SBOMs en 2026: Todo el mundo los genera, nadie los usa

ENISA acaba de publicar su Estado de la Adopción de SBOM 2026, basado en una encuesta a 334 organizaciones (65% con sede en la UE, 80% directamente afectadas por la Ley de Ciberresiliencia (CRA)). Es la instantánea más clara hasta la fecha de dónde se encuentra la industria en cuanto a la transparencia de la cadena de suministro de software, y la situación es más matizada que un simple "todos están a bordo".

Esto es lo que destacó.

La CRA está asumiendo la mayor parte del trabajo

Como era de esperar, la CRA es el principal impulsor de la adopción de SBOM. El 43% de las organizaciones afirma que la CRA ha acelerado significativamente su inversión en SBOM, y otro 29% reporta una influencia moderada. El 78% ha iniciado su andadura con los SBOM, y el 79% espera alcanzar el nivel de madurez requerido para cuando la CRA sea plenamente aplicable en diciembre de 2027.

Esto deja a aproximadamente 1 de cada 5 organizaciones que esperan incumplir el plazo, y el 12% ni siquiera puede estimar un plazo.

Generar SBOMs y utilizarlos son dos cosas distintas

La mayoría de las organizaciones ahora producen SBOMs. El 39% los genera en tiempo de compilación, y el 74% tiene una generación por lanzamiento al menos parcialmente automatizada. Pero el consumo está rezagado:

• El 44% reporta una brecha moderada entre la generación de SBOMs y su utilización real, y el 23% reporta una brecha significativa. Solo el 7% la ha cerrado.
• El 20% de los encuestados no sabe si o cómo se consumen los SBOMs en su organización.
• La propia conclusión de ENISA es que los SBOMs se utilizan "principalmente con fines de cumplimiento" en lugar de para la seguridad activa.

Una SBOM sin leer en un registro de artefactos no es más que papeleo. Las SBOM solo aportan valor cuando se utilizan para la gestión de vulnerabilidades y licencias. Ahí es donde los equipos tienen dificultades. El 58 % considera que la correspondencia de vulnerabilidades (alineación de CPE/PURL, falsos positivos) es un reto importante, y el 60 % señala problemas de calidad de los datos, como componentes e identificadores incompletos. Lee nuestro artículo «Comprender el riesgo de las licencias de código abierto » para saber más sobre cómo determinamos el riesgo y por qué es fiable.

Los proveedores no están enviando SBOMs

La mayoría de las organizaciones no están recibiendo SBOMs de sus proveedores porque la mayoría de los proveedores no los están enviando.

• El 39% de las organizaciones nunca recibe SBOMs para el software comercial que adquieren. Otro 39% solo lo hace rara vez. Solo el 2% los recibe siempre.
• Solo el 10% tiene cláusulas SBOM obligatorias en los contratos con proveedores (aunque el 55% está trabajando en ello).
• El 45% afirma que menos de un cuarto de sus proveedores cumple con sus requisitos de SBOM.
• La completitud (27%), la precisión de los identificadores (17%) y las referencias a vulnerabilidades (12%) son las principales brechas de calidad.

La profundidad agrava el problema de calidad. El 36% de las organizaciones necesita SBOMs que cubran todos los componentes primarios y las dependencias directas, pero solo el 29% los recibe. Para los SBOMs de profundidad completa, la brecha es del 24% necesario frente al 14% recibido. Y el 45% ni siquiera sabe qué profundidad está obteniendo. 

Dado que la mayoría de las vulnerabilidades del mundo real se ocultan en dependencias transitivas, esto limita directamente el valor de seguridad de cualquier programa SBOM.

Lo que también revelan los datos

El informe revela algunos hallazgos adicionales que muestran una industria que comprende el problema y que tiene dificultades para llevarlo a cabo.

Qué se interpone en el camino

• La preocupación supera la inversión. Más del 90% de las organizaciones se preocupa por la seguridad de la cadena de suministro, pero solo el 34% le asigna recursos significativos. Una brecha de habilidades agrava el problema, con el 57% citando la falta de habilidades o personal como una barrera.
• La completitud es la principal barrera. El 62% afirma que lograr un alto grado de completitud de SBOM es bastante o extremadamente difícil.
• Las guerras de formatos no han terminado. CycloneDX lidera (44%) sobre SPDX (29%), pero el 28% todavía utiliza formatos propietarios o no estándar. Esto es un riesgo de cumplimiento directo, ya que la CRA exige un formato de uso común y legible por máquina y la directriz BSI de Alemania espera explícitamente CycloneDX 1.6+ o SPDX 3.0.1+.

