На конференции QCon London 2026 Виктор Петерссон заявил, что разработчикам ПО необходимо срочно внедрять SBOM (Software Bills of Materials), поскольку грядут изменения в законодательстве как в США, так и в Европе. Он подчеркнул, что к концу 2027 года все продукты должны будут иметь SBOM, что будет означать не только повышение прозрачности, но и соблюдение законов, касающихся кибербезопасности.
Контекст изменений в законодательстве
Петерссон указал на Европейский закон о киберрезиленции (CRA), который вступит в силу в сентябре 2026 года. Он охватывает любые продукты с цифровыми компонентами, что означает, что все программы и устройства, подключенные к интернету, должны будут выполнять требования CRA. Программа CRA значительно более строгая, чем GDPR — она позволяет блокировать продажи, а не только накладывать штрафы.
Текущие требования и подготовка к ним
В США указ исполнительной власти 14028, подписанный в 2021 году, требует от всех организаций, продающих ПО для федерального правительства, предоставлять SBOM. Это также касается медицинских устройств и компаний в индустрии платежных карт. Петерссон считает, что вскоре подобные требования могут затронуть и другие международные стандарты, такие как SOC 2 и ISO.
Петерссон также обсудил форматы SBOM и отметил, что сейчас существуют два основных стандарта: SPDX и CycloneDX. Оба могут использоваться для обеспечения как лицензионной, так и защитной совместимости, но команды выбирают тот или иной формат в зависимости от своей конкретной области работы.
Значение SBOM для разработчиков
Скоро наличие SBOM не просто будет рекомендовано, а станет обязательным для разработки программного обеспечения. Для компаний, работающих на международных рынках, это означает необходимость пересмотра своих процессов разработки и соблюдения новых стандартов. Создание и сопровождение высококачественных SBOM может стать конкурентным преимуществом, поскольку повысит доверие потребителей и регуляторов.
Петерссон также порекомендовал не игнорировать этап подписания SBOM, так как это поможет избежать проблем с качеством и соблюдением требований.
Согласно прогнозам, компании, не успевшие адаптироваться к новым требованиям, могут столкнуться с большими штрафами и потерей доступа к европейским и американским рынкам.