SBOM이 정확히 뭔가요? 의료기기 인허가할 때 꼭 필요한 건가요?

SBOM(Software Bill of Materials)은 제품에 들어간 소프트웨어 구성 요소 전체를 정리한 명세서입니다. 식품 성분표처럼 “이 기기 안에 어떤 라이브러리가, 어떤 버전으로 들어있는지”를 적는 문서라고 보시면 됩니다. 펌웨어, 앱, 미들웨어 구분 없이 오픈소스와 상용 컴포넌트 모두 포함됩니다. 작성 수준과 관련해서는 컴포넌트명, 버전, 공급사 정도는 기본이고, 각 컴포넌트에 알려진 보안 취약점(CVE)이 있다면 어떻게 대응했는지 근거까지 포함해야 합니다. 취약점이 있다고 탈락하는 게 아니라, 대응 근거가 없을 때 CAR이 나옵니다. 제출 의무 여부는 EU MDR과 FDA 둘 다 현재 사실상 필수입니다. FDA는 2023년 10월부터 법적 의무가 생겼고, CycloneDX 또는 SPDX 형식을 권고합니다. EU MDR은 형식을 강제하지 않아서 FDA용 SBOM을 그대로 EU에도 제출할 수 있습니다. 두 시장을 동시에 준비하신다면 처음부터 위 두 형식 중 하나로 만들어두시는 게 가장 효율적입니다. 한 가지 덧붙이면, 개발 완료 시점이 아니라 실제 제출 시점 버전으로 작성해야 합니다. 제출 직전에 버전 한 번 더 확인하시길 권장드립니다.