Mercado de listas de materiales de software para automoción (SBOM) y gestión de vulnerabilidades Tamaño y Compartir 2026-2035

Tamaño del mercado de listas de materiales de software (SBOM) y gestión de vulnerabilidades para automoción

El mercado mundial de listas de materiales de software (SBOM) y gestión de vulnerabilidades para automoción se valoró en 920,5 millones de USD en 2025 y se prevé que alcance los 4,700 millones de USD en 2035, con un crecimiento a una tasa de crecimiento anual compuesta (TCAC) del 17,3% entre 2026 y 2035. Según el último informe publicado por Global Market Insights Inc., el valor del mercado alcanza los 1,100 millones de USD en 2026.

El mercado se expande a medida que los programas de ciberseguridad para automoción pasan de la documentación periódica al control continuo de los componentes de software, las vulnerabilidades y las evidencias de remediación. Las arquitecturas de vehículos definidos por software, las actualizaciones de software OTA, las dependencias de código abierto y los intercambios de información entre proveedores de varios niveles están aumentando el volumen y la frecuencia de las tareas de gobernanza del software en las organizaciones de fabricantes de equipos originales (OEM) y proveedores.

El crecimiento hasta 2035 reflejará la conversión de la trazabilidad del software de un entregable de cumplimiento normativo en un requisito operativo para los programas de vehículos conectados. Los OEM necesitan inventarios actualizados de los componentes, ya que las versiones OTA, las actualizaciones de los proveedores y las divulgaciones de vulnerabilidades modifican los estados del software de los vehículos. Por tanto, la demanda va más allá de la implementación inicial e incluye la supervisión recurrente, la validación de los datos de los proveedores, la priorización de riesgos y la elaboración de informes preparados para auditorías. El mercado también se beneficia de que los programas de vehículos eléctricos (VE) y vehículos definidos por software (SDV) incorporan capas de software para baterías, telemática, nube y comunicación vehículo-a-todo (V2X) que requieren una gobernanza durante todo su ciclo de vida.

Principales impulsores

Cumplimiento normativo obligatorio

El Reglamento n.º 155 del WP.29 de la CEPE se convirtió en obligatorio para todas las nuevas homologaciones de tipo de vehículos en la UE, el Reino Unido, Japón y Corea del Sur en julio de 2024, convirtiendo la gobernanza de la ciberseguridad en un requisito de acceso al mercado automovilístico.^{[1]UNECE, "UN Regulation No. 155 - Cyber Security and Cyber Security Management System". unece.org}ISO/SAE 21434, la Orden Ejecutiva 14028 de EE. UU. y el marco GB/T 44464-2024 de China exigen o fomentan además la trazabilidad estructurada del software, la gestión de vulnerabilidades, la atestación de proveedores y las evidencias de auditoría.^{[2]ISO, "ISO/SAE 21434 Road Vehicles - Cybersecurity Engineering". iso.org} Estos requisitos generan una demanda recurrente de monitorización del ciclo de vida de las SBOM, en lugar de una documentación puntual.

Crecimiento exponencial de la complejidad del software de los vehículos

Un vehículo moderno de alta gama puede contener entre 100 y 300 millones de líneas de código distribuidas entre cientos de ECU y más de 150 organizaciones proveedoras de software.^{[3]NIST, "National Vulnerability Database". nist.gov} Los programas de vehículos definidos por software añaden dependencias entre los sistemas ADAS, el infoentretenimiento, los servicios en la nube, la infraestructura OTA y los sistemas de control integrados. Stellantis completó más de 25 millones de actualizaciones OTA en 2024, lo que demuestra la rapidez con la que pueden cambiar los estados del software de los vehículos y los inventarios de componentes asociados.

Aumento de la frecuencia y sofisticación de los ciberataques

La Base de Datos Nacional de Vulnerabilidades del NIST registró más de 29.000 nuevas divulgaciones de CVE en 2024. El ransomware dirigido a vehículos conectados, la explotación de ECU, la vulneración de sistemas telemáticos, los vectores de ataque OTA y las deficiencias de la cadena de suministro de software aumentan la necesidad de correlacionar los datos brutos de vulnerabilidades con el software y la arquitectura reales de cada programa de vehículos. La monitorización continua reduce la brecha operativa entre la divulgación, la priorización, la corrección y las evidencias de cumplimiento.

