

En programvaruförteckning (SBOM) är en formell, maskinläsbar inventering av alla komponenter, bibliotek och beroenden som utgör en programvara, tillsammans med relationerna i leveranskedjan mellan dem.

En SBOM listar vad en programvara faktiskt består av: dess förstapartskod, tredjepartsbibliotek, öppen källkodspaket och deras versioner och relationer. Säkerhetsteam använder den för att snabbt hitta sårbara komponenter när en ny brist avslöjas, för att uppfylla upphandlings- och myndighetskrav och för att hantera risker i hela programvaruleveranskedjan. De två dominerande SBOM-formaten är CycloneDX och SPDX.

Key Takeaways

• En SBOM är en maskinläsbar inventering av varje komponent i en programvara, som används för att hitta sårbarheter, uppfylla efterlevnadskrav och hantera risker i leveranskedjan.
• De två dominerande, allmänt accepterade SBOM-formaten är CycloneDX (OWASP, standardiserat som ECMA-424) och SPDX (en ISO/IEC-standard). De flesta verktyg kan producera båda.
• Den amerikanska federala SBOM-policyn ändrades under 2025 och 2026: EO 14306 (juni 2025) ändrade tidigare order och OMB M-26-05 (januari 2026) övergick till en myndighetsledd, riskbaserad metod. SBOM är inte längre enhetligt obligatoriska genom attestering, men myndigheter kan fortfarande kräva dem.
• EU:s lag om cyberresiliens, som trädde i kraft sedan december 2024, inför SBOM-relaterade skyldigheter för produkter med digitala element, med viktiga tillämpningsdatum 2026 och 2027.
• A Kryptografisk materialförteckning (CBOM) utvidgar SBOM-idén till kryptografiska tillgångar, vilket gör den till bron mellan säkerhet i programvaruleveranskedjan och post-kvantumberedskap.

Varför säkerhet i programvaruleveranskedjan är viktig

Modern programvara är sammansatt, inte skriven från grunden. En typisk applikation hämtar hundratals komponenter med öppen källkod och tredjepartskomponenter, som var och en kan hämta sina egna beroenden. Det beroendeträdet är programvarans leveranskedja, och varje komponent i det är en potentiell ingångspunkt för en angripare.

Två incidenter gjorde detta konkret för hela branschen. SolarWinds-attacken 2020 infogade skadlig kod i en legitim, signerad programuppdatering som sedan distribuerades till tusentals organisationer. Log4Shell-sårbarheten 2021 i det allmänt använda Log4j-loggbiblioteket lämnade otaliga applikationer exponerade, och många organisationer kunde inte snabbt svara på en grundläggande fråga: använder vi ens Log4j, och var? En SBOM är det som låter en organisation svara på den frågan på minuter istället för veckor.

Vad som ingår i en SBOM

Den amerikanska NTIA publicerade en grundläggande uppsättning minimielement för en SBOM år 2021, som de flesta ramverk fortfarande refererar till. En SBOM registrerar som minimum:

• Komponentnamn och leverantör: Vad varje komponent är och vem som har producerat den.
• Version. Den specifika versionen av varje komponent, så att kända sårbara versioner kan identifieras.
• Unika identifierare: Maskinläsbara identifierare som paket-URL (purl) eller CPE.
• Beroendeförhållanden: Hur komponenter relaterar till varandra, inklusive transitiva beroenden.
• Författare och tidsstämpel: Vem genererade SBOM och när.

År 2025 publicerade CISA ett utkast till en uppdatering av minimikraven för elementen som lägger till fält som komponenthash, licens och genereringskontext. Från och med juli 2026 är minimikraven för CISA 2025 fortfarande ett utkast för offentliga kommentarer och skapar inga nya rättsliga krav, så NTIA 2021-baslinjen är fortfarande det säkra utgångsläget.

SBOM-format: CycloneDX och SPDX

Två format dominerar, och båda accepteras i princip i alla nuvarande ramverk. Det praktiska rådet är att välja verktyg som kan avge endera, eftersom olika kunder och tillsynsmyndigheter kan begära olika format.

Attribut	CycloneDX	SPDX
Steward	OWASP; standardiserad som Ecma ECMA-424	Linux Foundation; standardiserad som ISO/IEC 5962
Ursprungligt fokus	Säkerhet och risk	Efterlevnad av licenser för öppen källkod
BOM-typer	SBOM, CBOM, HBOM, SaaSBOM, OBOM, AI/ML-BOM	Främst SBOM, med växande säkerhetsområden
format	JSON, XML, protokollbuffertar	JSON, YAML, RDF, taggvärde, kalkylblad
Kryptografistöd	Ursprunglig CBOM (sedan v1.6)	Framväxande

För en djupare sida-vid-sida-beskrivning, se EC:s artikel om CBOM vs SBOM , och förklaringen av vad CycloneDX är.