Quién está a la cabeza y qué viene después

• Las pequeñas empresas están discretamente a la cabeza. El 23-25% de las micro y pequeñas empresas reporta una implementación de SBOM madura y automatizada, frente a solo el 4-6% de las medianas y grandes. Mientras tanto, el 36% de las grandes empresas ve los SBOMs como una "carga obligatoria".
• El mercado demanda  una implementación de referencia con pipelines predefinidos (26%), benchmarks de herramientas y una guía del comprador (22%), pruebas de conformidad (18%), y un perfil que defina cómo es un SBOM "suficientemente bueno" (31%).

Qué significa esto en la práctica

Los datos de ENISA señalan la utilización como el desafío que definirá 2026. Esto significa generación automatizada en cada compilación, actualizaciones continuas durante todo el período de soporte del producto, flujos de trabajo de vulnerabilidades realmente vinculados a los datos de SBOM, y visibilidad sobre lo que sus proveedores le envían. Ahí es donde la encuesta muestra las mayores brechas, y es donde la CRA aplicará la mayor presión.

Cómo Aikido le ayuda a conseguirlo

Aquí es donde entra Aikido Security, llevando la transparencia de la cadena de suministro más allá del mero cumplimiento e integrándola en sus flujos de trabajo de vulnerabilidades y licencias.

Cómo genera Aikido SBOM que realmente se pueden utilizar

SBOM automatizado de la SBOM

‍Aikidoutiliza Syft para generar SBOM precisas y las enriquece automáticamente con información detallada sobre licencias y derechos de autor para mejorar su calidad general.

Dependencias directas frente a transitivas

‍La función de exportación CycloneDX de Aikidosepara automáticamente las dependencias directas de las transitivas. Esto se ajusta perfectamente al requisito Ley de Ciberresiliencia la UE de mantener un inventario de dependencias de primer nivel. De este modo, se obtiene una SBOM precisa sin tener que rastrear manualmente el árbol de dependencias.

Generación de SBOM con un solo clic en el formato adecuado 

Con un solo clic, Aikido genera SBOMs para sus repositorios en CycloneDX y SPDX, los dos formatos que la CRA y la guía de la BSI señalan. Esto cubre al 28% de las organizaciones todavía atascadas en formatos propietarios y la obligación de "contenido mínimo en formato legible por máquina", y las exportaciones están listas para incluirse en su documentación técnica cuando una autoridad de vigilancia del mercado lo solicite.

Consumo de SBOM, incluidos los SBOMs autoinformados

Generar su propio SBOM solo cubre el código que usted escribe. Aikido también le permite importar SBOMs que recibe de proveedores y suministradores (SBOMs autoinformados), para que los componentes de terceros se integren en la misma monitorización de vulnerabilidades que sus propias dependencias. Dado que el 39% de las organizaciones nunca reciben SBOMs de proveedores y la mayoría de las que sí los reciben no pueden actuar sobre ellos, tener un lugar donde los SBOMs de los proveedores se conviertan en inventario monitorizado, cotejado continuamente con vulnerabilidades conocidas, cierra la brecha de consumo que describe ENISA.

Aikido Device Protection: visibilidad donde los SBOMs no llegan

Los SBOMs describen lo que hay en sus productos. Pero su superficie de ataque también incluye las máquinas que construyen y escriben ese software. Desplegar Aikido Device Protection en servidores de compilación y máquinas de desarrolladores extiende esa misma mentalidad de inventario y vulnerabilidad a su entorno de desarrollo, cubriendo qué herramientas, runtimes y paquetes están instalados, cuáles están obsoletos o son vulnerables, y si el entorno que produce sus compilaciones "de confianza" es, a su vez, fiable. Con los ataques a la cadena de suministro dirigidos a las pipelines de CI y a las estaciones de trabajo de los desarrolladores en lugar del propio código, esto cierra un punto ciego que ningún SBOM le mostrará jamás.

Juntas, estas tres capacidades le permiten saber qué envía, qué consume y el entorno donde todo se construye. Funcionan de forma continua, sin añadir otro panel de control que su equipo ignore. Eso es seguridad de la cadena de suministro que va más allá del mero cumplimiento.