Il Software Bill of Materials (SBOM) è un documento che elenca tutti i componenti software di un prodotto, analogo a una distinta base industriale. Con il Cyber Resilience Act (Reg. UE 2024/2847), la produzione e gestione dello SBOM diventa un requisito obbligatorio per i prodotti con elementi digitali immessi sul mercato UE. Gli studi legali che assistono clienti tech, manifatturieri o nella supply chain software devono già oggi censire i contratti di fornitura e valutare le clausole di responsabilità per vulnerabilità software non dichiarate.
Punti chiave
- Il Cyber Resilience Act (Reg. UE 2024/2847) impone la gestione documentata delle vulnerabilità software, incluso lo SBOM.
- Il report ENISA fotografa una maturità bassa: la maggior parte delle imprese UE non ha ancora processi SBOM strutturati.
- I contratti di fornitura software senza clausole SBOM espongono il cliente a rischi di non conformità e responsabilità da prodotto.
Se assisti produttori di software, aziende manifatturiere con componenti digitali o operatori di infrastrutture critiche, il tema Software Bill of Materials (SBOM) smette di essere una questione tecnica e diventa un problema contrattuale e di compliance che atterrerà sui tuoi tavoli nel giro di pochi mesi. L’entrata in vigore progressiva del Cyber Resilience Act rende lo SBOM un requisito di legge, non una best practice volontaria.
L’ENISA ha pubblicato un report sullo stato di adozione dello SBOM in Europa, rilevando livelli di maturità ancora bassi tra le imprese e segnalando criticità nella governance della supply chain software. Il documento, disponibile sul sito dell’Agenzia, analizza trasparenza, investimenti e capacità organizzativa nel gestire il rischio cyber legato ai componenti di terze parti. Puoi leggere l’analisi originale su Agenda Digitale.
Il contesto normativo
Il riferimento centrale è il Regolamento UE 2024/2847, noto come Cyber Resilience Act, pubblicato in Gazzetta Ufficiale UE il 20 novembre 2024. L’art. 13 impone ai produttori di prodotti con elementi digitali di identificare e documentare le vulnerabilità, gestire i componenti di terze parti e mantenere aggiornata la documentazione tecnica per l’intero ciclo di vita del prodotto. Lo SBOM rientra esplicitamente tra gli strumenti di documentazione richiesti dall’Allegato I, Parte II. Gli obblighi diventeranno pienamente applicabili a partire dal settembre 2026, ma il periodo transitorio è già in corso e le scelte contrattuali fatte oggi vincolano le parti per anni.
Sul piano della responsabilità civile, il D.Lgs. 206/2005 (Codice del Consumo) e il nuovo Regolamento UE 2022/2065 (Digital Services Act) concorrono a definire il perimetro della responsabilità del fornitore per difetti del software. Rilevante anche la Direttiva 2022/2555 (NIS2), recepita in Italia con D.Lgs. 138/2024, che agli artt. 24 e 25 impone misure di sicurezza della supply chain per i soggetti essenziali e importanti.
Cosa cambia per lo studio
- Revisiona i contratti di fornitura software attivi: verifica se contengono obblighi di disclosure dei componenti di terze parti e clausole di aggiornamento in caso di vulnerabilità note (CVE). In assenza, il cliente è esposto a contestazioni di non conformità normativa.
- Inserisci clausole SBOM nei nuovi contratti di appalto software: il fornitore deve consegnare e aggiornare lo SBOM a ogni rilascio, con previsione di penali in caso di omissione o ritardo nella notifica di vulnerabilità critiche.
- Verifica la posizione del cliente nella supply chain: produttore, distributore o integratore hanno obblighi diversi sotto il Cyber Resilience Act. Un integratore che incorpora componenti open source senza censimento SBOM risponde come produttore ai sensi dell’art. 4 del Reg. 2024/2847.
- Aggiorna le procedure di due diligence nelle operazioni di M&A tech: l’assenza di uno SBOM strutturato è oggi un red flag patrimoniale, perché segnala passività latenti da vulnerabilità non gestite e rischio di sanzioni post-closing.
- Controlla i contratti con la PA: il Piano Triennale per l’informatica nella PA 2024-2026 di AGID inizia a recepire requisiti di trasparenza sui componenti software negli appalti pubblici ICT.
Attenzione a
Il primo errore frequente è trattare lo SBOM come un adempimento tecnico delegabile al solo reparto IT del cliente. La mancata produzione o aggiornamento dello SBOM integra invece un inadempimento contrattuale e, per i soggetti NIS2, una violazione sanzionabile fino al 2% del fatturato mondiale annuo ai sensi dell’art. 36 D.Lgs. 138/2024. L’avvocato deve presidiare la governance documentale, non solo la fase contenziosa.
Il secondo rischio riguarda i contratti di licenza software con componenti open source: molte licenze (GPL, LGPL, Apache 2.0) impongono obblighi di attribuzione e disclosure che, se ignorati, generano responsabilità autonome per violazione di licenza, distinte e cumulative rispetto alle sanzioni regolamentari. Senza uno SBOM, il cliente non sa nemmeno quali licenze sta usando.
Domande frequenti
Il Cyber Resilience Act impone già lo SBOM alle aziende italiane?
Il Reg. UE 2024/2847 è in vigore dal 10 dicembre 2024, ma gli obblighi sostanziali — inclusa la gestione documentata delle vulnerabilità e lo SBOM — diventano pienamente applicabili dal settembre 2026. Il periodo transitorio non esime dalla pianificazione contrattuale immediata: i contratti firmati oggi regoleranno rapporti attivi quando gli obblighi scatteranno.
Cosa rischia un fornitore software che non consegna lo SBOM al cliente?
In assenza di clausola contrattuale specifica, il fornitore può rispondere per inadempimento ex art. 1453 c.c. se lo SBOM era parte delle specifiche tecniche concordate. Dal 2026, la mancata gestione delle vulnerabilità documentate espone il produttore a sanzioni amministrative fino al 2,5% del fatturato mondiale annuo ai sensi del Cyber Resilience Act, oltre a responsabilità civile da prodotto difettoso.
Lo SBOM è rilevante anche nelle operazioni di M&A su società tech?
Sì. L’assenza di un processo SBOM strutturato in una target tech segnala vulnerabilità non censite, potenziali violazioni di licenze open source e passività regolatorie latenti. Nel warranty and indemnity package, è opportuno inserire dichiarazioni specifiche sulla conformità al Cyber Resilience Act e sullo stato del programma di gestione delle vulnerabilità, con meccanismi di indennizzo post-closing dedicati.
Fonte di riferimento: AgendaDigitale