比較
CRA 法規遵循：SBOM 要求與工具
Cyber Resilience Act（CRA）規定具數位元素的產品必須具備軟體物料清單（SBOM）。以下說明法規對 SBOM 的要求、德國 BSI 指引補充了哪些內容，以及各家 CRA 合規工具的比較。
更新日期
每篇比較都會說明另一款產品的強項、CRACI 的不同之處，以及何時適合兩者並用。所有類別請見所有比較。
CRA 對 SBOM 的要求
Cyber Resilience Act，即 Regulation (EU) 2024/2847，將 SBOM 列在其漏洞處理要求之中。它的要求比許多人想像的少：一份機器可讀的記錄，至少涵蓋最上層的相依套件，保存在技術文件中，並在主管機關要求時出示。以下逐一說明法規的規定。
| 功能 | CRA 的規定 | 條文出處 |
|---|---|---|
| SBOM 是否為強制要求？ | 是。製造商必須識別並記錄其產品中的元件，「包括製作軟體物料清單」 | 附件 I 第 II 部分第 1 點 |
| 什麼是 SBOM？ | 「一份正式記錄，載明具數位元素產品之軟體元素中所含元件的細節及其供應鏈關係」 | 第 3 條第 39 點 |
| 採用哪種格式？ | 「常用且機器可讀的格式」。執委會得以施行法規指定格式與要素 | 附件 I 第 II 部分第 1 點；第 13 條第 24 項 |
| 需要涵蓋多深？ | 「至少涵蓋產品的最上層相依套件」 | 附件 I 第 II 部分第 1 點 |
| 要放在哪裡？ | 放在技術文件中，作為漏洞處理資訊的一部分 | 附件 VII 第 2(b) 點 |
| 是否必須公開？ | 否。「製造商不應有義務公開 SBOM。」若您與使用者分享，使用者資訊須說明在何處可以取得 | 前言第 77 點；附件 II 第 9 點 |
| 誰可以要求提供？ | 市場監督機關可基於具理由的請求要求提供，以查核合規情形。主管機關也可為歐盟層級的相依性評估要求提供 SBOM | 附件 VII 第 8 點；第 13 條第 25 項 |
| 需要保存多久？ | 技術文件須在產品投放市場後至少保存 10 年，或保存至支援期間結束，以較長者為準 | 第 13 條第 13 項 |
整部法規自 2027 年 12 月 11 日起全面適用，其通報義務則自 2026 年 9 月 11 日起適用。法規的其他內容，請參閱CRA 的要求。
超越最低標準：BSI TR-03183-2
在執委會以施行法規指定格式之前，最詳細的公開指引來自德國聯邦資訊安全局（BSI）。其技術指引 TR-03183-2（2025 年 8 月發布的 2.1.0 版）屬於指引而非法規的一部分，但顯示了各方期待的發展方向：
- 格式：JSON 或 XML，須符合 CycloneDX 1.6 以上版本或 SPDX 3.0.1 以上版本的驗證。
- 深度：針對交付範圍內的每個元件遞迴解析相依套件，一直解析到範圍外的第一個元件（含該元件）為止。
- 資訊來源：SBOM 必須包含「與建置過程中可取得之資訊相同的資訊」；若沒有建置過程，則包含同等的資訊。
該指引也定義了 SBOM 的類型。Build SBOM「是在建置過程中產生的」。Analysed SBOM「是在建置過程之後，透過分析可執行檔、套件、容器與虛擬機器映像檔等建置產物而產生的」。這項區別正是本頁各工具之間的主要差異。
最上層還是遞移相依套件
最上層相依套件是最低標準，而非目標。遞移套件中的漏洞仍然存在於您的產品中，而 CRA 要求製造商處理並修補所出貨元件中的漏洞。只記錄到第一層的 SBOM，會讓這些套件落在您的漏洞處理範圍之外。實務上的問題不在於是否要記錄遞移相依套件，而在於如何確保記錄與實際出貨的內容一致。如何列出這些套件並修正有漏洞的套件，請參閱 遞移相依套件。
Build SBOM 還是 Analysed SBOM
