比較
CRAコンプライアンス：SBOMの要件とツール
Cyber Resilience Actは、デジタル要素を含む製品にソフトウェア部品表（SBOM）を義務付けています。規則がSBOMに何を求めているか、ドイツのBSIのガイドラインが何を加えているか、そしてCRAコンプライアンスツールの比較をご紹介します。
更新日
各比較では、他製品の強み、CRACIとの違い、両方を併用すべきケースを説明しています。すべてのカテゴリーはすべての比較をご覧ください。
CRAがSBOMに求めること
Cyber Resilience Act（規則(EU) 2024/2847）は、脆弱性対応の要件の中にSBOMを位置づけています。その要求は多くの人が想定するより少なく、少なくともトップレベルの依存関係を対象とする機械可読な記録を技術文書に保管し、要請に応じて当局に提示することです。規則の内容を、問いごとに整理します。
| 機能 | CRAの規定内容 | 該当箇所 |
|---|---|---|
| SBOMは義務か | はい。メーカーは製品のコンポーネントを特定し、文書化しなければなりません。その方法には「ソフトウェア部品表を作成すること」が含まれます | 附属書I、パートII、第1項 |
| SBOMとは何か | 「デジタル要素を含む製品のソフトウェア要素に含まれるコンポーネントの詳細とサプライチェーン上の関係を記載した正式な記録」 | 第3条第39項 |
| フォーマットは | 「一般的に使用される機械可読なフォーマット」。欧州委員会は実施法によってフォーマットと要素を定めることができます | 附属書I、パートII、第1項、第13条第24項 |
| どこまで深く | 「少なくとも製品のトップレベルの依存関係」 | 附属書I、パートII、第1項 |
| どこに含めるか | 技術文書の中に、脆弱性対応に関する情報の一部として | 附属書VII、第2項(b) |
| 公開が必要か | いいえ。「メーカーはSBOMを公開する義務を負うべきではない」とされています。ユーザーと共有する場合は、ユーザー向けの情報にその入手先を記載します | 前文77、附属書II、第9項 |
| 誰が提出を求められるか | 市場監視当局が、適合性を確認するため、理由を付した要請により求めることができます。当局はEU全体の依存関係評価のためにSBOMを求めることもできます | 附属書VII、第8項、第13条第25項 |
| 保管期間は | 技術文書は、製品の上市後少なくとも10年間、またはサポート期間のいずれか長い方の期間、保管されます | 第13条第13項 |
規則は2027年12月11日から全面適用され、報告義務は2026年9月11日から適用されます。規則のそのほかの内容については、CRAの要件をご覧ください。
最低限を超えて：BSI TR-03183-2
欧州委員会が実施法によってフォーマットを定めるまでは、ドイツ連邦情報セキュリティ庁（BSI）が最も詳細な公開ガイダンスを提供しています。その技術ガイドラインTR-03183-2（2025年8月のバージョン2.1.0）は規則の一部ではなくガイダンスですが、期待される水準の方向性を示しています。
- フォーマット：JSONまたはXMLで、CycloneDX 1.6以上またはSPDX 3.0.1以上に準拠していること。
- 深さ：提供範囲内の各コンポーネントについて、範囲外の最初のコンポーネントまでを含めて依存関係を再帰的に解決すること。
- 情報源：SBOMには「ビルドプロセス中に入手できるものと同じ情報」、またはビルドプロセスがない場合はそれに相当する情報が含まれていなければなりません。
このガイドラインはSBOMの種類も定めています。Build SBOMは「ビルドプロセスの一部として作成される」もの、Analysed SBOMは「実行ファイル、パッケージ、コンテナ、仮想マシンイメージなどの成果物を分析することにより、ビルドプロセスの後に作成される」ものです。この区別こそが、このページで扱うツールの主な違いです。
トップレベルの依存関係か、推移的依存関係か
トップレベルの依存関係は最低ラインであって、目標ではありません。推移的パッケージの脆弱性も製品に含まれていることに変わりはなく、CRAはメーカーに対し、出荷するコンポーネントの脆弱性に対処し修正することを求めています。第1階層で止まるSBOMでは、そうしたパッケージが脆弱性対応から漏れてしまいます。実務上の問いは、推移的依存関係を記録するかどうかではなく、その記録が出荷したものと一致していることをどう確かめるかです。推移的依存関係の洗い出し方と脆弱なものの修正方法については、推移的依存関係をご覧ください。
Build SBOMかAnalysed SBOMか
