Mercado de listas de materiales de software (SBOM) y gestión de vulnerabilidades para el sector automovilístico Tamaño y compartir 2026-2035

Tamaño del mercado de las listas de materiales de software para automoción (SBOM) y la gestión de vulnerabilidades

El mercado mundial de SBOM y gestión de vulnerabilidades para automoción se valoró en 920,5 millones de USD en 2025. Se prevé que el mercado crezca desde 1.100 millones de USD en 2026 hasta 4.700 millones de USD en 2035, con una tasa de crecimiento anual compuesta (TCAC) del 17,3 % durante el período de previsión, según el último informe publicado por Global Market Insights Inc.

El catalizador estructural es la convergencia de dos presiones independientes: los plazos de aplicación obligatoria ya vigentes en la Unión Europea, Japón y Corea del Sur en virtud del Reglamento n.º 155 de UNECE WP.29, y la realidad técnica de que los modernos vehículos definidos por software integran software de más de 150 proveedores distintos pertenecientes a ecosistemas propietarios, comerciales y de código abierto, lo que exige un inventario continuo, el seguimiento de licencias y la supervisión de vulnerabilidades.^{[1]UNECE, unece.org Traducción:} A nivel operativo, esta convergencia se está traduciendo en requisitos contractuales de SBOM que se extienden desde los fabricantes de equipos originales (OEM) hasta los proveedores de nivel 1 y nivel 2, transformando los criterios de adquisición de software, los marcos de gobernanza de la ciberseguridad y la asignación de capital en toda la cadena de valor de la automoción.

Principales factores de crecimiento

Análisis del impacto de los factores de crecimiento

Factor de crecimiento	Impacto en la previsión de la TCAC	Relevancia geográfica	Horizonte temporal del impacto
Cumplimiento normativo obligatorio (UNECE WP.29, ISO/SAE 21434, EO 14028)	~18–24 %	Europa, Japón, Corea del Sur y Norteamérica	Corto plazo (≤ 2 años)
Crecimiento exponencial de la complejidad del software de los vehículos	~20–26 %	Global	Medio plazo (2–4 años)
Aumento de la frecuencia y sofisticación de los ciberataques	~16–21 %	Norteamérica, Europa y Asia-Pacífico	Corto plazo (≤ 2 años)
La aceleración de la adopción de vehículos eléctricos y vehículos definidos por software amplía la superficie de ataque	~15–20 %	Asia-Pacífico, Europa y Norteamérica	Largo plazo (≥ 4 años)

Cumplimiento normativo obligatorio

El Reglamento n.º 155 de UNECE WP.29, la norma ISO/SAE 21434, la Orden Ejecutiva 14028 de Estados Unidos y las normas emergentes de ciberseguridad automotriz GB/T de China están obligando a los fabricantes de equipos originales (OEM) y a los proveedores de nivel 1 (Tier-1) a implementar marcos de trazabilidad del software y gestión de vulnerabilidades como requisito básico irrenunciable para la homologación de tipo de vehículos y el acceso al mercado. ^{[2]ISO, iso.org} El Reglamento n.º 155 entró en vigor de forma obligatoria para todas las nuevas homologaciones de tipo de vehículos en los Estados miembros de la UE, el Reino Unido, Japón y Corea del Sur en julio de 2024, convirtiendo la capacidad de SBOM de buena práctica voluntaria en una condición vinculante del cumplimiento normativo. La vía de cumplimiento exige una supervisión continua de las SBOM, documentación estructurada de la respuesta ante incidentes y flujos de trabajo de certificación de proveedores, todo lo cual impulsa ingresos sostenidos por licencias de plataformas, servicios e integración durante todo el ciclo de vida del vehículo.

Crecimiento exponencial de la complejidad del software de los vehículos

Los vehículos definidos por software, las plataformas ADAS, las arquitecturas de infoentretenimiento conectado, los sistemas de actualización OTA y las arquitecturas de conducción autónoma están aumentando de forma drástica el volumen de componentes de software y la complejidad de las dependencias en todas las categorías de vehículos. En la actualidad, un vehículo premium moderno incorpora entre 100 y 300 millones de líneas de código distribuidas entre cientos de ECU, con dependencias de código abierto que se actualizan de forma independiente y que con frecuencia incluyen componentes transitivos no declarados. El mercado de SBOM y gestión de vulnerabilidades para el sector automotriz aborda directamente esta complejidad mediante inventarios estructurados de componentes, mapeo de grafos de dependencias y correlación continua de CVE durante todo el ciclo de vida de desarrollo y operación del software.

Aumento de la frecuencia y la sofisticación de los ciberataques contra vehículos conectados Las campañas de ransomware, la explotación remota de ECU, los vectores de ataque OTA y los ataques contra la cadena de suministro de software dirigidos a los ecosistemas de vehículos conectados están acelerando la inversión de los fabricantes de equipos originales en plataformas de supervisión continua de vulnerabilidades e inteligencia sobre riesgos de software.^{[3]NIST, nist.gov} La Base de Datos Nacional de Vulnerabilidades del NIST registró más de 29.000 nuevas divulgaciones de CVE en 2024, una proporción considerable de las cuales afecta a sistemas operativos integrados, bibliotecas de red de código abierto y componentes de middleware habituales en las pilas de software automotriz.

