Cryptographic Bill of Materials (CBOM): sapere che crittografia si usa prima di migrare

Il Cryptographic Bill of Materials risponde a una domanda che quasi ogni organizzazione, davanti alla migrazione post-quantum, scopre di non saper trasformare in un elenco: dove, e con quali algoritmi, chiavi e certificati, l’azienda usa la crittografia.

Sembra una domanda banale, e invece è insidiosa. La crittografia non vive in un posto solo: è incorporata nelle applicazioni, nelle librerie di terze parti, nei protocolli negoziati durante l’esecuzione, nei certificati che scadono in silenzio, nell’hardware. Nessuno l’ha mai censita davvero, perché finora non serviva. Ora serve, e serve in fretta.

La ragione è la transizione verso una crittografia resistente ai computer quantistici. La spingono scadenze ormai fissate e la minaccia del “raccogli ora, decifra dopo”, che rende urgente proteggere già oggi i segreti destinati a durare a lungo.

Prima di sostituire un algoritmo, però, bisogna sapere di averlo. Il CBOM è lo strumento standardizzato che trasforma questa consapevolezza da esercizio manuale a inventario ripetibile. Senza di esso, la migrazione procede alla cieca.

Che cos’è un Cryptographic Bill of Materials

Un Cryptographic Bill of Materials è l’inventario strutturato e leggibile dalle macchine delle risorse crittografiche di un sistema: algoritmi, chiavi, certificati e protocolli, insieme alle relazioni che li legano ai componenti software che li usano.

È l’estensione, al mondo della crittografia, di un’idea già familiare, quella del Software Bill of Materials. Come l’SBOM elenca le componenti di cui un software è fatto, il CBOM elenca la crittografia che quel software impiega, e dove la impiega. La differenza sta nelle dipendenze: qui non sono librerie ma primitive crittografiche, ed è proprio la loro invisibilità a rendere l’inventario necessario.

Lo standard di riferimento è nato in ambito aperto. Il formato CBOM è comparso in CycloneDX, il progetto OWASP per le distinte dei materiali, con la versione 1.6 dell’aprile 2024, su un contributo iniziale di IBM Research. Ecma International lo ha poi ratificato come ECMA-424, prima edizione, nel giugno 2024.

Il percorso non si è fermato lì. La versione 1.7, rilasciata il 21 ottobre 2025, è stata adottata dall’Assemblea generale di Ecma come ECMA-424, seconda edizione, nel dicembre 2025. La nuova versione amplia le capacità crittografiche del formato: aggiunge un elenco standardizzato delle famiglie di algoritmi e una lista completa delle curve ellittiche, utili anche fuori da CycloneDX per le verifiche di conformità e di prontezza al post-quantum.

Non si tratta quindi di un formato proprietario legato a un fornitore. È una grammatica comune con cui descrivere la postura crittografica di un’organizzazione, generarla con strumenti di scoperta automatica e scambiarla come si scambia già un SBOM.

Perché l’inventario viene prima della migrazione

Gli standard post-quantum principali ci sono. Nell’agosto 2024 il NIST ha finalizzato i primi tre algoritmi resistenti al calcolo quantistico, cioè FIPS 203, 204 e 205.

“Primi” è la parola esatta, perché il quadro non è ancora completo: un ulteriore algoritmo, HQC, è stato selezionato nel marzo 2025, e la firma FN-DSA, che diventerà FIPS 206, è tuttora in lavorazione. Le agenzie, intanto, hanno iniziato a fissare le date entro cui abbandonare gli algoritmi vulnerabili.

Il problema, insomma, non è più quale crittografia adottare, ma dove va applicata. Ed è qui che casca l’asino: la maggior parte delle organizzazioni non possiede una mappa di dove e come usa la crittografia. È un sapere sparso fra team diversi, sepolto in codice scritto anni prima, delegato a componenti che nessuno controlla riga per riga.

Non a caso le autorità mettono l’inventario al primo posto. Il documento congiunto di CISA, NSA e NIST dell’agosto 2023 indica come passo iniziale proprio la costruzione di un inventario crittografico: sapere quali algoritmi sono in uso, in quali sistemi, a protezione di quali dati.