ほとんどのSBOMツールは、ビルド後にAnalysed SBOMを生成するか、ほかのツールが作成したSBOMを管理します。CRACIはビルドの実行中にBuild SBOMを記録します。SBOMの生成ツールと管理ツールの比較はSBOM管理とSBOMツールの比較を、CRAを軸に作られたツールについてはCRAコンプライアンスツールの比較をご覧ください。
CRACIの位置づけ
CRACIは、GitHub Actionsのビルドの実行中にSBOMを記録します。ランナー上のパッケージを認識するプロキシが、CIキャッシュから復元されたパッケージも含め、ジョブが取得したすべてのパッケージを記録するため、SBOMは近くのどこかで実行されたスキャンではなく、成果物を作成したビルドそのものを記述します。各ジョブのSBOMには完全性の状態が付き、CycloneDXとSPDXでのエクスポートには推移的依存関係と各コンポーネントの宣言ライセンスが含まれます。
リリース後も、CRACIは新たな脆弱性が公開されるたびに監視対象のSBOMを再評価し続け、CRAの通知（早期警告、通知、最終報告）の内容を作成します。提出はお客様が行います。APIからSBOM、ネットワークトレース、来歴を取得できます。CRACIはビルドデータをデフォルトで180日間保持し、Enterpriseではカスタムの保持期間を設定できます。10年間保管する技術ファイルに含めるべきものはエクスポートしてください。CRACIは、CRAのプロセスに必要なサプライチェーンの可視性とエビデンスのかなりの部分を自動化しますが、適合性評価と技術ファイルは引き続きメーカーの責任です。CRAのすべての要件をステップごとのロードマップとして確認するには、CRAガイドをご覧ください。ビルド時のSBOM生成について詳しくご覧いただくか、デモを予約して、お客様のビルドから記録されたSBOMをご確認ください。
CRACIと各ツールの比較
- CRACI vs Cybeats SBOMの記録システムか、記録・監視されるSBOMか。
- CRACI vs FOSSA SBOM管理か、ビルド・SBOM・監視を1つにまとめたものか。
- CRACI vs Anchore イメージのスキャンか、ビルドの記録と監視か。
- CRACI vs Black Duck コード、スニペット、バイナリのスキャンか、ビルドのエビデンスか。
- CRACI vs Sonatype リポジトリでのゲートキーピングとSCAか、ビルドのエビデンスか。
- CRACI vs ONEKEY バイナリファームウェア解析か、ビルド時のエビデンスか。
- CRACI vs Finite State バイナリとサプライヤーSBOMの分析か、ビルドの記録か。
- CRACI vs Exein デバイス上のランタイムセキュリティか、ビルドから得るエビデンスか。
並べて比較
1つの製品ではなくカテゴリーを選ぶときのために、複数のツールを1ページにまとめています。
CRAのSBOMに関するご質問にお答えします
CRAはSBOMに推移的依存関係を含めることを求めていますか？
規則が定める最低ラインは「少なくとも製品のトップレベルの依存関係」です（附属書I、パートII、第1項）。推移的依存関係は明記されていませんが、脆弱な推移的パッケージも製品に含まれていることに変わりはなく、CRAは出荷するコンポーネントの脆弱性に対処することを求めています。ドイツのBSIによるガイドラインTR-03183-2はさらに踏み込み、依存関係の再帰的な解決を求めています。
CRAのSBOMは公開する必要がありますか？
いいえ。前文77は、メーカーがSBOMを公開する義務を負うべきではないとしています。SBOMは技術文書に含まれ、市場監視当局は理由を付した要請によりその提出を求めることができます。ユーザーと共有することを選んだ場合は、製品に付属する情報にその入手先を記載しなければなりません（附属書II、第9項）。
CRAのSBOMはCycloneDXとSPDXのどちらにすべきですか？
CRAは「一般的に使用される機械可読なフォーマット」を求めており、特定のフォーマットは指定していません。欧州委員会は実施法によってフォーマットを定めることができます（第13条第24項）。一般的な選択肢はCycloneDXとSPDXの2つです。BSI TR-03183-2 v2.1.0は、JSONまたはXMLで、CycloneDX 1.6以上とSPDX 3.0.1以上を認めています。
SBOMはどのくらいの期間保管する必要がありますか？
SBOMは技術文書の一部であり、メーカーは製品の上市後少なくとも10年間、またはサポート期間の方が長い場合はその期間、技術文書を市場監視当局の求めに応じられるよう保管します（第13条第13項）。
CRAのSBOM要件はいつから適用されますか？
CRAの報告義務は2026年9月11日から適用され、附属書IのSBOM要件を含む規則全体は2027年12月11日から全面適用されます。