La aceleración de la adopción de vehículos eléctricos y SDV amplía la superficie de ataque del software

La rápida adopción de vehículos eléctricos y vehículos definidos por software está ampliando las capas de software abordables en los sistemas de gestión de baterías (BMS), los controladores de dominio, los módulos de comunicación V2X, las unidades de control telemático (TCU) y las plataformas de servicios conectadas a la nube. Los datos de la AIE indican que las ventas mundiales de vehículos eléctricos alcanzaron los 17 millones de unidades en 2024, con tasas de penetración superiores al 40 % en varios mercados europeos.^{[4]CISA, cisa.gov} Cada nueva capa de arquitectura de los vehículos eléctricos y los SDV introduce componentes de software adicionales, dependencias de terceros e interfaces conectadas a la nube que requieren una cobertura estructurada mediante SBOM y protocolos definidos de respuesta ante vulnerabilidades.

Principales retos

Análisis del impacto de las restricciones

Reto	Impacto en la previsión de la TCAC	Relevancia geográfica	Calendario del impacto
Complejidad de integración con flujos de trabajo heredados	~(8–12%)	Global	Corto plazo (≤ 2 años)
Brechas de interoperabilidad de los formatos SBOM en las cadenas de suministro	~(7–11%)	Global	Medio plazo (2–4 años)
Escasez de profesionales de ciberseguridad automotriz	~(6–10%)	Asia-Pacífico, LATAM, MEA	Largo plazo (≥ 4 años)
Alto coste de implementación de marcos SBOM	~(10–14%)	Proveedores de nivel 2, LATAM, MEA	Medio plazo (2–4 años)

Complejidad de integración con los flujos de trabajo heredados de desarrollo y producción automotriz

Los fabricantes de equipos originales (OEM) y los proveedores del sector automotriz afrontan importantes dificultades técnicas y organizativas para integrar las plataformas de SBOM y gestión de vulnerabilidades con arquitecturas heredadas de unidades de control electrónico (ECU), entornos de desarrollo fragmentados con múltiples cadenas de herramientas y ciclos de validación de vehículos estructurados en torno a modelos de entrega centrados en el hardware, sin mecanismos de gobernanza continua del software. Muchos programas de producción dependen de software para ECU basado en AUTOSAR y desarrollado a lo largo de ciclos de varios años, en los que la generación retrospectiva de SBOM requiere una identificación manual de componentes, un proceso intensivo en recursos y propenso a errores cuando se aplica a despliegues a escala de una línea completa de modelos. Los proveedores están abordando esta cuestión mediante el análisis de composición de software (SCA) basado en el análisis binario, que funciona sin acceso al código fuente; sin embargo, la integración completa en entornos heredados heterogéneos sigue requiriendo un compromiso de implementación de varios años para los programas empresariales de los OEM.

Falta de interoperabilidad universal de los formatos SBOM en las cadenas de suministro multinivel

La ausencia de un formato universal obligatorio para el intercambio de SBOM, junto con los diferentes niveles de adopción de SPDX (ISO/IEC 5962:2021) y CycloneDX en los ecosistemas de fabricantes y proveedores, genera brechas de interoperabilidad e ineficiencias operativas que dificultan los flujos de trabajo de intercambio de SBOM multinivel.^{[5]IEA, iea.org} Una proporción significativa de los proveedores de software automotriz de nivel 2 e inferiores carece de la madurez necesaria en sus programas de ciberseguridad para generar SBOM legibles por máquinas en cualquiera de los dos formatos, lo que obliga a los OEM a gestionar entornos híbridos que combinan la ingestión automatizada de SBOM de proveedores maduros con declaraciones manuales de socios más pequeños. La guía de CISA de 2023 sobre los elementos mínimos de una SBOM proporciona una referencia sectorial de facto, pero la aplicación entre jurisdicciones sigue siendo incoherente.

Escasez de profesionales de ciberseguridad automotriz con experiencia en programas SBOM La disponibilidad limitada de ingenieros competentes en gobernanza de la ciberseguridad automotriz, análisis de composición de software, ingeniería de seguridad DevSecOps y gestión del ciclo de vida de las SBOM está limitando la velocidad de despliegue tanto en las organizaciones de fabricantes como en las de proveedores de nivel 1. El perfil de talento especializado necesario —que combina las disciplinas de seguridad funcional (ISO 26262), ciberseguridad (ISO/SAE 21434) e ingeniería de software— cuenta con una oferta mundial reducida que crece más lentamente que la demanda de estos programas. Esta limitación es más acusada en los mercados automotrices en rápida industrialización, especialmente en India, México y el Sudeste Asiático.

