Kompletní outsourcing správy Software Bill of Materials. Generování SBOM ve standardech CycloneDX a SPDX, kontinuální vulnerability monitoring, VEX dokumenty, license compliance a distribuce zákazníkům – vše v souladu s Cyber Resilience Act, NIS2 a US Executive Order 14028.
CRA požaduje SBOM pro každý produkt s digitálními prvky uváděný na trh EU
moderních aplikací obsahuje open-source komponenty se známými zranitelnostmi
Plná účinnost CRA – SBOM povinný pro uvedení produktu na trh
End-to-end pokrytí SBOM životního cyklu – od generování přes monitoring až po distribuci
Automatizované generování Software Bill of Materials ve standardech CycloneDX 1.6 a SPDX 2.3 z vašich CI/CD pipeline (GitHub Actions, GitLab CI, Azure DevOps, Jenkins).
Kompletní mapování open-source i komerčních knihoven, transitivních závislostí, licencí, verzí a původu (PURL, CPE, supplier identifikace).
Průběžné mapování komponent na NVD, OSV a GitHub Advisory Database. Generování VEX dokumentů pro deklaraci exploitability známých zranitelností.
Verzování, archivace a historie SBOM napříč buildy, vydáními a patchi. Diff analýza změn komponent mezi verzemi produktu.
Bezpečné zveřejňování SBOM zákazníkům, regulátorům a auditorům. Digitální podepisování (Sigstore/Cosign), publikace přes API i portál.
Okamžité notifikace na nové CVE postihující vaše produkty. Triage workflow, prioritizace dle EPSS/CVSS a integrace na PSIRT proces.
Detekce konfliktních licencí (GPL, AGPL, copyleft), reporting pro právní oddělení, příprava notice files a OSS attribution dokumentů.
Zabudování SBOM generování do build procesu, security gates v CI/CD, blokace nasazení komponent s kritickými zranitelnostmi.
Vlastní hosted SBOM platforma (Dependency-Track, GUAC) s rolemi, audit logem a API pro vývojáře, security a compliance týmy.
Strukturovaný 6-fázový proces od onboardingu po nepřetržitý provoz
Analýza vašich produktů, build pipeline a stávající evidence komponent. Identifikace mezer vůči požadavkům CRA, NIS2 a US Executive Order 14028.
Volba formátu (CycloneDX/SPDX), nástrojů (Syft, Trivy, CDXGen, Microsoft SBOM Tool), úložiště a distribučního modelu pro stakeholdery.
Implementace generování SBOM v CI/CD, podpis artefaktů, ukládání do Dependency-Track / GUAC repository, propojení s artifact registry.
Spuštění kontinuální korelace s CVE feedy, definice triage SLA, zavedení VEX statements pro snížení šumu false-positive.
Měsíční reporty pro management, ad-hoc SBOM exporty pro zákazníky, podpora při auditech a notifikovaných orgánech (CRA Module B/C).
Při zveřejnění kritické zranitelnosti (např. Log4Shell, XZ backdoor) okamžitá identifikace zasažených produktů a podpora patch managementu.
Splnění povinnosti vést a poskytovat SBOM pro produkty s digitálními prvky.
Identifikace dotčených produktů během minut, ne dnů.
B2B zákazníci a regulátoři očekávají SBOM jako součást dodávky.
Včasné odhalení malicious packages, typosquattingu a kompromitovaných závislostí.
Software Bill of Materials je strojově čitelný seznam všech komponent ve vašem softwaru – knihoven, frameworků, jejich verzí a licencí. Cyber Resilience Act (čl. 13 odst. 24) ukládá výrobcům povinnost SBOM vést a poskytovat. Bez něj nemůžete prokázat, že váš produkt neobsahuje známé zranitelnosti.
Primárně CycloneDX (OWASP standard, široce podporovaný v EU) a SPDX (ISO/IEC 5962:2021). Oba formáty jsou strojově čitelné, podporují VEX a jsou akceptované regulátory (ENISA, CISA, NÚKIB).
Ne. CRA požaduje pouze poskytnutí SBOM dozorovým orgánům na vyžádání a v některých případech B2B zákazníkům. Mnoho firem volí kontrolovanou distribuci přes portál pro autentizované partnery.
Pomocí VEX (Vulnerability Exploitability eXchange) dokumentů – formálně deklarujeme, zda je daná CVE v kontextu vašeho produktu skutečně exploitable. Snižuje to alert fatigue a urychluje triage.
Ano. Integrujeme se s Jira, ServiceNow, GitHub Security Advisories i s naším řešením Vulnerability Management as a Service.
Cena se odvíjí od počtu produktů, build frekvence a požadavků na distribuci. Konkrétní nabídku připravíme po krátké úvodní konzultaci.
Nečekejte na 11. 12. 2027. Pomůžeme vám zavést SBOM proces v souladu s CRA, integrovat ho do vaší pipeline a převzít jeho dlouhodobou správu.