Il principio è semplice quanto trascurato: non si può migrare ciò che non si vede. Senza quella mappa, ogni piano di transizione resta una stima e ogni scadenza un salto nel buio.

Stati Uniti: l’ordine esecutivo che nomina il CBOM

Da allora le autorità hanno alzato la posta, e il CBOM è passato dalle raccomandazioni a un atto di governo.

Il 22 giugno 2026 la Casa Bianca ha emanato l’ordine esecutivo 14412, Securing the Nation Against Advanced Cryptographic Attacks, pubblicato sul Federal Register del 25 giugno. Il provvedimento incarica la CISA, in coordinamento con il NIST, di pubblicare entro 270 giorni, quindi verso il 19 marzo 2027, una guida sugli elementi minimi di un cryptographic bill of materials capace di abilitare la valutazione automatizzata delle risorse crittografiche di un componente hardware o software.

Lo stesso ordine fissa le scadenze della migrazione federale: la transizione dei sistemi più sensibili alla cifratura post-quantum entro il 31 dicembre 2030 e quella dell’autenticazione entro il 31 dicembre 2031.

Interpretazione. Per quanto risulta dai testi pubblici, è la prima volta che una direttiva federale nomina il CBOM come artefatto definito, e non come buona pratica generica. Il segnale che se ne ricava è che l’inventario diventa la base su cui si costruirà la conformità.

Europa: roadmap, proposta di direttiva e indicazioni dell’ACN

Il baricentro del dibattito è statunitense, ma la stessa direzione si legge in Europa, ed è la parte che riguarda più da vicino chi lavora in Italia.

La Coordinated Implementation Roadmap del Gruppo di Cooperazione NIS, del giugno 2025, chiede agli Stati membri tre cose: avviare la transizione entro la fine del 2026, completare la migrazione delle infrastrutture critiche non oltre il 2030 ed estenderla ai sistemi restanti, per quanto praticabile, entro il 2035.

La spinta potrebbe poi irrigidirsi in obbligo. Il 20 gennaio 2026 la Commissione ha presentato la proposta di direttiva COM(2026) 13, nell’ambito di un pacchetto di semplificazione della NIS2 e di allineamento al Cybersecurity Act. Il nuovo articolo 7(2)(k) scriverebbe la crittografia post-quantum direttamente nel testo della direttiva.

Vale la pena precisare a chi si rivolge l’obbligo. La disposizione impegna gli Stati membri ad adottare, nelle rispettive strategie nazionali di cybersicurezza, politiche per la transizione al post-quantum. Non impone quindi un adempimento diretto ai singoli soggetti essenziali e importanti: sposta però la pianificazione dall’interpretazione della clausola sullo “stato dell’arte” a un requisito nominato, che gli Stati dovranno poi tradurre in misure. La proposta è in procedura legislativa ordinaria e il testo può ancora cambiare.

Per l’Italia la scadenza di fine 2026 è vicina, e il segnale nazionale è già arrivato. L’11 giugno 2026 l’Agenzia per la Cybersicurezza Nazionale ha pubblicato due nuovi documenti delle linee guida sulle funzioni crittografiche, dedicati ai cifrari a flusso e alle firme digitali, e ha aggiornato alla versione 2.0 la guida sul TLS, integrandovi le soluzioni post-quantum.

La distinzione che l’ACN traccia è utile in sede di pianificazione: i cifrari a flusso, essendo crittografia simmetrica, non risultano particolarmente esposti agli attacchi quantistici, mentre gli schemi classici di firma digitale rientrano fra le primitive più vulnerabili, e per questo le raccomandazioni includono già le alternative post-quantum.

Il messaggio, su entrambe le sponde dell’Atlantico, converge: la migrazione ha una data, e una data trasforma l’inventario da progetto rimandabile a compito immediato.

Dal CBOM alla crypto-agility

L’inventario, di per sé, non protegge nulla. È il presupposto di ciò che viene dopo.