Alto coste de implementación de marcos integrales de SBOM La implementación de programas de SBOM a escala empresarial —que abarcan la infraestructura de análisis de software, los portales de incorporación de proveedores, la automatización del cumplimiento, la integración de fuentes de inteligencia sobre vulnerabilidades y las operaciones de supervisión continua— requiere un capital inicial considerable y un gasto operativo sostenido. Para los proveedores de nivel 2 y niveles inferiores, que operan con márgenes reducidos en sus programas, la relación coste-beneficio resulta desfavorable sin la aplicación obligatoria de requisitos directos por parte de los OEM o sin mecanismos estructurados de incentivos.

Tendencias del mercado de las listas de materiales de software y la gestión de vulnerabilidades para automoción

De la documentación periódica de SBOM a la supervisión continua de la cadena de suministro de software

El cambio operativo fundamental que se está produciendo en el mercado de SBOM y gestión de vulnerabilidades para automoción es la transición de la SBOM como documento estático de cumplimiento, generado una sola vez al presentar la documentación para la homologación de tipo de vehículo, a la SBOM como activo de infraestructura continuamente actualizado y legible por máquinas, sincronizado entre las operaciones de desarrollo, producción y campo. El factor subyacente es la realidad operativa de que los estados del software de los vehículos cambian con frecuencia y a gran escala: las actualizaciones de firmware mediante OTA, los parches de bibliotecas de terceros, las actualizaciones de dependencias de código abierto y las revisiones del software de las ECU pueden modificar conjuntamente el inventario de componentes y el perfil de exposición a vulnerabilidades de una flota de vehículos en cuestión de horas desde su implementación. Stellantis llevó a cabo más de 25 millones de actualizaciones de software OTA en su flota de vehículos conectados en 2024, lo que ilustra tanto la velocidad operativa a la que cambian los inventarios de componentes como la insuficiencia de la documentación de SBOM puntual como mecanismo de gobernanza a esa escala.^{[6]ENISA, enisa.europa.eu}

La dimensión regulatoria más relevante es que el Reglamento n.º 155 de UNECE WP.29 exige explícitamente a los OEM mantener un CSMS actualizado de forma continua, capaz de supervisar las vulnerabilidades durante todo el ciclo de vida operativo del vehículo, no solo en el momento de presentar la documentación para la homologación de tipo, lo que crea una obligación regulatoria formal de disponer de una infraestructura dinámica de SBOM que los flujos de trabajo basados en documentación estática no pueden satisfacer.

En el ámbito de la arquitectura de producto, los proveedores de plataformas, entre ellos Cybellum y C2A Security, han reorientado sus ofertas hacia la gestión continua del ciclo de vida de la SBOM, integrándose con plataformas de orquestación OTA y canalizaciones CI/CD de DevSecOps para permitir la sincronización en tiempo real del inventario de componentes desde la fase de confirmación del código en desarrollo hasta la implementación en campo y la supervisión posterior a la venta.

El impacto comercial es cuantificable: las plataformas capaces de demostrar la actualización continua de la SBOM exigen tarifas de licencia superiores a las de las herramientas de generación puntual, lo que crea una bifurcación de precios en el mercado de SBOM para automoción y acelera el desplazamiento de los enfoques tradicionales de documentación estática. El calendario para la adopción plena de la infraestructura continua de SBOM se concentra en el período 2026–2028, en consonancia con los plazos de activación de las obligaciones de cumplimiento de los proveedores de nivel 1 conforme a WP.29 y con la extensión de los requisitos del artículo 8 de ISO/SAE 21434 a los marcos contractuales con proveedores en los programas automovilísticos europeos y japoneses.

Integración de las plataformas de SBOM con la infraestructura de CSMS, DevSecOps y OTA

Los programas de ciberseguridad para automoción están convergiendo hacia una arquitectura integrada en la que las herramientas de SBOM funcionan como una capa de datos dentro de un Sistema de Gestión de Ciberseguridad más amplio, proporcionando el inventario de componentes, el estado de las vulnerabilidades y el avance de las medidas correctivas a los flujos de trabajo de gobernanza del CSMS que cumplen los requisitos del artículo 8 de ISO/SAE 21434 para la gestión continua de las actividades de ciberseguridad.

Esta integración está emergiendo como un diferenciador competitivo significativo dentro del mercado de SBOM y gestión de vulnerabilidades para el sector automovilístico: ETAS (Bosch Group) y Vector Informatik ofrecen capacidades de SBOM estrechamente vinculadas a sus ecosistemas consolidados de cadenas de herramientas de desarrollo automovilístico, lo que supone una ventaja estructural frente a los proveedores de ciberseguridad especializados cuando compiten por la integración en los flujos de trabajo integrados en los entornos de desarrollo existentes de los fabricantes de equipos originales (OEM).

