Il Report di ENISA “SBOM Adoption State of Play-2026” sullo stato dell’adozione del Software Bill of Materials, pubblicato il 9 giugno 2026, rilascia un’interessante analisi su un aspetto solo apparentemente tanto specialistico.
In realtà l’argomento di base, che ha sicuramente importanti profili che di solito restano confinati negli ambiti puramente tecnici, presenta anche una valenza più ampia collegata ad aspetti non secondari di governance.
La survey che ha dato vita al Rapporto era stata lanciata a fine 2025 ed ha interpellato industrie di diverse dimensioni.
Indice degli argomenti
Software Bill of Materials e governance della supply chain
Si volevano raccogliere, con questa iniziativa, dati concreti sulle modalità intraprese per corrispondere alla esigenza di mappare anche la catena di fornitura del software.
L’importanza della catena di fornitura è ormai decollata, sia nella trattazione degli elementi di rischio cyber da parte di specialisti che nella percezione di chi magari, seppure non possedendo particolare preparazione tecnica, ha acquisito la giusta consapevolezza in materia.
Per chiarire il contesto nel quale è maturato il tema della Software Bills of Materials occorre rifarci alle problematiche che i produttori di software incontravano nel gestire rischi o problemi legati a vulnerabilità nella supply chain di certe loro creazioni, atteso che oggi il software può essere composto da più componenti.
Ritengo utile al riguardo segnalare un lavoro corale, frutto della collaborazione fra i maggiori soggetti dalle elevate responsabilità pubbliche a livello globale che è stato pubblicato il 3 settembre del 2025.
La pubblicazione, dal titolo: “A Shared Vision of Software Bill of Materials (SBOM) for Cybersecurity” costituisce una guida realizzata dall’Agenzia americana CISA (Cybersecurity and Infrastructure Security Agency) insieme a US National Security Agency e ad un nutrito gruppo di partners internazionali.
Fra questi ultimi si ritrova l’Agenzia per la Cybersicurezza Nazionale per l’Italia, la francese Cybersecurity Agency (ANSSI), il BSI per la Germania, il CERT-IN per l’India, per il Giappone il METI- Ministry of Economy, Trade and Industry, per l’Olanda il National Cyber Security Centre (NCSC-NL) e molti altri quotati Organismi internazionali.
Alla realizzazione di questo lavoro ha contribuito anche la DG CONNECT della Commissione Europea.
La pubblicazione riporta una visione condivisa in relazione alla Software Bill of Materials che si basa sul seguente assunto: l’aumentata cifra di trasparenza della catena di fornitura e della catena di approvvigionamento dei componenti software può rappresentare un vantaggio per tutti gli operatori a livello globale.
SBOM, trasparenza e sicurezza dei componenti software
Nel Rapporto si sostiene che la generazione, l’analisi e la condivisione di SBOM, se integrate nei processi di sicurezza, sono operazioni ritenute assai proficue.
I vantaggi possono estendersi non solo al miglioramento della protezione cyber ma anche alla diminuzione dei rischi e alla riduzione dei costi.
La caratteristica di molti software oggi è quella di essere formati da componenti software, moduli e librerie di matrice open source e da software proprietari; diventa pertanto sempre più alto il rischio connesso con la catena di fornitura del software e più difficile conoscerlo per gestirlo adeguatamente.
Per questo la pubblicazione citata sostiene che il primo passo per affrontare questi tipi di rischio è quello di accrescerne la trasparenza.
L’approccio suggerito diventa particolarmente importante se riferito al software utilizzato per sistemi e infrastrutture critiche che svolgono funzioni legate alla sicurezza pubblica.
Nella pubblicazione a riferimento viene citato un altro documento, molto significativo, afferente al Programma dell’Agenzia americana CISA e redatto da CISA, diversi Stati USA e da un discreto numero di partners internazionali fra i quali Corea, Giappone, Israele e altri.
L’ulteriore documento dal titolo “Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software”, Revision Date October 25, 2023, (https://www.cisa.gov/resources-tools/resources/secure-by-design) enuclea vari Principi fra i quali uno va nella direzione di “Embrace Radical Transparency and Accountability”.
Secure by design e controllo della supply chain
L’Agenzia CISA aveva infatti emesso una guida “SECURE BY DESIGN” che indicava quello che poteva essere fatto dai produttori e creatori di software per rendere i loro prodotti più sicuri e come i clienti e utilizzatori potevano fare per valutarli al meglio.