多數 SBOM 工具會在建置之後產生 Analysed SBOM，或管理其他工具產生的 SBOM。CRACI 則在建置執行期間記錄 Build SBOM。SBOM 產生工具與管理工具的比較，請參閱 SBOM 管理與 SBOM 工具比較。以 CRA 為核心打造的工具，請參閱 CRA 合規工具比較。
CRACI 的定位
CRACI 在您的 GitHub Actions 建置執行期間記錄 SBOM。執行器上具備套件感知能力的代理伺服器，會記錄作業取用的每一個套件，包括從 CI 快取還原的套件，因此 SBOM 描述的是產生該建置產物的那次建置，而不是在附近某處執行的一次掃描。每個作業的 SBOM 都帶有完整性狀態，而 CycloneDX 與 SPDX 匯出檔會包含遞移相依套件與每個元件宣告的授權。
發布之後，每當有新漏洞出現，CRACI 都會持續重新評估受監控的 SBOM，並為您準備 CRA 通報的內容（早期預警、事件通報與最終報告），供您提交。API 會回傳 SBOM、網路追蹤記錄與來源證明。CRACI 預設保留建置資料 180 天，Enterprise 方案可自訂保留期間，因此請將應納入 10 年技術文件的內容匯出。CRACI 可自動化您的 CRA 流程所需之供應鏈可視性與佐證資料中相當大的一部分；符合性評鑑與技術文件仍由製造商負責。以逐步路線圖呈現的每一項 CRA 要求，請參閱CRA 指南。 進一步了解建置時 SBOM 產生，或 預約示範，看看從您的一次建置中記錄下來的 SBOM。
CRACI 與各工具比較
- CRACI vs Cybeats SBOM 紀錄系統，對比經記錄與監控的 SBOM。
- CRACI vs FOSSA SBOM 管理，對比建置、SBOM 與監控一次到位。
- CRACI vs Anchore 掃描映像檔，對比記錄並監控建置。
- CRACI vs Black Duck 程式碼、片段與二進位檔掃描，對比建置佐證資料。
- CRACI vs Sonatype 儲存庫把關與 SCA，對比建置佐證資料。
- CRACI vs ONEKEY 韌體二進位分析，對比建置時佐證資料。
- CRACI vs Finite State 二進位與供應商 SBOM 分析，對比建置紀錄。
- CRACI vs Exein 裝置端執行期安全，對比來自建置的佐證資料。
並列比較
在同一頁比較多款工具，適合您在選擇類別而非單一產品時參考。
CRA SBOM 常見問題
CRA 是否要求 SBOM 涵蓋遞移相依套件？
法規設定的最低標準是「至少涵蓋產品的最上層相依套件」（附件 I 第 II 部分第 1 點）。法規並未點名遞移相依套件，但有漏洞的遞移套件仍然存在於您的產品中，而 CRA 要求您處理所出貨元件中的漏洞。德國 BSI 的 TR-03183-2 指引則更進一步，要求遞迴解析相依套件。
CRA 的 SBOM 是否必須公開？
否。前言第 77 點指出，製造商不應有義務公開 SBOM。SBOM 屬於技術文件的一部分，市場監督機關可基於具理由的請求要求提供。若您選擇與使用者分享，產品隨附的資訊必須說明在何處可以取得（附件 II 第 9 點）。
CRA 的 SBOM 應採用 CycloneDX 還是 SPDX？
CRA 要求「常用且機器可讀的格式」，但並未指定特定格式；執委會得以施行法規指定格式（第 13 條第 24 項）。CycloneDX 與 SPDX 是兩種常見的選擇。BSI TR-03183-2 v2.1.0 接受 JSON 或 XML 格式的 CycloneDX 1.6 以上版本與 SPDX 3.0.1 以上版本。
SBOM 需要保存多久？
SBOM 是技術文件的一部分，製造商須在產品投放市場後至少 10 年內，將技術文件備供市場監督機關查閱；若支援期間較長，則保存至支援期間結束（第 13 條第 13 項）。
CRA 的 SBOM 要求何時開始適用？
CRA 的通報義務自 2026 年 9 月 11 日起適用，而整部法規（包括附件 I 中的 SBOM 要求）自 2027 年 12 月 11 日起全面適用。