En nuestro panel de expertos del primer trimestre de 2026, formado por 38 responsables de programas de ciberseguridad del sector automovilístico de fabricantes de equipos originales de Alemania, Japón y Estados Unidos, el 74 % identificó la integración de plataformas CSMS-SBOM como la capacidad prioritaria para el cumplimiento del artículo 8 de la norma ISO/SAE 21434, por encima de la profundidad de la correlación de CVE y de las funciones independientes de automatización de la corrección. El efecto de segundo orden es una demanda del mercado de marcos de API estandarizados que permitan intercambiar datos de SBOM entre las plataformas CSMS de los fabricantes de equipos originales y las herramientas de seguridad de los proveedores, una carencia que actualmente se aborda mediante integraciones personalizadas, pero que se espera formalizar a través de los resultados de los grupos de trabajo de VDA ISA, TISAX y UNECE en el período 2026–2028. La implicación comercial para el mercado de SBOM del sector automovilístico es que los proveedores que ofrecen conectores de integración de CSMS prediseñados captarán ingresos de renovación y expansión a tasas significativamente superiores a las de los competidores de soluciones aisladas que carecen de una posición integrada en los flujos de trabajo.

Priorización de vulnerabilidades basada en IA y análisis predictivo de riesgos

Los proveedores de ciberseguridad para el sector automovilístico están implementando modelos de inteligencia artificial y aprendizaje automático para abordar el desafío fundamental de la relación señal/ruido en los programas de gestión de vulnerabilidades a gran escala: una pila de software SDV moderna puede exponer varios miles de CVE conocidas en un momento dado, la mayoría de las cuales representan riesgos teóricos, más que riesgos operativamente explotables, dentro del contexto automovilístico específico.^{[7]Automotive News, autonews.com Traducción:} Los motores de priorización basados en IA contextualizan las divulgaciones de CVE sin procesar en función de parámetros específicos del vehículo —el nivel de privilegios de ejecución del componente, la proximidad a subsistemas críticos para la seguridad, la topología de exposición de la red y las pruebas de explotabilidad real procedentes de fuentes activas de inteligencia sobre amenazas— para generar una agenda de corrección priorizada y viable, en lugar de una lista de vulnerabilidades indiferenciada.

VicOne, que opera como una empresa escindida de Trend Micro, ha puesto en práctica esta arquitectura mediante su plataforma de detección de amenazas xNexus, que correlaciona los inventarios de SBOM del sector automovilístico con la red de inteligencia sobre amenazas de Trend Micro, que cubre más de 250.000 millones de eventos de amenazas al día. En marzo de 2025, VicOne lanzó xNexus 2.0 con una priorización de CVE mejorada basada en IA; los primeros datos de implementación indicaron una reducción de hasta el 70 % del volumen de alertas para los operadores de flotas de vehículos conectados. La plataforma Black Duck de Synopsys aplica el análisis de composición de software con una puntuación de explotabilidad enriquecida con CVSS para lograr una reducción de señales comparable en fabricantes de equipos originales que operan con arquitecturas de software híbridas, de código abierto y propietario. El impacto cuantificado de la priorización asistida por IA —una reducción significativa del tiempo medio de respuesta para corregir vulnerabilidades— es cada vez más imprescindible en los programas empresariales de fabricantes de equipos originales que gestionan inventarios de software para cientos de variantes de modelos de vehículos y ciclos de producción de varios años. Esta tendencia representa un vector de crecimiento a medio y largo plazo para el mercado de SBOM y gestión de vulnerabilidades del sector automovilístico, ya que la profundidad de las capacidades de IA se convierte en un factor principal de fijación de precios y renovación.

Incorporación de proveedores a SBOM y plataformas de intercambio multinivel como categoría de producto diferenciada

En el mercado de SBOM para automoción se está consolidando una importante brecha operativa como categoría de producto independiente: la infraestructura de plataformas para la incorporación de proveedores a SBOM y el intercambio de estos datos, que permite a los fabricantes de equipos originales (OEM) recopilar, validar, normalizar e integrar a gran escala datos de SBOM procedentes de proveedores de nivel 1 y nivel 2. Los datos del sector indican que menos del 30 % de los proveedores de software de automoción de nivel 2 habían implementado flujos de trabajo automatizados para la generación de SBOM en 2025, lo que obliga a los OEM a gestionar entornos híbridos con SBOM legibles por máquina procedentes de socios más avanzados y documentos manuales de certificación de proveedores más pequeños. PlaxidityX (plataforma de ciberseguridad de Continental) y Finite State han introducido funcionalidades de portal para proveedores diseñadas para estandarizar la incorporación de SBOM en los formatos SPDX y CycloneDX, al tiempo que ofrecen flujos de trabajo guiados de incorporación para proveedores con menor grado de madurez.

En noviembre de 2024, Cybellum amplió su Product Security Platform con un módulo Supplier SBOM Portal que permite a los OEM automatizar la recopilación de SBOM, la validación de formatos y la incorporación de datos a los sistemas desde hasta 500 puntos de contacto con proveedores, tras su implementación comercial con dos OEM europeos incluidos entre los diez principales. La implicación comercial es significativa: las plataformas de incorporación de proveedores a SBOM y de intercambio de estos datos avanzan hacia su conversión en una categoría de ingresos independiente dentro del mercado más amplio de SBOM y gestión de vulnerabilidades para automoción, al captar presupuestos tanto de los programas de ciberseguridad de los OEM como de los proyectos de implementación del lado de los proveedores, a medida que los requisitos de cumplimiento de SBOM multinivel se extienden progresivamente hacia los distintos niveles de la cadena de suministro.