La aceleración de la adopción de vehículos eléctricos y SDV amplía la superficie de ataque

Las ventas mundiales de vehículos eléctricos alcanzaron los 17 millones de unidades en 2024. Los sistemas de gestión de baterías, los controladores de dominio, los módulos V2X, las unidades de control telemático y las plataformas de servicios conectadas a la nube añaden capas de software que requieren visibilidad de los componentes y procesos definidos de respuesta a las vulnerabilidades. Por tanto, la adopción de SDV amplía tanto el número de activos de software que requieren gobernanza como el alcance comercial de las plataformas SBOM para el sector automovilístico.

Complejidad de integración con los flujos de trabajo heredados

Muchos programas de fabricantes de equipos originales y proveedores todavía utilizan ECU basadas en AUTOSAR, ciclos prolongados de validación de vehículos y cadenas de herramientas de desarrollo fragmentadas, diseñadas en torno a una entrega centrada en el hardware. La generación retrospectiva de SBOM puede requerir un análisis binario de la composición del software cuando no se dispone del código fuente original o de los entornos de compilación. Esta solución permite ampliar la cobertura a las flotas heredadas, pero aumenta la complejidad de implementación en C embebido, sistemas POSIX, middleware propietario y procesos de validación heterogéneos.

Brechas de interoperabilidad entre formatos de SBOM

SPDX, estandarizado como ISO/IEC 5962:2021, y CycloneDX se utilizan en las cadenas de suministro de automoción, lo que genera retos de normalización e intercambio de formatos. En 2025, menos del 30 % de los proveedores de software para automoción de nivel Tier-2 disponían de flujos de trabajo automatizados para generar SBOM, por lo que los OEM deben combinar los envíos legibles por máquina de proveedores avanzados con declaraciones manuales de organizaciones más pequeñas. Las directrices de CISA sobre los elementos mínimos proporcionan una base operativa, pero la aplicación de requisitos a los proveedores entre distintas jurisdicciones sigue siendo irregular.^{[4]CISA, "Software Bill of Materials Guidance". cisa.gov}

Escasez de profesionales de ciberseguridad para automoción

Los programas de SBOM para automoción requieren profesionales que combinen conocimientos de seguridad funcional, ingeniería de ciberseguridad conforme a ISO/SAE 21434, práctica de DevSecOps y análisis de composición de software. Este perfil sigue siendo escaso en relación con la demanda de los OEM y los proveedores. La limitación es especialmente acusada en India, México y el Sudeste Asiático, donde la actividad nacional de software para automoción y las expectativas en materia de ciberseguridad avanzan más rápido que las vías de formación de especialistas.

Elevado coste de implementación de los marcos de SBOM

Los programas empresariales requieren infraestructura de análisis, portales para proveedores, fuentes de inteligencia sobre vulnerabilidades, automatización del cumplimiento, operaciones de monitorización, formación y apoyo para auditorías. Estos costes son difíciles de asumir para los proveedores Tier-2 y de niveles inferiores, que operan con márgenes reducidos. El mercado posventa y los operadores de flotas también se enfrentan a estructuras organizativas fragmentadas y a presupuestos de ciberseguridad más limitados a corto plazo, lo que ralentiza la adopción pese al aumento del riesgo durante todo el ciclo de vida.

Análisis por segmentos del mercado de listas de materiales de software (SBOM) para automoción y gestión de vulnerabilidades

Por solución

El software generó 635,5 millones de USD en 2025, lo que representó el 69,0 % de los ingresos del mercado, y alcanzará un valor estimado de 3,359,5 millones de USD en 2035, con una TCAC del 17,7 %. El segmento incluye la generación de SBOM, el mapeo de dependencias entre componentes, la correlación de CVE, los paneles de control del cumplimiento, el seguimiento de la subsanación y las capacidades integradas de CSMS. Product Security Platform de Cybellum, AutoSPIN de C2A Security, Synopsys Black Duck y los ecosistemas de herramientas de ETAS y Vector Informatik ilustran la estructura comercial centrada en plataformas.

