2026年9月より製造業者への報告義務の適用が開始されるEU CRAは非常に広範な製品を対象とするサイバー法規です。また、この法規ではSBOMが要件化されているものの、技術的な詳細が明らかになっていません。本講演では、2024年発効の条文や、昨年12月以降に公開されたENISA発行の「SBOM LANDSCAPE ANALYSIS TOWARDS AN IMPLEMENTATION GUIDE 」や「Secure by Design and Default Playbook」などの関連文書などからSBOMの要件を読み解きます。