SBOM 和组件记录
CRA 将组件可见性作为 vulnerability handling 的一部分。Annex I 要求 manufacturers 识别和记录漏洞及组件，包括编制 software bill of materials。
Annex I 要求
identify and document vulnerabilities and components contained in products with digital elements, including by drawing up a software bill of materials in a commonly used and machine-readable format covering at the very least the top-level dependencies of the products;
Regulation (EU) 2024/2847, Annex I, Part II, point (1)
SBOM 是更广义组件记录的一部分。它帮助 manufacturer 理解产品包含哪些组件，以及哪些漏洞可能影响这些组件。
需要区分的对象
SBOM
机器可读的软件组件记录。Annex I 至少要求 top-level dependencies。
集成组件
产品中包含的组件，可能为成品带来 vulnerability-handling 义务。
第三方组件
第三方组件被集成进产品时，Article 13 要求 due diligence。
主管机关访问
在有理由请求且检查 Annex I 合规需要时，Annex VII 包含 SBOM 访问规则。
技术文件连接
Annex VII 将组件和 SBOM 信息放入 technical documentation。它还要求 vulnerability-handling 流程信息、coordinated vulnerability disclosure policy、报告联系地址和安全更新分发。
流程侧内容见 Vulnerability Handling Records 和 prEN 40000-1-3 Vulnerability Handling.
格式状态
Article 13 允许 Commission 通过 implementing act 指定 SBOM 的格式和元素，同时考虑欧洲或国际标准及最佳实践。在该 act 出现前，稳妥表述是：Annex I 要求使用常见、机器可读格式，并且至少覆盖 top-level dependencies。
- 不要把 PDF 组件清单当作 Annex I 要求的 SBOM 格式。
- 不要把 SBOM 当作完整的 vulnerability-handling 流程。
- 不要假定 SBOM 总是公开；Annex VII 有特定的主管机关请求规则。