2026年10月22日，欧盟网络安全局（ENISA）发布《软件物料清单技术指南》（以下简称为“指南”），为企业建立软件物料清单（SBOM）能力提供实务指导，重点面向微型、中小企业及开源软件管理者。指南与ENISA《安全设计与默认安全实践指南》相衔接，涵盖实施架构、生命周期、威胁模型及安全措施。

SBOM是记录软件组件及其依赖关系的结构化清单，可帮助企业识别第三方和开源组件、追踪漏洞、核查许可证并了解供应链来源。指南强调，SBOM只是基础数据层，只有接入漏洞处置、补丁更新和资产管理流程，才能形成实际安全价值。

指南提出覆盖生成、验证、数字签名、安全存储、使用及持续更新的生命周期。对于刚起步的企业，建议优先在软件构建阶段接入自动生成工具，采用SPDX或CycloneDX等通用机器可读格式，并将清单与对应软件版本共同保存。验证也不能仅检查格式，还应核对组件标识、信息完整性及与实际软件的一致性。

另一重点是保护SBOM自身。指南分析了身份冒用、内容篡改、信息泄露、拒绝服务和权限提升等风险，建议结合数字签名、最小权限、访问控制和审计日志实施防护。组件及版本信息可能帮助攻击者定位漏洞，因此透明度建设也需要受控共享机制。

从企业实操层面看，指南的价值在于将“交付一份清单”转化为持续运营能力。企业不仅需要知道软件“包含什么”，还要确认清单对应哪个版本、是否持续更新，以及发现漏洞后由谁处理。对于大量漏洞告警，指南建议结合漏洞可利用性交换信息（VEX）、资产重要性和暴露程度确定修复优先级。

对向欧盟供应软件及含软件产品的中国企业而言，可据此检查供应商组件信息、构建流程和历史记录留存，优先建立可追溯、可更新、可用于漏洞响应的基础能力。

注意：指南属于非强制性技术建议，不新增法律义务，也不是《网络韧性法案》（CRA）的法律解释；采用指南不等于自动满足CRA合规要求。

如需更多信息请联系百思韬：info@bestao-consulting.com