<p>Los mandatos de Software Bill of Materials están reconfigurando la forma en que se eligen a los proveedores.</p>

La brecha de Ernst & Young esta semana, reclamada por la banda de extorsión ShinyHunters, siguió un patrón que se ha convertido en el modo de fallo por defecto de 2026: los atacantes no rompieron las defensas propias de EY, sino que comprometieron credenciales a través de un proveedor de la cadena de suministro y entraron por la puerta principal. Ese patrón es exactamente lo que los mandatos de lista de materiales de software (SBOM) están diseñados para detectar antes de que ocurra — y la mayoría de las empresas todavía no pueden actuar sobre los SBOM que ya están obligadas a recolectar.

Un SBOM es un inventario estructurado de cada componente dentro de un software: cada librería, cada dependencia, cada versión, hasta el módulo más pequeño, incluyendo firmware. La idea es sencilla — si sabes exactamente qué hay dentro del producto de un proveedor, puedes cotejarlo contra vulnerabilidades conocidas en el momento en que aparece un nuevo CVE, en lugar de enterarte durante una llamada de respuesta a incidentes.

La Ola Regulatoria que Llega en 2026

La Ley de Ciberresiliencia de la UE, en vigor desde diciembre de 2024, entra en su fase de aplicación este año. Los requisitos de notificación de vulnerabilidades e incidentes entran en vigor en septiembre de 2026, y los requisitos completos de producción de SBOM los siguen en diciembre de 2027 — dando a los proveedores un margen, pero no indefinido. La CRA exige un inventario exhaustivo de componentes de cualquier proveedor que venda productos digitales en el mercado de la UE, lo que en la práctica significa la mayoría de los proveedores globales de software.

Los servicios financieros enfrentan un requisito paralelo