Rozporządzenie obowiązuje
Od tego dnia rozporządzenie (UE) 2024/2847 obowiązuje. Pozostałe obowiązki stosuje się w późniejszych terminach.
Format zestawienia
CycloneDX: format zestawienia składników
CycloneDX zapisuje zestawienie składników oprogramowania w pliku, który czyta program. Producent produktu z elementami cyfrowymi używa takiego pliku, gdy ma pokazać organowi nadzoru rynku, z czego produkt jest zbudowany.
Podatność w 24 godziny
Od tej daty aktywnie wykorzystywaną podatność i poważny incydent zgłasza się do ENISA oraz właściwego CSIRT.
Wymagania i znak CE
Zasadnicze wymagania bezpieczeństwa i oznakowanie CE stosują się do większości produktów z elementami cyfrowymi.
Co opisuje CycloneDX
CycloneDX jest specyfikacją zestawienia dla łańcucha dostaw oprogramowania, prowadzoną w fundacji OWASP. Pierwszy prototyp pochodzi z 2017 r. Wersja 1.5 ukazała się w czerwcu 2023 r., wersja 1.6 w kwietniu 2024 r., a wersja 1.7 w październiku 2025 r. Plik zapisuje się jako JSON, XML albo Protocol Buffers. Program czyta go bez przepisywania, a człowiek może go otworzyć jak zwykły tekst.
Format jest znany przede wszystkim jako zestawienie składników oprogramowania. Tym samym modelem opisuje się usługi, od których produkt zależy, oraz to, czy konkretna podatność w tym produkcie da się wykorzystać. Wersja 1.5 dodała wykazy dla uczenia maszynowego i dla wytwarzania. Wersja 1.6 dodała wykaz elementów kryptograficznych. Wersja 1.7 pozwala wskazać źródło pozycji: budowę, narzędzie, repozytorium albo wpis ręczny.
Czego producent potrzebuje pod rozporządzeniem
Rozporządzenie (UE) 2024/2847 wymaga od producenta produktu z elementami cyfrowymi zestawienia składników oprogramowania w formacie powszechnie używanym i maszynowo czytelnym. Zestawienie obejmuje co najmniej zależności najwyższego poziomu. Producent przekazuje je organowi nadzoru rynku na żądanie. Pełne zestawienie nie jest uprawnieniem każdego klienta. Klient może oczekiwać potwierdzenia, że spis istnieje, oraz wskazania składnika objętego podatnością, która dotyczy jego usługi.
CycloneDX jest jednym z formatów, które ten warunek spełniają. Rozporządzenie nie wymienia go z nazwy. Wymaga pliku, który organ i producent odczytają bez ręcznego przepisywania tabeli.
Co jest w pliku
- Metadane: którego produktu dotyczy plik, kto jest dostawcą i jakim narzędziem plik powstał.
- Składniki: aplikacje, biblioteki, oprogramowanie układowe, systemy operacyjne, kontenery i pliki, własne oraz obce.
- Usługi: adresy, wymagane uwierzytelnianie i miejsca, w których dane przekraczają granicę zaufania.
- Zależności: który składnik opiera się na którym, wprost albo głębiej w drzewie.
- Kompletność: na ile opis obejmuje to, co w produkcie naprawdę jest.
- Podatności: znane pozycje, ocena, informacja czy podatność w tym produkcie da się wykorzystać i czy została usunięta.
CycloneDX i SPDX
SPDX prowadzi Linux Foundation. Pierwsze wydanie jest z 2011 r., a specyfikacja jest normą ISO/IEC 5962:2021. Zaczynał od licencji otwartego oprogramowania, a pola dotyczące podatności doszły później. CycloneDX szedł od bezpieczeństwa. Licencje, w tym handlowe, doszły do niego w wersji 1.5. SPDX zapisuje się także jako YAML, prosty tekst i arkusz. Oba formaty nadają się jako zestawienie maszynowe. Rozporządzenie nie wybiera jednego z nich.
Kiedy plik sporządzać
Najwierniejszy spis powstaje przy budowie produktu, gdy w środowisku są dokładnie te wersje, które weszły do wydania. Spis zrobiony później, z pamięci albo ze starego katalogu, pominie składnik, którego na dysku już nie ma, a który w produkcie został. Przy nowej podatności producent szuka w tym pliku nazwy i wersji.
Objaśnienie formatu przeczytane w FOSSA Learning Center.