С марта 2027 года все драйверы, представленные для аттестации через программу WHCP, должны будут сопровождаться спецификацией Software Bill of Materials (SBOM) и заявлением Vulnerability Exploitability Exchange (VEX). Если производитель не предоставит хотя бы один из этих документов или они не пройдут проверку, драйвер не получит подпись.
Новое требование будет распространяться на драйверы для Windows 11 (версия 25H2 и версия 26H1); для Windows Server 2025 и более новых выпусков.
В связи с нововведениями Microsoft в декабре 2026 года выпустит версию Windows Device Kit (WDK) с инструментами для генерации файлов SBOM и VEX. Документация также выйдет примерно в это время.
Сообщается, что изменения связаны со вступлением в силу Закона ЕС о киберустойчивости. Документ требует в том числе создать SBOM, поддерживать её актуальность и передавать в надзорные органы по требованию; поддерживать среды управления уязвимостями, например, публичный канал для отправки отчётов; обновления безопасности отделить от функциональных и так далее. Штрафы могут достигать 15 млн евро или 2,5% годового мирового оборота компании.
Источник: habr.com