La direzione suggerita dal documento “Shifting the Balance of Cybersecurity Risk” è quindi quella di una totale trasparenza e affidabilità, quale approccio ispirato alla “security by design” che può indirizzare i costruttori e i produttori ad avere il pieno controllo della loro supply chain.
La Software Bills of Materials può essere uno strumento che consente di realizzare questo obiettivo.
Nel documento si esprime il convincimento che con la costituzione e il mantenimento di liste di SBOM per ciascun prodotto, rese poi disponibili a clienti e utilizzatori, i creatori e produttori di software possano dimostrare la loro “due diligence” nei processi seguiti e la capacità posseduta in termini di risposta ad eventuali rischi.
Questo approccio consente, altresì, sempre secondo quanto espresso nel documento, ai clienti di affrontare meglio eventuali nuove vulnerabilità e gestire i relativi rischi.
La creazione di una lista di Materiali può avvenire in più punti del ciclo di vita di una creazione software e idealmente dovrebbe far parte integrante del processo dall’inizio ma ciò non sembra sempre possibile.
Si può sorvolare a questo punto dai suggerimenti tecnici che il documento “Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software” comunque analizza per ottenere i migliori risultati possibili nell’utilizzo di questo tool.
Il percorso ENISA verso l’implementazione dello SBOM
Riprendendo invece i documenti elaborati da ENISA sempre sulla stessa tematica, conviene ripartire dalla pubblicazione del dicembre 2025, “SBOM Landscape Analysis Towards An Implementation Guide”.
Il percorso tracciato in questa guida per Organizzazioni e Aziende che in Europa hanno iniziato a gestire liste SBOM, evidenziava come si trasformi, attraverso l’utilizzo di questo tool, una semplice compliance in una operatività di eccellenza, fatta di risposte automatiche di sicurezza, di analisi predittive della supply chain e di capacità decisionali sempre più consapevoli.
L’impatto consequenziale del livello di trasparenza acquisito e della maturità di sicurezza raggiunta, è prevedibilmente esteso alla competitività nel mercato.
La risposta agli incidenti è accelerata e tutti i gruppi di specialisti che si trovano ad operare nella filiera della supply chain possono avere dei vantaggi.
In particolare chi ha la leadership dal punto di vista del business nell’organizzazione può contare su metriche misurabili di rischio relative alla supply chain e questa possibilità consente, secondo il lavoro di ENISA, anche una migliore capacità di negoziazione con i fornitori.
Gli impatti
In sostanza, l’adozione di queste SBOM, sembra presentare una quantità notevole di lati positivi e comportare salti di qualità nella conoscenza dell’architettura delle proprie soluzioni ma soprattutto la capacità di incidervi in caso di necessità con alti gradi di successo.
Nel Report di ENISA del 2025 “SBOM Landscape Analysis Towards An Implementation Guide” si ritrovano anche importanti definizioni dei termini maggiormente utilizzati relativi al mondo in cui opera SBOM.
Vengono specificati, fra gli altri, i significati di “prodotto”, “software” “componente” riferiti alla filiera informatica e vengono anche identificati i pillars della capacità di una singola organizzazione in relazione al suo livello di maturità cyber: la tracciabilità, la trasparenza, la compliance, la security.
Con questo ultimo caposaldo, in particolare, si delinea la capacità di rilevare le vulnerabilità e di verificare la provenienza dei software.
Viene inoltre definita la supply chain come la rete formata da organizzazioni, processi e dipendenze coinvolti nella creazione, distribuzione e manutenzione di prodotti software.
Vi sono poi altre definizioni per individuare con estrema chiarezza soggetti a vario titolo collegati a questo ambito e i loro specifici ruoli.
La guida descrive infine i passaggi per l’implementazione della corretta architettura; fornisce inoltre suggerimenti e informazioni, per una crescita sostanziale, indirizzati ad ogni organizzazione che accetti di intraprendere un cammino di qualificazione delle proprie operazioni e sia disponibile a cambiamenti culturali anche radicali.
Cyber Resilience Act e documentazione della supply chain software
Nel contesto europeo, l’introduzione di questo percorso innovativo nel campo della protezione e prevenzione cyber, interessa in primis l’applicazione del Cyber Resilience Act. Questo Regolamento impone ai produttori di software di caratterizzare ogni passaggio nella supply chain dotandolo di idonea documentazione e di affrontare nelle migliori condizioni possibili le vulnerabilità per impedire che si trasformino in dannosi incidenti.
