Mais Encore
· Security musings
Menu

SBOM 2026 : la CISA remplace les Minimum Elements de 2021, et le hash devient obligatoire

Catégories

Tags

🔍 Licence d'Utilisation 🔍

Sauf mention contraire, le contenu de ce blog est sous licence CC BY-NC-ND 4.0.

© 2025 à 2042 Sébastien Gioria. Tous droits réservés.

⏱️
Temps de lecture estimé
~4 minutes (teaser)

Cinq ans que la doctrine SBOM n’avait pas bougé. Le 29 juillet 2026, la CISA, la NSA et une poignée de partenaires internationaux ont enfin dépoussiéré les Minimum Elements hérités de la NTIA en 2021. Le hash de chaque composant passe du statut de bonne pratique à celui d’obligation. Le texte précise aussi qu’il couvre les logiciels IA et le SaaS, sans pour autant créer une seule exigence nouvelle pour eux.

Source : CISA, “CISA and Partners Unveil Updated Software Bill of Materials Resource”, cisa.gov, 29 juillet 2026.

J’ai déjà traité la provenance de build avec SLSA, puis la déclinaison IA avec OWASP AIBOM. Le SBOM CISA/NSA joue sur un troisième terrain. SLSA atteste que le build n’a pas été bidouillé en route ; AIBOM documente la lignée d’un modèle. Ici, on parle de l’inventaire de ce qui compose réellement un logiciel, celui qu’on pose sur la table quand un régulateur ou un client demande des comptes.

Et le vrai sujet, il est dans le calendrier. Ce référentiel remplace la base de 2021 six semaines avant la première échéance de reporting du Cyber Resilience Act européen, fixée au 11 septembre 2026. Je vous laisse évaluer le degré de coïncidence.

Note du PandaRedacteur : quand une agence fédérale américaine réécrit sa doctrine à six semaines d’une deadline bruxelloise, ce n’est en général pas le calendrier de l’Avent qui l’a inspirée.

LinkedIn Reddit Substack