Con una fotografia accurata della crittografia in uso, un’organizzazione può fare ciò che senza quella mappa resta un’ipotesi. Può separare gli algoritmi vulnerabili al quantum da quelli ancora solidi. Può stabilire una priorità, mettendo in cima ciò che protegge segreti destinati a durare anni. Può scovare la crittografia debole o scaduta che si annida ovunque, non solo quella da rimpiazzare in vista del post-quantum.

È qui che il CBOM incontra la crypto-agility, cioè la capacità di cambiare algoritmo senza riscrivere l’applicazione da capo. Se la crypto-agility è l’obiettivo, il CBOM è la mappa che lo rende raggiungibile: non si sostituisce in modo ordinato ciò di cui si ignora la collocazione.

Un inventario tenuto aggiornato trasforma una migrazione monolitica e rischiosa in una serie di interventi mirati e verificabili. Permette inoltre di dimostrare a un revisore, dati alla mano, a che punto sia la transizione. La stessa logica vale per la migrazione post-quantum nel suo complesso, che diventa gestibile solo quando poggia su un inventario reale anziché su una supposizione.

I limiti: un inventario non è una migrazione

Sarebbe un errore trattare il CBOM come una soluzione anziché come un punto di partenza.

La scoperta della crittografia è tecnicamente difficile. Gli algoritmi si nascondono nei binari, nell’hardware, nelle componenti di terze parti e nei protocolli decisi solo al momento della connessione, e nessuno strumento li individua tutti con certezza.

Un CBOM, inoltre, è una fotografia, e come ogni fotografia invecchia. Senza un processo che lo mantenga aggiornato diventa in fretta il ritratto di un sistema che non esiste più. Gli strumenti di generazione stanno maturando, ma non sono ancora chiavi in mano, e la parte più insidiosa resta la crittografia che non lascia tracce facili da leggere.

Proprio per questo l’inventario non va inteso come una precondizione da esaurire prima di muoversi.

Dichiarazione di parte. Commentando l’ordine esecutivo, Cloudflare ha messo in guardia dal trasformare il CBOM esaustivo in un prerequisito paralizzante: catalogare ogni algoritmo in ogni libreria richiede molto tempo, e il rischio è che l’inventario risulti già superato quando viene completato. Il punto è tecnicamente fondato, ma va letto tenendo conto che l’azienda è un fornitore di servizi di rete con un interesse diretto nella rapidità della transizione, avendo fissato al 2029 il proprio traguardo di piena sicurezza post-quantum.

La lezione operativa resta valida: conviene procedere in parallelo, cominciando a migrare i sistemi più esposti mentre l’inventario si affina, invece di attendere una mappa perfetta che forse non arriverà mai.

Va poi ricordato che l’inventario, da solo, non corregge nulla. Elencare gli algoritmi deboli non li sostituisce. Produrre un CBOM solo per spuntare una casella di conformità, senza usarlo per pianificare e verificare, è un costo senza ritorno.

La via realistica è duplice. Da un lato automatizzare la scoperta il più possibile e integrarla nei processi, così che l’inventario si aggiorni da sé. Dall’altro trattare il CBOM come uno strumento di lavoro continuo, non come un allegato prodotto una volta e poi dimenticato.

Che cosa aspettarsi, senza illusioni

La migrazione post-quantum sarà la più grande transizione crittografica degli ultimi decenni, e il Cryptographic Bill of Materials ne è la parte meno vistosa e più decisiva.

Il ritorno concreto non è un documento in più. È la capacità di rispondere con i dati a domande che oggi ricevono solo stime: quali sistemi usano crittografia vulnerabile, dove, e con quale priorità intervenire.

L’orologio del “raccogli ora, decifra dopo” ha già iniziato a scorrere per i dati che devono restare riservati a lungo. Chi tratta il CBOM come un adempimento otterrà un file inutile. Chi lo tratta come la mappa su cui costruire la propria crypto-agility otterrà il controllo di una transizione che, altrimenti, subirà alla scadenza.