Qu'est-ce qu'un SBOM ?

Un SBOM (Software Bill of Materials) est un inventaire formel et structuré de tous les composants, bibliothèques et dépendances qui constituent un logiciel, avec leurs versions. Il permet de savoir avec exactitude de quoi est composé un système.

À quoi sert un SBOM en pratique ?

Il sert à répondre rapidement aux vulnérabilités de la chaîne d'approvisionnement. Lorsqu'une faille est découverte dans un composant précis, le SBOM permet d'identifier en quelques heures les applications qui l'utilisent, au lieu de vérifier manuellement chaque système.

Qu'exige DORA à ce sujet ?

DORA exige que les entités financières gèrent le risque TIC associé aux fournisseurs et aux composants tiers. Tenir un SBOM à jour est un moyen pratique d'inventorier ces dépendances et de démontrer la maîtrise de la chaîne d'approvisionnement logicielle.

Glossaire · Cybersécurité · Chaîne d'approvisionnement

SBOM : inventaire formel des composants logiciels

Un SBOM (Software Bill of Materials) est l'inventaire formel de tous les composants et dépendances qui composent une application, avec leurs versions et leur provenance. C'est l'équivalent de la nomenclature d'un produit industriel : sans lui, une organisation ne sait pas précisément quel logiciel elle exécute ni à quelles vulnérabilités elle est exposée.

Que contient-il et à quoi sert-il

Composants et versions — liste des bibliothèques internes et tierces, avec la version exacte de chacune.
Dépendances transitives — également les dépendances indirectes, où se nichent souvent les vulnérabilités les moins visibles.
Réponse en quelques heures — face à une faille telle que Log4Shell, un SBOM permet d'identifier immédiatement les systèmes utilisant le composant affecté, au lieu d'auditer manuellement chaque application.
Format structuré — il est généré de façon automatisée dans des formats lisibles par machine, intégrables aux flux d'inventaire et de réponse.

Pourquoi cela compte en banque régulée

La gestion du risque de la chaîne d'approvisionnement logicielle est une exigence croissante. DORA oblige les entités financières à connaître et à gérer le risque TIC des composants tiers, et la directive NIS2 renforce la sécurité de la chaîne d'approvisionnement dans les secteurs essentiels. Un SBOM transforme cette exigence en une capacité opérationnelle : lorsqu'une vulnérabilité critique est publiée, l'entité peut déterminer son exposition en quelques heures et non en quelques semaines, et documenter sa réponse auprès du superviseur.

Comment Vermont Solutions vous aide

Visibilité de la chaîne logicielle

Nous aidons les entités financières à inventorier leurs composants au moyen d'un SBOM et à transformer cet inventaire en capacité de réponse aux vulnérabilités, en cohérence avec DORA.

Voir gouvernance et conformité →

Fuentes

CISA — Software Bill of Materials (SBOM)

Dernière mise à jour : 2026-06-21. Contenu éditorial de Vermont Solutions, citable sous attribution.