Los servicios generaron 285 millones de USD en 2025, lo que representó una cuota del 31,0 %, y alcanzarán un valor estimado de 1,343,1 millones de USD en 2035, con una TCAC del 16,4 %.

Los servicios profesionales abarcan la implementación y la integración de sistemas, la consultoría, y la formación y certificación, mientras que los servicios gestionados incluyen el mantenimiento de SBOM y la supervisión de vulnerabilidades, el portal de SBOM para proveedores y el aseguramiento de la calidad, así como la elaboración de informes de cumplimiento y el apoyo a las auditorías. DNV, AVL y LTTS abordan los requisitos de aseguramiento, ingeniería e implementación asociados a programas complejos de fabricantes de equipos originales (OEM) y proveedores. La demanda de plataformas está determinada por la consolidación de funciones de descubrimiento, supervisión, generación de evidencias y corrección, anteriormente separadas, en entornos operativos conectados. Los ingresos recurrentes de SaaS cobran importancia, ya que los clientes necesitan inteligencia actualizada sobre vulnerabilidades y actualizaciones del inventario, en lugar de análisis periódicos. La integración con las cadenas de herramientas de CSMS y DevSecOps también modifica las prioridades de adquisición: los OEM y los proveedores optan cada vez más por soluciones compatibles con los procesos establecidos de desarrollo, validación y OTA, al tiempo que mantienen la capacidad de servicio necesaria para implementaciones complejas en sistemas heredados y proveedores. El crecimiento del software se sustenta en los ingresos recurrentes por licencias y SaaS, que aumentan en función de la cobertura de modelos de vehículos, el volumen de componentes y la participación de los proveedores.

Los servicios siguen siendo esenciales para la integración de sistemas heredados y la incorporación de proveedores, aunque la automatización desplazará gradualmente la combinación de ingresos hacia el software.

Por aplicación funcional

La generación y el descubrimiento de SBOM generaron 269,3 millones de USD en 2025 y registraron la mayor cuota funcional, con un 29,3 %. Esta aplicación establece el inventario de componentes y el mapa de dependencias necesarios para la supervisión de vulnerabilidades, la elaboración de informes de cumplimiento, la gobernanza de licencias y el análisis de la cadena de suministro. Tanto la detección de binarios como la generación a nivel de código fuente son relevantes, especialmente cuando los OEM deben contabilizar el firmware de ECU heredadas que carece de flujos de trabajo nativos para la producción de SBOM.

La gestión de vulnerabilidades y riesgos generó 224,6 millones de USD en 2025, representó una cuota del 24,4 % y alcanzará un valor estimado de 1,194,5 millones de USD en 2035, con una TCAC del 17,8 %. La gestión del cumplimiento y la gobernanza, la gestión del cumplimiento de licencias y la gestión de riesgos de la cadena de suministro amplían la cartera de aplicaciones mediante las evidencias de CSMS, la gobernanza del software de código abierto, la validación de proveedores y los flujos de trabajo de riesgos multinivel. La demanda funcional está pasando de la creación inicial del inventario al uso continuo de los datos de SBOM en los flujos de trabajo de riesgos, cumplimiento y proveedores. La priorización asistida por IA ayuda a los equipos de seguridad a distinguir las exposiciones relevantes desde el punto de vista operativo de los grandes volúmenes de divulgaciones de CVE sin procesar. Al mismo tiempo, la supervisión del ciclo de vida y la automatización del cumplimiento conectan los resultados del descubrimiento con las evidencias de corrección, mientras que las funciones de la cadena de suministro amplían estos controles a organizaciones de nivel 1 e inferiores con distintos formatos, cadenas de herramientas y grados de madurez en materia de ciberseguridad. El descubrimiento sigue siendo la aplicación fundamental, ya que un inventario incompleto de componentes debilita todos los flujos de trabajo posteriores de ciberseguridad y cumplimiento.

La priorización de vulnerabilidades mediante IA aumenta el valor de las plataformas de gestión de riesgos al convertir los elevados volúmenes de CVE en agendas de corrección específicas para cada vehículo.