Análisis del mercado de listas de materiales de software y gestión de vulnerabilidades para automoción

Por solución

El segmento de software representa el 69 % de la cuota de mercado total en 2025 y se prevé que crezca a una tasa de crecimiento anual compuesta (TCAC) del 17,7 % hasta 2035, lo que refleja la estructura comercial dominante del mercado de SBOM y gestión de vulnerabilidades para automoción. Esta concentración refleja la economía centrada en las plataformas de la implementación de programas empresariales de SBOM: los ingresos recurrentes por licencias de herramientas basadas en SaaS que abarcan la generación de SBOM, el mapeo de dependencias entre componentes, la correlación de CVE, la elaboración de informes mediante paneles de cumplimiento y el seguimiento de los flujos de trabajo de corrección constituyen la relación comercial principal y más escalable entre los proveedores y los clientes del sector de la automoción.

Product Security Platform de Cybellum y AutoSPIN DevSecOps de C2A Security ejemplifican la arquitectura de las principales soluciones de software, al ofrecer una gestión continua del ciclo de vida de SBOM y la elaboración de informes de cumplimiento de la norma ISO/SAE 21434 mediante interfaces web que se integran con los entornos de desarrollo de los OEM a través de conectores de API estructurados. Las tarifas de licencia aumentan en función de la cobertura de modelos de vehículos y del volumen de componentes de software, un modelo de precios que genera una expansión de los ingresos alineada con el crecimiento estructural del contenido de software por vehículo en todo el mercado de SBOM para automoción.

La aplicación funcional de gestión de vulnerabilidades y riesgos, que representa el 24,4 % de la cuota de mercado en 2025 y crece a una tasa del 17,8 %, constituye el subsegmento de mayor crecimiento dentro de la categoría de software, impulsado por la demanda de los OEM de capacidades automatizadas de correlación de CVE y priorización de medidas de corrección que operen de forma continua, en lugar de mediante ciclos de evaluación periódicos. El segmento de servicios, que representa el 31 % de los ingresos de 2025 y crece a una TCAC del 16,4 %, comprende servicios profesionales, consultoría de implementación, operaciones de seguridad gestionadas, programas de incorporación de proveedores y evaluaciones de brechas de cumplimiento de la norma ISO/SAE 21434.

En el nivel actual de madurez del mercado, los ingresos por servicios están estructuralmente vinculados a los ciclos de implantación del software: los proyectos de implantación del primer año, los programas de incorporación de proveedores y los servicios de TARA (análisis de amenazas y evaluación de riesgos) generan con frecuencia una facturación por servicios profesionales que iguala o supera el valor inicial de la licencia de software en los proyectos con fabricantes de equipos originales (OEM) empresariales. DNV y LTTS destacan en este segmento de servicios, ya que DNV aprovecha su condición de organismo de certificación para ofrecer servicios de auditoría y aseguramiento conforme a la norma ISO/SAE 21434, que gozan de credibilidad institucional en los contextos de presentación de documentación ante los organismos reguladores. Durante el período de previsión, se espera que la proporción de ingresos entre servicios y software se desplace progresivamente a favor del software a medida que maduren las capacidades de las plataformas y los flujos de trabajo automatizados de incorporación de proveedores reduzcan el componente manual de servicios de las nuevas implantaciones.

Por uso final

Los fabricantes de equipos originales de automoción representan el mayor segmento de uso final, con una cuota de mercado del 40 % en 2025, y se prevé que crezcan a una tasa de crecimiento anual compuesta (TCAC) del 18,2 %, impulsados por su exposición regulatoria directa a los requisitos de homologación de tipo de la UNECE WP.29 y por su función como principal interlocutor para la aplicación de las normas de ciberseguridad durante todo el ciclo de vida del vehículo. Las implantaciones de los OEM son estructuralmente de escala empresarial y requieren una cobertura completa del inventario de software de toda la gama de modelos, que abarca cientos de unidades de control electrónico (ECU), múltiples configuraciones de variantes de software y una recopilación coordinada de listas de materiales de software (SBOM) de redes de proveedores multinivel. El programa de ciberseguridad del Grupo Volkswagen a través de su división de software CARIAD y el marco ampliado de gobernanza de la ciberseguridad de Stellantis ilustran la escala institucional de la inversión de los OEM de primer nivel en infraestructuras de cumplimiento habilitadas para SBOM; ambas organizaciones se han comprometido con plataformas SBOM como elementos fundamentales de sus programas de cumplimiento de la norma ISO/SAE 21434.

El segmento de proveedores de nivel 1, que representa el 34 % de los ingresos del mercado en 2025 y crece a una tasa del 17,2 %, refleja la propagación contractual de los requisitos de SBOM de los OEM aguas abajo: los proveedores de nivel 1 están obligados a implantar sus propias plataformas SBOM para gestionar los componentes adquiridos a socios de la cadena de suministro de niveles inferiores, lo que crea una estructura de demanda recursiva que amplía progresivamente la adopción de plataformas a lo largo de la jerarquía de la cadena de suministro. Los proveedores de nivel 2 y de niveles inferiores representan el 19,7 % de la cuota de mercado en 2025, con una TCAC del 16,7 %, y constituyen el segmento direccionable de crecimiento más rápido en términos de volumen, a medida que los requisitos contractuales de SBOM de los OEM se extienden más allá de los límites del nivel 1.

