Подтверждает ли переданный SBOM отсутствие уязвимостей и правовых рисков ПО?

SBOM описывает состав ПО. Отсутствие уязвимостей, правомерность использования и обязанность исправлять проблемы требуют самостоятельной проверки и условий.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2026-10-13

Короткий ответ

Нет. SBOM показывает заявленный состав программного продукта. Сам по себе этот документ не подтверждает отсутствие уязвимостей, соблюдение всех лицензий или готовность поставщика исправлять обнаруженные проблемы.

В договоре нужно отдельно определить проверку безопасности, правовые гарантии и последствия недостатков. Это рекомендация для согласования B2B-условий, а не утверждение об обязательной российской форме такого документа.

Перечень помогает искать, но не заменяет проверку

По названию и версии компонента можно начать анализ известных уязвимостей и лицензионных условий. Однако результат зависит от точности перечня, актуальности сведений и особенностей использования продукта.

Отсутствие компонента в файле может означать неполноту документа. Наличие компонента не объясняет автоматически, какие требования его лицензии применяются к конкретному способу поставки или эксплуатации.

В договоре сопровождения между компаниями укажите, кто проводит проверки, сообщает о находках и устраняет проблему. Определите сроки и порядок подтверждения результата.

Согласуйте самостоятельные обещания

Договорная гарантия должна описывать, что именно обещает поставщик. Передача перечня, регулярный поиск уязвимостей и устранение критической ошибки являются разными действиями. Выполнение первого не подтверждает выполнение остальных.

Сопоставьте эти обязательства с общими условиями использования сервиса. Если документы расходятся, заранее определите применимый порядок и исправьте противоречие.

Приёмку также стоит разделить: получен ли читаемый перечень нужной версии, выполнена ли согласованная проверка и устранены ли выявленные нарушения. Подписание акта только о передаче SBOM не должно незаметно превращаться в подтверждение полной безопасности и лицензионной чистоты всей системы.

Если нужно применить ответ к Вашей ситуации или документам, Разработать договор услуг между компаниями: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.