CRA SBOM：工控机要管理哪些软件与固件

一台工控机（工业计算机，IPC），您知道里面到底包含多少软件与固件吗？

欧盟《网络弹性法案》（Cyber Resilience Act, CRA）将于 2027 年 12 月 11 日全面适用。CRA 附件一第二部分（漏洞处理要求）规定制造商识别并记录产品组件与漏洞，包含建立 SBOM（Software Bill of Materials，软件物料清单），作为漏洞管理与影响分析的基础。

📌 CRA SBOM 三大重点

✅ 通用且机器可读的格式： 至少涵盖产品的顶层依赖组件。CRA 未指定格式，业界常用 CycloneDX 或 SPDX；欧盟委员会日后可通过实施法案规定格式与内容。
✅ 纳入技术文档： SBOM 须纳入技术文档，但不强制公开；市场监管机构可提出附理由的要求调阅。
✅ 支持漏洞管理： 掌握软件组件与版本，协助快速确认受影响的产品。

🔍 工控机（IPC）需要盘点哪些项目？

一台工控机的软件与固件，往往来自不同部门与供应商：
🔹 BIOS／UEFI： 底层系统固件
🔹 BMC： 远程管理控制器固件
🔹 Windows／Linux： 操作系统及相关软件包
🔹 驱动程序／工具程序： 硬件驱动及管理工具
🔹 Wi-Fi／LTE 模块： 第三方通信模块固件
同样的挑战也存在于其他产品：
🌐 网络通信设备： Linux 固件、开源软件包与第三方组件。
🔋 储能系统（ESS）： BMS、PCS、EMS 等软件与固件。

💡 企业该如何建立 SBOM 管理机制？

建议从四个步骤开始：
1️⃣ 盘点组件： 盘点产品使用的软件、固件与第三方组件。
2️⃣ 生成 SBOM： 通过工具产生 CycloneDX／SPDX 格式的 SBOM。
3️⃣ 绑定版本： 将 SBOM 与产品机型、固件版本及出货版本建立关联。
4️⃣ 跟踪漏洞： 持续跟踪组件漏洞，快速识别受影响的产品版本。
⚠️ SBOM 的价值不只是生成一份清单，更重要的是持续维护、版本追溯与漏洞影响分析。

当某个开源组件被披露安全漏洞时，企业能否立即回答：“哪些产品使用了这个组件？哪些已出货版本受到影响？”这正是建立 SBOM 管理机制的重要目的。

👉 想规划适合贵公司的 SBOM 与产品版本追溯管理方式？

欢迎与安盛资讯联系。

📩 联系安盛资讯： sales@anselm.com.tw

延伸阅读：EU CRA 网络弹性法案系列文章｜上一篇：EU CRA 安全设计要求：从默认密码到安全更新｜下一篇：EU CRA 漏洞报告：24 小时预警与 72 小时通报

本文仅供一般信息参考，不构成法律意见。