La adopción en este segmento se orienta principalmente hacia modelos SaaS nativos de la nube, con un coste inicial reducido y una incorporación guiada. Los operadores del mercado posventa y de flotas, que representan el 6,3 % de los ingresos en 2025 y crecen a una tasa del 12,8 %, presentan la trayectoria de crecimiento más lenta entre los segmentos de uso final a corto plazo, debido a la menor presión regulatoria inmediata. Las perspectivas a medio plazo son más favorables: se espera que las revisiones propuestas de la Directiva de la UE sobre responsabilidad por los productos introduzcan obligaciones de ciberseguridad durante el ciclo de vida de los vehículos, lo que modificará sustancialmente los incentivos para la adopción por parte de los operadores de flotas y los proveedores de servicios posventa en el período posterior a 2027.

Por región

Mercado de listas de materiales de software y gestión de vulnerabilidades para automoción en Asia-Pacífico

Asia-Pacífico es el mayor mercado regional por ingresos absolutos y representa el 34,6 % de la cuota mundial en 2025 (318,5 millones de USD). Se prevé que alcance 1.528,3 millones de USD en 2035, con una TCAC del 16,6 %.

China representa el mayor mercado individual de la región y presentó GB/T 44464-2024, la norma nacional para la ciberseguridad de los vehículos inteligentes conectados, que establece obligaciones nacionales de SBOM y gestión de vulnerabilidades que reflejan las disposiciones de UNECE WP.29, al tiempo que incorpora requisitos específicos de China sobre la certificación de la cadena de suministro y disposiciones de localización de datos que afectan a las decisiones sobre la arquitectura de las plataformas de los proveedores internacionales que compiten en el mercado chino de SBOM para automoción.^{[8]SAE International, sae.org}

Japón y Corea del Sur operan bajo la jurisdicción directa de UNECE WP.29, y ambos mercados han transpuesto los requisitos del Reglamento n.º 155 a través de sus respectivas autoridades de homologación: MLIT en Japón y KATRI en Corea del Sur, lo que crea, en la práctica, calendarios de aplicación coincidentes con los de la UE. India presenta la oportunidad de crecimiento a corto plazo más significativa de la región: la Oficina de Normas de la India y el Ministerio de Transporte por Carretera y Autopistas de la India publicaron en 2024 un proyecto de directrices sobre ciberseguridad de vehículos conectados, lo que apunta a una convergencia hacia marcos alineados con WP.29 que incorporarían a Tata Motors, Mahindra y las operaciones nacionales de Hyundai y Suzuki al mercado potencial de cumplimiento durante el período 2026–2028. Los mercados del Sudeste Asiático, en particular las iniciativas activas de ciberseguridad para automoción de Singapur bajo la Agencia de Ciberseguridad de Singapur y la creciente base manufacturera de vehículos eléctricos de Tailandia, respaldada por las instalaciones de producción de BYD y Toyota, están surgiendo como contribuyentes secundarios a la demanda del mercado de SBOM para automoción de Asia-Pacífico.

Mercado de listas de materiales de software y gestión de vulnerabilidades para automoción en Norteamérica

Norteamérica representó el 26,6 % de la cuota de mercado mundial en 2025, con un tamaño de mercado de 244,4 millones de USD, y se prevé que sea el mercado regional de mayor crecimiento durante el período de previsión, con una TCAC del 18,8 %, impulsado por el dinamismo de la política federal de ciberseguridad, la escala estructural de la cadena de suministro de software para automoción de Estados Unidos y el aumento de la inversión de los fabricantes de equipos originales (OEM) en plataformas de vehículos definidos por software. La Orden Ejecutiva 14028 de Estados Unidos (mayo de 2021) estableció la SBOM como requisito fundamental para la contratación pública federal de software y catalizó una adopción más amplia en las industrias reguladas. Las directrices de CISA de 2023 sobre los elementos mínimos de las SBOM, actualizadas en octubre de 2024 para designar la automoción como sector prioritario de infraestructura crítica, crearon un estándar sectorial de facto ampliamente referenciado e incorporado a los marcos de cualificación de proveedores de los OEM y a los requisitos contractuales de ciberseguridad.

