Что закрепить в обязательстве передавать SBOM для постоянно обновляемого SaaS?

Перечень компонентов нужно привязать к версии SaaS и процедуре обновления. Обещание предоставить документ по запросу не определяет его полноту и сроки.

Civius, юридическая компания Анна Воронцова, старший юрист; правовая позиция на 2026-10-13

Короткий ответ

Согласуйте, к какой версии SaaS относится SBOM, что он охватывает, в каком формате передаётся и когда обновляется. Формулировка «предоставим по запросу» оставляет открытыми сроки, полноту и пригодность документа для проверки.

Это практическая рекомендация для договора с поставщиком. Она не означает, что российское право обязывает любой облачный сервис выдавать такой перечень каждому заказчику.

Привяжите документ к работающей версии

Для постоянно обновляемого сервиса важны дата формирования и идентификатор версии или развёртывания. Заказчик должен понимать, относится ли полученный файл к системе, которой он пользуется сейчас.

Охват перечня согласуйте отдельно: какие части продукта включаются, какие исключены и как обозначаются неизвестные компоненты. Пустое поле не должно незаметно превращаться в подтверждение отсутствия зависимостей.

В договоре B2B-услуг определите машиночитаемый формат, канал передачи и ответственных. Если нужна автоматическая загрузка в систему проверки, заранее убедитесь, что согласованный файл ею обрабатывается.

Опишите обновление и исправление

Укажите, какие изменения вызывают выпуск нового перечня и в какой срок он поступает заказчику. Для частых релизов полезно определить порядок сопоставления предыдущего и нового состава.

Свяжите эту процедуру с условиями обновления облачного сервиса. Отдельно установите, как сообщать об ошибке в перечне, кто её проверяет и когда передаётся исправленная версия.

На приёмке проверьте документ на конкретном обновлении: удаётся ли определить версию продукта, прочитать состав и получить уточнение по неизвестному элементу. Такой пример помогает обнаружить пробелы до того, как перечень понадобится при реальном инциденте.

Если нужно применить ответ к Вашей ситуации или документам, Разработать договор услуг между компаниями: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.