La documentazione a sostegno deve rendere più chiara possibile la composizione di un software per facilitare gli interventi di mitigazione dei rischi. In merito alle iniziative intraprese a livello europeo, negli ultimi tempi, circa l’esigenza emergente di tracciare e proteggere la supply chain in parola, sarebbe servito avere una panoramica chiara ed esaustiva sui comportamenti attuali e sulle tendenze degli investimenti delle aziende.
La survey lanciata da ENISA doveva quindi raccogliere dati e cercare di verificare la prontezza (readiness) delle liste SBOM e lo stato attuale della adozione del meccanismo di trasparenza. Le risultanze ottenute, in effetti, hanno fornito significative suggestioni, riportate nel Report, inerenti:
- il livello di adozione dello SBOM e i relativi livelli di maturità,
- i formati, gli strumenti e gli scenari di utilizzo più comuni;
- il valore che viene percepito, le sfide ancora in essere e un certo divario tra la generazione dello SBOM e il suo reale utilizzo.
I dati della survey ENISA sull’adozione dello SBOM
Per meglio comprendere i risultati, la survey era stata suddivisa in sette sezioni.
Il questionario ha ricevuto 334 risposte. Le Organizzazioni che vi hanno partecipato sono circa per il 65% basate in Europa; ce ne sono comunque anche di stanza al di fuori dell’UE. Un dato importante riguarda le aziende sulle quali il Cyber Resilience Act ha un impatto diretto; esse rappresentano più dell’80% del totale.
Il 33% degli intervistati non ha mai sentito parlare di SBOM.
Solo l’8% delle pubbliche Amministrazioni hanno risposto, mentre per l’87.72 % le risposte sono state rese dal settore privato.
Le grandi imprese hanno partecipato alla survey per più del 65%, le PMI per il 18% circa.
Il Report attribuisce questo divario alla maggiore capacità delle grandi imprese di scegliere l’innovazione, l’automatizzazione e la compliance alla normativa vigente e dal fatto che molte di esse sono coinvolte nei processi di consultazione e nel Gruppo di Lavoro relativo all’applicazione del Cyber Resilience ACT (CRA Expert Group) voluti dalla Commissione Europea.
Una percentuale del 17% di partecipanti alla survey sono operatori globali (13% America del Nord e solo il 4% provenivano dall’Asia e dal Medio Oriente).
I settori rappresentati afferivano per il 54% all’ambito dell’IT e del manifatturiero.
Settori specialistici quali per esempio quelli della salute, automotive, finanziario, energia e telecomunicazioni non hanno superato, nel complesso, il 35%.
Investimenti, CRA e livelli di maturità
Nella survey era stata inserita una richiesta specifica relativa al possibile impatto, ed in caso affermativo, per quale misura incidesse, della regolamentazione.
L’80% delle piccole imprese ha risposto di essere impattate direttamente dal CRA a motivo del fatto che forniscono i loro prodotti sul mercato europeo ed anche perché forniscono componenti ai manufatturieri.
Il 23% delle microimprese, invece, non era certa di subire impatti dal CRA oppure stava cercando di capire: il dato appare pertanto rilevante.
Per rendere le informazioni desumibili dalle risposte ottenute ancora più complete e significative, in sede di questionario è stato anche affrontato l’aspetto degli investimenti necessari all’applicazione del CRA.
Alla richiesta specifica di segnalare quanto abbia inciso in termini finanziari e quali orientamenti abbiano caratterizzato gli investimenti della propria azienda in merito alla decisione di dotarsi di strumenti SBOM e della relativa automazione, il 43% ha risposto che il CRA ha “significativamente accelerato” gli investimenti mentre per un 29% il CRA ha esercitato “una moderata influenza”.
Il 20% circa dei partecipanti ha dichiarato di non associare gli investimenti agli effetti della regolamentazione.
Sono poi stati scandagliati anche dettagli di previsione sui tempi previsti per raggiungere i livelli di maturità richiesti dal CRA.
Le risposte hanno spaziato da previsioni di 12 mesi al massimo (33%), oppure 18 mesi oppure infine 24 mesi, comprese anche ipotesi di non saper prevedere quanto tempo fosse necessario.
La readiness delle imprese e il ruolo delle PMI
Dalla survey è emerso anche che più del 90% dei partecipanti è preoccupato della sicurezza delle proprie supply chain; circa il 60% lo è in modo rilevante, tuttavia soltanto un 34% ha allocato risorse significative e consistenti per la sicurezza del software in utilizzo.