Las directrices de buenas prácticas de la NHTSA sobre ciberseguridad de los vehículos de motor hacen referencia explícita a la trazabilidad de los componentes de software como medida clave de mitigación de riesgos, lo que refuerza aún más la demanda institucional de infraestructura para programas de SBOM por parte de los OEM.^{[9]NHTSA, nhtsa.gov} La situación de la ciberseguridad de la automoción en Canadá está estrechamente alineada con los marcos estadounidenses debido a la integración bilateral de las cadenas de suministro: la mayoría de los proveedores canadienses de nivel 1 que suministran a OEM con sede en Estados Unidos están sujetos a requisitos contractuales equivalentes de SBOM. En nuestra encuesta del tercer trimestre de 2025 a 95 proveedores norteamericanos de software para automoción, el 71 % había recibido requisitos formales de presentación de SBOM por parte de su principal cliente OEM durante los 18 meses anteriores, casi el doble del nivel de referencia del 38 % registrado en la cohorte de 2023, lo que confirma la aceleración de la activación de la demanda de la cadena de suministro impulsada por los OEM en la región.

Mercado europeo de listas de materiales de software y gestión de vulnerabilidades para automoción

Europa representa la segunda mayor cuota regional en 2025, con el 27,3% de los ingresos mundiales (251,5 millones de USD), y se prevé que crezca a una tasa de crecimiento anual compuesta (TCAC) del 17,6% hasta 2035, respaldada por la primacía normativa de la región en materia de ciberseguridad de la automoción. El Reglamento n.º 155 de la UNECE WP.29 entró en vigor con carácter obligatorio para todas las nuevas homologaciones de tipo de vehículos en los Estados miembros de la UE y el Reino Unido en julio de 2024, lo que convirtió la capacidad de los sistemas de gestión de la ciberseguridad (CSMS) y de las listas de materiales de software (SBOM) en una condición innegociable para la homologación de tipo y creó una obligación operativa inmediata de cumplimiento para los fabricantes de equipos originales (OEM) y los proveedores de toda la base europea de producción de automóviles.

Alemania funciona como el principal centro de concentración tecnológica del mercado de SBOM para automoción: Volkswagen, BMW y Mercedes-Benz, junto con sus respectivas redes de proveedores de nivel 1, concentran una cuota desproporcionada de las implantaciones de plataformas de SBOM en Europa, mientras que los proveedores con sede en Alemania ETAS y Vector Informatik controlan una cuota de mercado significativa al aprovechar la profunda integración de sus cadenas de herramientas en los entornos de desarrollo de OEM y proveedores de nivel 1 a los que ya prestan servicio.

El informe Automotive Cybersecurity Good Practices de ENISA de 2024 identificó la gestión del ciclo de vida de las SBOM como un control crítico en todas las categorías de vehículos conectados y proporcionó un marco de referencia que las autoridades nacionales de homologación de tipo de Francia, Italia y España están incorporando a los requisitos de documentación de cumplimiento. El régimen británico de homologación de tipo en materia de ciberseguridad de vehículos posterior al Brexit reproduce los requisitos de la UNECE WP.29 bajo la supervisión de la DVSA, manteniendo una alineación normativa que sostiene la demanda del mercado británico en un calendario comparable al de sus homólogos de la UE.

Cuota del mercado de listas de materiales de software y gestión de vulnerabilidades para automoción

El mercado mundial de SBOM y gestión de vulnerabilidades para automoción presenta una fragmentación pronunciada: las siete principales empresas mencionadas representan conjuntamente aproximadamente el 25,8% de los ingresos totales del mercado en 2025, mientras que el 74,2% restante se distribuye entre un amplio ecosistema de especialistas regionales, proveedores emergentes, consultoras especializadas y programas desarrollados internamente por grandes OEM.

Esta fragmentación es característica de los mercados que se encuentran en las primeras fases de institucionalización: la aplicación activa de la normativa ha creado una demanda inmediata, pero la ausencia de estándares de plataforma dominantes, la heterogeneidad de los entornos de cadenas de herramientas de los OEM y la amplitud de los mercados geográficos han permitido a un conjunto diverso de proveedores ocupar posiciones especializadas antes de que la consolidación competitiva reduzca el número de actores.

Cybellum ocupa la primera posición individual del mercado, con una cuota del 7,8%. La posición competitiva de la empresa se vio reforzada sustancialmente por su adquisición por parte de LG Electronics en 2022 por aproximadamente 240 millones de USD, una operación que proporcionó respaldo financiero para acelerar el desarrollo de productos y la expansión comercial internacional, al tiempo que creó una alineación estratégica con el negocio de sistemas de automoción de LG Magna e-Powertrain y dio a Cybellum acceso integrado a las relaciones de adquisición de los OEM de automoción a través de la consolidada red de proveedores de nivel 1 de LG. La Product Security Platform de Cybellum está implantada en varios de los 10 principales OEM mundiales y cubre el ciclo de vida completo de las SBOM, desde la detección de componentes basada en binarios y el mapeo de dependencias hasta la correlación con vulnerabilidades CVE, el seguimiento de la corrección y la elaboración de informes de cumplimiento normativo.

ETAS, la filial de software para automoción y ciberseguridad del Grupo Bosch que opera a través de su división ESCRYPT, posee una cuota de mercado del 4,9%. ETAS compite desde una posición estructuralmente diferenciada: su profunda integración en el ecosistema de cadenas de herramientas de automoción de Bosch, que abarca el software de calibración INCA, las plataformas de desarrollo de unidades de control electrónico (ECU) compatibles con AUTOSAR y la infraestructura de diagnóstico de campo, proporciona acceso a los flujos de trabajo de desarrollo de OEM y proveedores de nivel 1 que los proveedores independientes no pueden reproducir únicamente mediante la integración de API. Vector Informatik, con un 3.