SBOM:s regelverk år 2026

SBOM-reglering är verklig men under utveckling, och den amerikanska federala bilden förändrades avsevärt under 2025 och 2026. Det är värt att ange det korrekt snarare än att upprepa äldre påståenden om att en enda exekutiv order föreskriver SBOM överallt.

USA

Executive Order 14028 (maj 2021) inledde modern federal SBOM-antagning och ålade NTIA att publicera minimikrav. Executive Order 14306 (6 juni 2025) ändrade den mellanliggande EO 14144 och tog bort flera utökade attesteringsmandat samtidigt som säkerhet i programvaruleveranskedjan, postkvantkryptografi och säker utveckling bibehölls som prioriteringar. OMB Memorandum M-26-05 (23 januari 2026) upphävde sedan de tidigare attesteringspromemorianerna M-22-18 och M-23-16 och flyttade federala myndigheter till en myndighetsledd, riskbaserad strategi.

Den praktiska effekten: federala myndigheter är inte längre enhetligt skyldiga att samla in ett standardiserat intygsformulär, men de kan fortfarande kräva SBOM:er kontraktuellt baserat på sin egen riskbedömning. M-26-05 noterar specifikt att myndigheter som kräver en SBOM från en molntjänstleverantör bör begära en som täcker produktionsmiljön under körning. Sektor- och myndighetsmandat fortsätter också, inklusive en policy från den amerikanska armén som utfärdades i början av 2025 och FDA:s SBOM-krav för medicintekniska produkter som har gällt sedan mars 2023.

europeiska unionen

EU:s lag om cybermotståndskraft (CRA) trädde i kraft i december 2024 och gäller tillverkare, importörer och distributörer av produkter med digitala element som säljs på EU-marknaden. Den inför skyldigheter gällande hantering av sårbarheter och transparens relaterade till SBOM, med en tidslinje för tillämpning i flera steg. Skyldigheter gällande rapportering av sårbarheter och incidenter gäller från och med den 11 september 2026, och de bredare kraven gäller från och med den 11 december 2027. Organisationer som säljer digitala produkter till EU bör planera mot dessa datum redan nu.

Resans riktning

Även där specifika attesteringskrav har mildrats har den underliggande förväntan inte försvunnit: köpare, tillsynsmyndigheter och stora företag förväntar sig i allt högre grad att programvarutillverkare ska kunna producera en maskinläsbar SBOM på begäran. Det säkraste ställningstagandet är att behandla SBOM-generering som en permanent funktion, inte en engångsföreteelse för efterlevnad.

Hur SBOM används i praktiken

• Svar på sårbarhet: När en ny CVE landar, fråga dina SBOM:er för att hitta alla produkter som levererar den berörda komponenten och versionen.
• Upphandlings- och leverantörsrisk: Begär SBOM:er från leverantörer för att förstå vad ni faktiskt använder innan ni köper.
• Licensefterlevnad: Spåra öppen källkodslicenser över beroendeträdet för att undvika rättslig exponering.
• Incidentrespons: Under en incident förkortar en SBOM tiden för att bestämma explosionsradie.
• Kontinuerlig övervakning: Generera en SBOM för varje build så att inventariet förblir aktuellt när koden ändras.

Från SBOM till CBOM: Kryptografikopplingen

En SBOM visar vilka programvarukomponenter du kör. Den berättar inte i sig vilken kryptografi dessa komponenter använder. Den luckan är viktig nu eftersom migreringen till postkvantkryptografi (PQC) är beroende av att veta exakt vilka algoritmer, nyckelstorlekar, certifikat och protokoll som används i en miljö.

En kryptografisk materiallista (CBOM) utökar SBOM-konceptet till kryptografiska tillgångar. Den inventerar algoritmer, nycklar, certifikat och de protokoll som använder dem, samt deras relationer till programvarukomponenter. CycloneDX lade till inbyggt CBOM-stöd i version 1.6 (april 2024) och utökade det i version 1.7 (oktober 2025). Eftersom en CBOM kan uttryckas i samma CycloneDX-dokument som en SBOM, har en organisation som redan genererar SBOM:er en naturlig övergång till kryptografisk inventering.

Detta är bron mellan säkerhet i programvaruleveranskedjan och kvantberedskap. NIST standardiserade sina första postkvantalgoritmer i augusti 2024 ( ML-KEM som FIPS 203 och ML-DSA som FIPS 204), och man kan inte planera en migrering för kryptografi som man inte har inventerat. CBOM är hur inventeringen byggs upp och hålls aktuell.