Por uso final

Los fabricantes de equipos originales del sector automovilístico generaron 367,8 millones de USD en 2025, lo que representó una cuota del 40,0 %, y alcanzarán un valor estimado de 2,029,6 millones de USD en 2035, con una TCAC del 18,2 %. Los OEM asumen la responsabilidad directa de la homologación de tipo de los vehículos, la gobernanza de CSMS, la cobertura de las líneas de modelos, la coordinación de los proveedores y las evidencias de ciberseguridad durante el ciclo de vida. Las actividades de CARIAD de Volkswagen Group y la gobernanza de la ciberseguridad y las OTA de Stellantis ilustran la magnitud de los programas de seguridad del software de los OEM.

Los proveedores de nivel 1 generaron 313,3 millones de USD en 2025, con una cuota del 34,0%, y alcanzarán un valor estimado de 1,591 millones 400 mil USD en 2035, con una TCAC del 17,2%. Los proveedores de nivel 2 y de niveles inferiores generaron 181,3 millones de USD, equivalentes a una cuota del 19,7%, y alcanzarán un valor estimado de 879,4 millones de USD en 2035, con una TCAC del 16,7%. Los operadores del mercado posventa y de flotas generaron 58,0 millones de USD, equivalentes a una cuota del 6,3%, y alcanzarán un valor estimado de 202,2 millones de USD en 2035, con una TCAC del 12,8%; la menor presión regulatoria y las limitaciones presupuestarias mantienen este segmento por debajo de la tasa de crecimiento de la demanda liderada por los fabricantes de equipos originales (OEM). La demanda se deriva de los programas de los OEM, ya que los requisitos de responsabilidad sobre la homologación y de gobernanza de la ciberseguridad se traducen en contratos con proveedores, solicitudes de evidencias y flujos de trabajo de incorporación. Por tanto, las organizaciones de nivel 1 actúan tanto como compradoras como coordinadoras de los datos de software de los proveedores de niveles inferiores. La adopción por parte de flotas y del mercado posventa sigue siendo más lenta porque los presupuestos, las estructuras organizativas y la presión inmediata en materia de cumplimiento son menos favorables, pero la conectividad de las operaciones de flota y la ampliación de las obligaciones durante el ciclo de vida aumentarán con el tiempo la relevancia de la supervisión de vulnerabilidades y los servicios gestionados. Los requisitos de los OEM generan una demanda recurrente, ya que los proveedores de nivel 1 y de niveles inferiores deben proporcionar inventarios de componentes y evidencias de ciberseguridad para conservar su elegibilidad en los programas.

Las ofertas de nube gestionadas son fundamentales para la adopción por parte de los proveedores de niveles inferiores, ya que reducen los requisitos iniciales de tecnología y de contratación de personal especializado.

Por vehículo

Los turismos incluyen programas de vehículos con carrocería hatchback, sedán y SUV, en los que el infoentretenimiento conectado, los sistemas avanzados de asistencia al conductor (ADAS), los servicios en la nube, el software actualizado de forma inalámbrica (OTA) y el elevado número de unidades de control electrónico (ECU) incrementan los requisitos de cobertura de las listas de materiales de software (SBOM). Los vehículos de pasajeros premium pueden contener entre 100 millones y 300 millones de líneas de código distribuidas en cientos de ECU, lo que hace necesario descubrir automáticamente los componentes y correlacionar las vulnerabilidades a escala de programa.

Las arquitecturas de vehículos eléctricos (EV) y vehículos definidos por software (SDV) profundizan los requisitos de gobernanza del software en ambos grupos de vehículos, ya que las funciones conectadas se extienden más allá de las ECU individuales e incluyen los sistemas de control de la batería, la telemática, las interfaces V2X, los servicios en la nube y los procesos OTA. Los turismos aportan volumen mediante el amplio despliegue de funciones conectadas, mientras que los programas de vehículos comerciales aportan relevancia operativa gracias a la conectividad de las flotas y al uso prolongado en campo. En ambos casos, la gestión de las SBOM adquiere mayor valor cuando los cambios en los componentes deben vincularse al estado específico del software que funciona en el vehículo. La demanda de turismos está determinada por la intensidad de software de las arquitecturas de vehículos conectados y premium.