Il 53% dei partecipanti ha comunque posto SBOM fra le tre principali attività intraprese per la sicurezza dei software.
I risultati emersi relativamente all’“adoption readiness” evidenziano una interessante sorpresa proveniente dalle PMI e dalle micro imprese.
Micro e piccole imprese, rappresentando il 23% e il 25%, hanno già raggiunto l’obiettivo di un “mature level of adoption”.
Grandi e medie imprese, invece, mostrano di essere giunte al traguardo ma con percentuali davvero molto inferiori, che vanno dal 4% al 6%.
Dalla survey emerge un risultato illuminante sul ruolo attribuito dalle liste SBOM nell’economia dello sviluppo delle aziende.
In particolare si è rilevato un dualismo che tradisce la realtà di circa un 20% di aziende che ritengono l’adozione dello SBOM solo come uno strumento neutro di archivio, mentre un 42% ritiene che si tratti di una vera e propria “necessità difensiva”, secondo un più moderno approccio di gestione delle vulnerabilità.
Formati SBOM, interoperabilità e contratti con i fornitori
Un interessante risultato ha riguardato le scelte dei format per SBOM.
Nonostante che il CRA prescriva l’adozione di format di uso comune e comunque leggibili da sistemi informatici automatizzati, i dati emersi hanno indicato che le scelte si stanno orientando su format differenti ma con un 17% che ancora lavora con un format proprietario.
Il timore che questo risultato alimenta è che si presentino, a fronte di questa situazione, difficoltà di interoperabilità che possano penalizzare i flussi di informazione tanto preziosi per l’aspetto della trasparenza della supply chain.
Inoltre una domanda specifica, relativa allo stato dell’adozione, ha fornito risposte degne di nota e riguarda in particolare la scrittura dei contratti con i fornitori.
Molti partecipanti (55%) stanno inserendo i requisiti SBOM nei loro contratti, il 37% già lo ha fatto e un 27% sta pianificando di includerli.
La survey era composta da molte altre domande; le relative risposte hanno consentito di ottenere indicazioni specifiche e interessanti circa aspetti di dettaglio nel processo di adozione.
Il patrimonio informativo sulla sicurezza della supply chain dei software è adesso molto più ricco e i decisori possono disporre di utili elementi per eventuali interventi migliorativi e potenzialmente incisivi laddove sia più necessario.
Le conclusioni ENISA sul valore dello SBOM
La raccolta dei molti dati e la conseguente analisi effettuate da ENISA con questa iniziativa, ha portato a diverse e interessanti conclusioni.
Se ne riportano le principali, in quanto l’esposizione dei vari aspetti toccati dalla survey ha già riassunto le risultanze di maggior valore.
L’adozione dello SBOM è un effetto delle indicazioni normative del Cyber resilience ACT, che funziona quindi come facilitatore per l’implementazione di misure moderne di organizzazione interna.
Con l’acquisizione di questo approccio, il valore dello SBOM è percepito come una misura atta ad evitare rischi, a ridurre i costi di gestione e di eventuali interventi riparatori, e di miglioramento in termini di efficienza operativa.
Con SBOM si gestiscono meglio le vulnerabilità, la conformità alle licenze o autorizzazioni e alla normativa vigente.
Gli intervistati hanno ampiamente riconosciuto la necessità di un format comune per SBOM e che sia leggibile dalle macchine per assicurare la necessaria interoperabilità.
Permangono molte sfide da superare che al momento toccano la qualità dell’implementazione e la scalabilità.
Vi sono poi carenze di professionalità interne e di personale specializzato.
Questo aspetto conferma che l’adozione dello SBOM non è solo una questione tecnica ma riguarda la capacità organizzativa e lo sviluppo della forza lavoro, come per ogni misura nel campo della cybersecurity.
Tra le conclusioni si registra che è molto sentita l’assenza di buone pratiche, ampiamente condivise, relative alla piena integrazione della produzione e del consumo delle liste SBOM nei processi dei flussi di sviluppo software e in quello della gestione del rischio.
Infine, sarebbero auspicabili forme di supporto per accelerare l’adozione dello SBOM; le informazioni prodotte potrebbero essere utilizzate per creare un framework per la gestione dei rischi.
Anche se il Cyber Resilience Act non è ancora entrato completamente in vigore in quanto per alcuni adempimenti non è ancora maturata la scadenza, i suoi effetti si stanno già dispiegando e questo rappresenta un buon segnale nella crescita della consapevolezza e soprattutto degli investimenti per la cybersicurezza.
Partecipa alla community