Hur krypteringskonsulting hjälper

Encryption Consultings CBOM Secure- tjänst utökar insynen i programvaruleveranskedjan till kryptografi. Den skannar din miljö efter algoritmer, nycklar, certifikat och protokoll och producerar en kryptografisk stycklista i CycloneDX-format som placeras bredvid dina befintliga SBOM:er, så kryptografisk risk blir lika synlig som komponentrisk. För den programvara du bygger och levererar skyddar CodeSign Secure integritetsänden av leveranskedjan genom att centralisera kodsignering bakom en FIPS 140-2 nivå 2 HSM, så att de artefakter som din SBOM beskriver också är verifierbart autentiska och manipuleringssäkra. Stöds av ISO/IEC 27001:2022 och SOC 2-certifierade metoder.

Vanliga frågor om partihandel med mat och dryck

Vad är en SBOM, enkelt uttryckt?

En SBOM, eller Software Bill of Materials, är en lista över allt som ingår i en programvara: dess egen kod plus alla tredjeparts- och öppen källkodskomponenter som den är beroende av, med versioner och relationer. Tänk på det som en ingrediensetikett för programvara. När en sårbarhet hittas i en ingrediens låter en SBOM en organisation snabbt se vilka av dess produkter som innehåller den ingrediensen och behöver åtgärdas.

Vad är skillnaden mellan en SBOM och en CBOM?

En SBOM inventerar programvarukomponenter: bibliotek, paket och deras versioner. En CBOM (Cryptography Bill of Materials) inventerar kryptografiska tillgångar: algoritmer, nycklar, certifikat och protokoll. En CBOM utökar SBOM-idén för att besvara en annan fråga, som inte bara är vilken programvara du kör utan vilken kryptografi den använder. CycloneDX kan uttrycka båda i samma dokument, och CBOM är ett grundläggande steg mot post-kvantkryptografisk beredskap.

Är SBOMs lagstadgade?

Det beror på jurisdiktion och sektor. I USA ändrades den federala SBOM-policyn under 2025 och 2026: EO 14306 och OMB Memorandum M-26-05 flyttade myndigheter till en riskbaserad metod, så SBOM:er är inte längre enhetligt obligatoriska genom ett standardiserat intygsformulär, även om myndigheter fortfarande kan kräva dem kontraktuellt. I EU införs SBOM-relaterade skyldigheter för produkter med digitala element, med fasning fram till 2026 och 2027. FDA kräver SBOM:er för vissa medicintekniska inlämningar.

Vilka är de viktigaste SBOM-formaten?

De två dominerande formaten är CycloneDX och SPDX. CycloneDX, ett OWASP-projekt standardiserat som Ecma ECMA-424, har sitt ursprung med ett säkerhetsfokus och stöder flera BOM-typer inklusive kryptografi (CBOM). SPDX, standardiserat som ISO/IEC 5962, har sitt ursprung med ett fokus på licensefterlevnad. Båda är allmänt accepterade, och de flesta SBOM-verktyg kan producera båda formaten, så det praktiska valet beror ofta på vad en specifik kund eller tillsynsmyndighet efterfrågar.

Hur hjälper en SBOM mot attacker av typen SolarWinds eller Log4Shell?

I både SolarWinds-attacken 2020 och Log4Shell-sårbarheten 2021 var den svåraste tidiga frågan för många organisationer helt enkelt om de var drabbade och var. Med SBOM-filer registrerade för sin programvara kan organisationer fråga efter en specifik komponent och version och omedelbart lista alla drabbade produkter. Detta förvandlar en flerveckorsutredning till en snabb sökning, vilket är skillnaden mellan begränsad och utbredd påverkan under en aktiv incident.

Vad är kopplingen mellan SBOM och postkvantkryptografi?

Post-kvantmigrering kräver att man vet vilka kryptografiska algoritmer och nyckelstorlekar som används i era system, eftersom algoritmer som RSA och ECDSA måste ersättas med kvantresistenta standarder som ML-KEM (FIPS 203) och ML-DSA (FIPS 204). En kryptografisk materiallista (CBOM), som utökar SBOM-konceptet till kryptografiska tillgångar, är hur den inventeringen byggs upp. Organisationer som redan producerar SBOM:er kan utöka samma CycloneDX-verktyg för att producera en CBOM.

Utöka leveranskedjans säkerhet till din kryptografi

En SBOM säkrar dina programvarukomponenter. En CBOM säkrar kryptografin inuti dem, och det är det första steget mot post-kvantumberedskap. Se hur CBOM Secure bygger ditt kryptografiska inventarium, eller utforska CodeSign Secure för att skydda integriteten hos den programvara du levererar.