La demanda de vehículos comerciales reflejará cada vez más los requisitos de supervisión a escala de flota y de seguridad de las operaciones conectadas.

Por modelo de implementación

La implementación basada en la nube (SaaS) generó 632,2 millones de USD en 2025, lo que representó una cuota del 68,7%, y alcanzará un valor estimado de 3,314 millones 500 mil USD en 2035, con una TCAC del 17,6%. Las plataformas SaaS permiten actualizaciones continuas, inteligencia centralizada sobre vulnerabilidades, acceso escalable de los proveedores y un menor coste inicial de infraestructura. Cybellum, C2A Security, VicOne y Upstream Security demuestran enfoques conectados a la nube para la supervisión del ciclo de vida, la correlación de riesgos, la colaboración con proveedores y la inteligencia de flotas.

La implementación local generó 288,3 millones de USD en 2025 y representó una cuota del 31,3%. Sigue siendo relevante para las organizaciones de OEM y proveedores que requieren control directo sobre la infraestructura interna, integración con sistemas heredados o entornos de desarrollo sensibles.

La implementación en la nube lidera porque la colaboración entre proveedores de varios niveles y las actualizaciones continuas de inteligencia son más fáciles de escalar mediante plataformas centralizadas.

Las implementaciones locales siguen siendo relevantes cuando los flujos de trabajo heredados, los controles internos o los requisitos de arquitectura específicos de cada programa limitan la adopción de la nube.

Análisis regional del mercado de listas de materiales de software (SBOM) y gestión de vulnerabilidades para el sector de la automoción

América del Norte

América del Norte generó 244,4 millones de USD en 2025, lo que representó el 26,6 % de los ingresos mundiales, y alcanzará un valor estimado de 1,422,5 millones de USD en 2035, con una TCAC del 18,8 %, la tasa regional más elevada. Estados Unidos es el principal mercado, respaldado por la Orden Ejecutiva 14028, las directrices de CISA sobre los elementos mínimos de las SBOM y las prácticas de ciberseguridad de la NHTSA, que influyen en la cualificación de los proveedores de los OEM y en los procesos de gestión de riesgos. Una encuesta realizada en el tercer trimestre de 2025 a 95 proveedores norteamericanos de software para automoción reveló que el 71 % había recibido requisitos formales de presentación de SBOM por parte de su OEM principal durante los 18 meses anteriores, frente al 38 % de la cohorte de 2023. Las políticas federales se ven cada vez más reforzadas por los programas de cualificación de proveedores de los OEM, lo que convierte la presentación de SBOM en una condición de participación sistemática, en lugar de una actividad aislada de ciberseguridad. Esta estructura favorece los servicios gestionados, los portales en la nube y el soporte para el cumplimiento, que ayudan a los proveedores a mantener inventarios y evidencias actualizados sin crear grandes equipos internos. La trayectoria de crecimiento de América del Norte refleja esta combinación de orientación normativa, disciplina de adquisición empresarial e inversión en software para vehículos conectados en los ecosistemas de OEM y proveedores. Las políticas federales y la contratación de los OEM se combinan para convertir a América del Norte en el mercado de más rápido crecimiento, pese a que Asia-Pacífico cuenta actualmente con una base de ingresos mayor.

Los requisitos de presentación de los proveedores sostendrán la demanda de portales en la nube, validación de formatos y servicios gestionados de cumplimiento.

Europa

Europa generó 251,5 millones de USD en 2025, lo que representó una cuota del 27,3 %, y alcanzará un valor estimado de 1,313,0 millones de USD en 2035, con una TCAC del 17,6 %. Alemania es el centro tecnológico regional, ya que Volkswagen, BMW, Mercedes-Benz, ETAS, Vector Informatik y sus redes de proveedores de nivel 1 concentran la actividad relacionada con las herramientas de desarrollo y la ciberseguridad para la automoción. El Reglamento n.º 155 del WP.29 de la UNECE se convirtió en obligatorio para las homologaciones de nuevos tipos de vehículos en la UE y el Reino Unido en julio de 2024, mientras que la actualización de enero de 2025 de las Buenas prácticas de ciberseguridad para la automoción de ENISA añadió directrices explícitas sobre la gestión de SBOM y la declaración de conformidad de los proveedores.

