La lettura standard dell’SBOM non basta più per i prodotti cloud e per l’AI. Il punto nuovo è che la trasparenza richiesta non riguarda solo il software spedito come binario: per SaaS e sistemi di AI servono elementi aggiuntivi, perché dipendenze, confini di proprietà e componenti reali sono meno visibili del normale pacchetto software.
CISA, NSA, FBI e partner internazionali hanno pubblicato le 2026 Minimum Elements for a Software Bill of Materials, che sostituiscono la baseline NTIA del 2021. Il testo conferma il ruolo dell’SBOM come base della supply chain security e aggiunge esplicitamente che alcune classi di software, tra cui AI e SaaS in ambienti cloud, possono richiedere ulteriori elementi rispetto al minimo comune.
Per chi produce o acquista software come servizio, il perimetro SBOM si allarga a dipendenze cloud e componenti legati al modello, non solo alle librerie incluse nel rilascio. Restano validi i principi di base, ma la soglia di trasparenza attesa dal lato federale si sposta verso i servizi sempre connessi e meno ispezionabili.