## SBOM做了，為什麼還可能不合規？ENISA調查揭露近三成企業用錯格式

- 種別: news
- 公開日時: 2026-07-29T07:21:00.000Z
- 情報源: TWCERT/CC 資安新聞 (https://www.twcert.org.tw/tw/cp-104-11053-02aca-1.html)
- パーマリンク: https://vulnpulse.app/items/twcert-news-5043b410147b

企業說自己「有做SBOM」，但格式對不對，可能才是真正決定合不合規的關鍵。歐盟網路安全局（European Union Agency, ENISA）今年6月公布的最新調查顯示，將近三成企業的軟體物料清單，用的格式根本不在國際主流之列。 格式不是小事，是SBOM能不能用的前提 歐盟網路韌性法（Cyber Resilience Act, CRA）要求製造商為每項具數位功能的產品建立軟體物料清單（Software Bill of Materials, SBOM），並規定格式必須「常用且機器可讀」（a commonly used and machine-readable format）。這項規定看似給予不少彈性，但ENISA在報告結論中直言，格式的一致性不只是技術上的偏好，而是SBOM能不能真正發揮作用的必要條件。換句話說，格式選擇並非可有可無的技術枝節，而是攸關整份SBOM合規效力的核心環節。 近三成企業，格式其實不合格 這份調查共訪問了334家組織，其中八成直接受CRA規範。結果顯示，CycloneDX是目前最多企業採用的格式（占44%），其次是SPDX（占29%）。但仍有17%的企業用自家專屬格式，另外11%坦言根本沒有採用任何標準格式，兩者合計約28%的企業，在SBOM格式上就已經跟國際主流脫節。 問題不只是「不夠標準」而已，CRA條文本身沒有指名特定格式，但德國聯邦資訊安全辦公…