Los programas europeos están pasando de la preparación inicial para la homologación de tipos a la gestión continua del ciclo de vida, ya que las actualizaciones de software, los cambios de proveedores y la divulgación de vulnerabilidades requieren evidencias recurrentes. La concentración de las operaciones de ingeniería de los OEM en Alemania y la consolidación de las herramientas de desarrollo favorecen la adopción de plataformas integradas en lugar de productos de análisis aislados. Las directrices de ENISA refuerzan una referencia operativa común para las autoridades nacionales y los proveedores, mientras que los requisitos de declaración de conformidad amplían el mercado desde los equipos centrales de ciberseguridad de los OEM hacia las funciones distribuidas de desarrollo y adquisición. La demanda europea se sustenta en la aplicación de los requisitos de homologación y en unos entornos de desarrollo de los OEM maduros, más que en un gasto discrecional en ciberseguridad.

El ecosistema consolidado de herramientas de Alemania favorece a los proveedores capaces de integrar funciones SBOM en los flujos de trabajo existentes de ingeniería y diagnóstico.

Asia-Pacífico

Asia-Pacífico fue el mayor mercado regional, con unos ingresos de 318,5 millones de USD en 2025 y una cuota del 34,6%; alcanzará los 1,528,3 millones de USD en 2035, con una TCAC del 16,6%. China es el mayor mercado nacional, y sus requisitos nacionales de ciberseguridad para el sector de la automoción, establecidos en la norma GB/T 44464-2024, están configurando los requisitos relativos a las listas de materiales de software (SBOM), la gestión de vulnerabilidades, la atestación de la cadena de suministro y la localización de datos. Japón y Corea del Sur operan conforme a los requisitos de ciberseguridad de la UNECE WP.29, mientras que las directrices en desarrollo de India sobre ciberseguridad de los vehículos conectados respaldan una oportunidad de cumplimiento normativo para 2026–2028; India y Corea del Sur son los principales mercados emergentes de la región. La demanda regional está adquiriendo un carácter más diferenciado, ya que China aplica requisitos nacionales de cumplimiento y localización de datos, mientras que Japón y Corea del Sur alinean su aplicación normativa con los procesos de la UNECE. La ventana de cumplimiento normativo en desarrollo de India añade una fuente adicional de demanda a medida que se expanden la fabricación local y la actividad relacionada con los vehículos conectados. Los programas de vehículos eléctricos y vehículos definidos por software (SDV) intensifican la necesidad de visibilidad de los componentes en baterías, sistemas telemáticos y sistemas conectados a la nube, lo que incrementa el valor de las plataformas capaces de dar soporte tanto a entornos de proveedores nacionales como transfronterizos. La escala de Asia-Pacífico está impulsada por la producción de automóviles, el despliegue de vehículos eléctricos y SDV, y el conjunto cada vez más amplio de requisitos nacionales de ciberseguridad.

Los requisitos específicos de China en materia de cumplimiento y localización de datos generan demanda de plataformas adaptadas a las condiciones nacionales de la cadena de suministro y la gobernanza.

América Latina

América Latina representó parte del 6,7% restante de los ingresos mundiales tras Asia-Pacífico, Europa y Norteamérica en 2025. Brasil es la principal oportunidad entre los países emergentes, gracias a la fabricación de automóviles, la actividad relacionada con los vehículos conectados y los requisitos de gobernanza de datos, incluida la Ley General de Protección de Datos de Brasil. El papel de México en la cadena de suministro de la automoción amplía la base de mercado abordable, aunque las limitaciones de talento en ciberseguridad y los costes de implementación restringen la velocidad de despliegue. Es probable que la adopción regional siga a la fabricación de automóviles y a las cadenas de suministro de exportación, en lugar de una modernización amplia e independiente de la ciberseguridad. Brasil ofrece el punto de entrada más sólido, ya que la actividad relacionada con los vehículos conectados puede combinarse con requisitos locales de gobernanza de datos, mientras que México proporciona acceso a proveedores vinculado a las redes de producción norteamericanas. El SaaS gestionado, la incorporación gradual y los servicios de cumplimiento específicos se ajustan mejor a la estructura de costes de la región que los grandes despliegues plenamente integrados que requieren equipos internos de ciberseguridad amplios. Brasil será el principal punto de entrada latinoamericano para los proveedores que busquen demanda de ciberseguridad para la automoción en mercados emergentes.

La economía de los proveedores de niveles inferiores y la escasez de especialistas favorecen las ofertas de SaaS gestionado y cumplimiento normativo escalonado frente a los grandes programas con una elevada inversión inicial.

Oriente Medio y África

Oriente Medio y África representaron el resto del 4,7% de los ingresos mundiales tras Asia-Pacífico, Europa, Norteamérica y América Latina en 2025. El marco regulatorio de ciberseguridad del CCG, los Controles Esenciales de Ciberseguridad de la NCA de Arabia Saudí, los reglamentos técnicos de SASO y las Normas de Garantía de la Información de los EAU proporcionan el contexto normativo regional. La adopción de SBOM en la automoción sigue estando limitada por los costes de implementación, la demanda fragmentada y la disponibilidad limitada de talento especializado en ciberseguridad de vehículos. Las iniciativas de movilidad conectada generan la demanda más clara a corto plazo allí donde los controles nacionales de ciberseguridad exigen una gobernanza demostrable del software y los datos de los vehículos.

Los marcos del CCG y la orientación de las políticas en Arabia Saudí y los EAU hacen que los programas impulsados por el cumplimiento normativo sean más relevantes que el gasto discrecional generalizado en plataformas. Es probable que la adopción comience con servicios de monitorización alojada, evaluaciones específicas y contratos orientados a servicios capaces de adaptarse a la desigual madurez de los proveedores, la limitada disponibilidad de especialistas y la escala todavía reducida de los actuales programas regionales de despliegue. La demanda en Oriente Medio y África se desarrollará de forma selectiva allí donde los programas de movilidad conectada y los controles nacionales de ciberseguridad establezcan requisitos explícitos de cumplimiento normativo.

Los modelos orientados a servicios y suministrados a través de la nube están mejor alineados con el nivel actual de madurez del mercado regional que los grandes despliegues empresariales totalmente integrados.

Cuota de mercado y panorama competitivo del mercado de listas de materiales de software para automóviles (SBOM) y gestión de vulnerabilidades

Cybellum: cuota del 7,8 %

Cybellum, propiedad de LG Electronics, es el líder del mercado, con una cuota del 7,8 %. LG adquirió la empresa por aproximadamente 240 millones de USD en 2022, lo que reforzó sus recursos y su acceso a los canales del sector automovilístico. La plataforma de seguridad de productos de Cybellum combina la detección de componentes basada en binarios, el mapeo de dependencias, la correlación de CVE, los flujos de trabajo de subsanación, portales de proveedores compatibles con más de 500 puntos de contacto y funciones de generación de informes de cumplimiento normativo; la plataforma está implantada en varios programas de fabricantes de equipos originales (OEM) globales del top 10.

ETAS: cuota del 4,9 %

ETAS, a través de las capacidades de Bosch Group y ESCRYPT, registró una cuota de mercado del 4,9 %. Integra TARA, la generación de SBOM, la monitorización de vulnerabilidades y el cumplimiento de la norma ISO/SAE 21434 con Bosch INCA, AUTOSAR y entornos de diagnóstico y desarrollo de software para automóviles. Esta posición dentro de la cadena de herramientas integrada reduce las fricciones de integración para los clientes OEM y Tier-1 que ya utilizan flujos de trabajo de ingeniería vinculados a Bosch.

Vector Informatik: cuota del 3,8 %

Vector Informatik registró una cuota del 3,8 % y amplía su ecosistema de CANalyzer, CANoe y VectorCAST al ámbito de la ciberseguridad para automóviles y la generación de SBOM. En abril de 2024, la empresa lanzó la extensión VectorCAST Security con exportación de SBOM en formato CycloneDX, lo que permite a los proveedores crear inventarios de componentes a partir de los flujos de trabajo existentes de pruebas y validación. La generación nativa de la cadena de herramientas diferencia a Vector de las plataformas independientes que deben establecer nuevas vías de recopilación de datos.

Argus Cyber Security / PlaxidityX: cuota del 3,0 %

Argus Cyber Security, integrada bajo la marca PlaxidityX de Continental, registró una cuota del 3,0 %. Continental adquirió Argus en 2017 y combinó su experiencia en seguridad de ECU y telemática con las capacidades de Elektrobit en seguridad de software. El acceso de Continental a la cadena de suministro como proveedor Tier-1 proporciona a PlaxidityX un canal comercial integrado en los programas globales de fabricación de automóviles.

Synopsys: cuota del 2,5 %

Synopsys registró una cuota del 2,5 % a través de su plataforma Black Duck. La plataforma proporciona análisis de composición de software empresarial, detección de código abierto, cumplimiento de licencias y puntuaciones de explotabilidad enriquecidas con CVSS para organizaciones del sector automovilístico que gestionan combinaciones de software propietario y de código abierto. Su posición consolidada en DevSecOps ofrece una vía de adopción de menor riesgo para los OEM y proveedores que amplían las prácticas empresariales de análisis de composición de software a la gobernanza de los vehículos.

VicOne - 2,0 % de cuota

VicOne, una empresa escindida de Trend Micro y fundada en 2021, registró una cuota del 2,0 %. Sus plataformas xNexus y xCarbon conectan el análisis de SBOM del sector automovilístico con la inteligencia de Trend Micro, que cubre más de 250,000 millones de consultas de amenazas al día. En marzo de 2025, VicOne lanzó xNexus 2.0, con priorización de CVE basada en inteligencia artificial, y comunicó una reducción de hasta el 70 % del volumen de alertas para los operadores de flotas de vehículos conectados.

C2A Security - 1,8 % de cuota

C2A Security registró una cuota de mercado del 1,8 % y ofrece la plataforma AutoSPIN DevSecOps. AutoSPIN integra la generación de SBOM, la gestión de CVE y la elaboración de informes de cumplimiento en los flujos de trabajo de CI/CD, abordando la brecha entre el desarrollo de software para vehículos y la gobernanza de la seguridad. En abril de 2025, AutoSPIN 3.0 pasó a estar disponible de forma general, con conversión bidireccional entre SPDX y CycloneDX, además de un portal de proveedores para la recopilación de SBOM de múltiples niveles.

Entre los principales actores del mercado de SBOM y gestión de vulnerabilidades para el sector automovilístico se encuentran AUTOCRYPT, AVL, DNV, Harman International, LTTS, Upstream Security, CYMOTIVE Technologies, Finite State, Karamba Security, Secure Elements, Agnile Technologies y VxLabs (ThreatZ).

Novedades recientes del sector

• Abril de 2025: C2A Security anunció la disponibilidad general de AutoSPIN 3.0, que incorpora conversión bidireccional entre SPDX y CycloneDX, además de un portal de proveedores para la recopilación de SBOM de múltiples niveles. El lanzamiento aborda una limitación fundamental de interoperabilidad e incorporación.

• Marzo de 2025: VicOne lanzó xNexus 2.0, con priorización de CVE basada en inteligencia artificial que combina la inteligencia sobre amenazas de Trend Micro con una puntuación contextual de la arquitectura del vehículo. Los datos iniciales de implementación comunicados indicaron una reducción de hasta el 70 % del volumen de alertas para los operadores de flotas de vehículos conectados.

• Enero de 2025: ENISA publicó unas buenas prácticas actualizadas de ciberseguridad para el sector automovilístico, con marcos explícitos de gestión de SBOM y atestación de proveedores alineados con el Reglamento n.º 155 del WP.29 de la UNECE.

• Noviembre de 2024: Cybellum amplió su Product Security Platform con un Supplier SBOM Portal que automatiza la recopilación, la validación del formato y la incorporación a los sistemas desde hasta 500 puntos de contacto con proveedores. El módulo se incorporó tras implementaciones con dos fabricantes de equipos originales (OEM) europeos incluidos entre los diez principales.

• Octubre de 2024: CISA publicó unas directrices actualizadas sobre SBOM para infraestructuras de transporte, en las que designó el sector automovilístico como un sector prioritario de infraestructuras críticas y alineó los elementos mínimos con el marco de la NTIA.