8 % de cuota, aprovecha su posición dominante en el análisis de protocolos de comunicación para automóviles y las herramientas de desarrollo de ECU, concretamente CANalyzer y CANoe, para ampliar su actividad hacia la SBOM y la ciberseguridad como capacidades adyacentes dentro de cuentas de clientes consolidadas, lo que permite estructurar contratos combinados que minimizan el riesgo de desplazamiento por parte de la competencia.

Argus Cyber Security, actualmente integrada bajo la marca PlaxidityX de Continental tras la adquisición realizada por Continental en 2017 y su posterior integración con la división de seguridad de Elektrobit, representa una cuota del 3 %. La plataforma PlaxidityX combina la experiencia de Argus en seguridad de ECU y telemática con las capacidades de Elektrobit en seguridad del software para automóviles, mientras que la posición de Continental como uno de los mayores proveedores de nivel 1 del mundo proporciona tanto una base de clientes cautiva como credibilidad de mercado para las relaciones con fabricantes de equipos originales externos.

Synopsys, con una cuota del 2,5 %, aporta análisis de composición de software de nivel empresarial al mercado de SBOM para automóviles a través de su plataforma Black Duck, un producto con una trayectoria consolidada en implantaciones empresariales de DevSecOps que resulta atractivo para los fabricantes y proveedores que buscan herramientas de SCA contrastadas y consideran la plataforma una opción de menor riesgo. VicOne (2 %) y C2A Security (1,8 %) completan los siete primeros puestos, y VicOne se posiciona como una empresa con potencial para ganar cuota gracias a su acceso diferenciado a la infraestructura global de inteligencia sobre amenazas de Trend Micro.

En nuestra investigación del segundo semestre de 2025, que abarcó a 58 directores de programas de ciberseguridad del sector de la automoción en Norteamérica, Europa y Asia-Pacífico, el 63 % identificó la profundidad de la integración de la cadena de herramientas, en lugar del rendimiento independiente de correlación de CVE, como el criterio decisivo en la selección de proveedores de plataformas de SBOM. Este resultado se mantuvo de forma constante tanto entre los fabricantes de equipos originales como entre los proveedores de nivel 1. Esta preferencia por la integración frente a la paridad de funcionalidades está redefiniendo la dinámica competitiva del mercado de SBOM para automóviles: los proveedores que carecen de relaciones consolidadas con las cadenas de herramientas del sector compiten cada vez más por precio en lugar de diferenciarse por sus capacidades, acelerando una bifurcación entre plataformas integradas premium y soluciones puntuales de precio de mercado. La trayectoria de fusiones y adquisiciones constituye una dinámica estructural determinante: además de las operaciones Cybellum/LG y Argus/Continental, Karamba Security y Upstream Security han captado capital para su crecimiento, posicionándose como probables objetivos de adquisición a medida que el mercado avanza hacia la consolidación durante el período 2026–2030.

Empresas del mercado de listas de materiales de software para automóviles y gestión de vulnerabilidades

Los principales actores que operan en el mercado de listas de materiales de software para automóviles y gestión de vulnerabilidades son: AUTOCRYPT, AVL, DNV, ETAS, Harman International, LTTS, Synopsys, Upstream Security, Vector Informatik, VicOne, Argus Cyber Security, Cybellum, CYMOTIVE Technologies, Finite State, Karamba Security, PlaxidityX, Secure Elements, Agnile Technologies, C2A Security y VxLabs (ThreatZ).

ETAS (Bosch Group) ofrece una cartera integrada de ciberseguridad para automóviles y gestión de SBOM a través de su división de ciberseguridad ESCRYPT, que abarca el análisis de la arquitectura del vehículo, la generación automatizada de SBOM, las herramientas TARA, la supervisión de vulnerabilidades y la documentación de cumplimiento alineada con los requisitos de UNECE WP.29 e ISO/SAE 21434. La integración de la cadena de herramientas de ETAS con las plataformas INCA, AUTOSAR y de diagnóstico en campo de Bosch crea una capacidad integrada de adquisición de datos de SBOM en los flujos de trabajo que los fabricantes de equipos originales y los proveedores de nivel 1 ya utilizan, lo que proporciona una ventaja competitiva estructural difícil de replicar para los proveedores independientes.

Synopsys aplica su plataforma de análisis de composición de software Black Duck a casos de uso de SBOM para automóviles y proporciona detección automatizada de componentes de código abierto, gestión del cumplimiento de licencias y correlación de CVE para fabricantes de equipos originales que gestionan arquitecturas de software híbridas, de código abierto y propietario. La trayectoria consolidada de Black Duck en entornos empresariales de DevSecOps reduce el riesgo de adopción de la plataforma para los responsables de programas de fabricantes que buscan herramientas de SCA contrastadas y con una vía de implantación en el sector de la automoción.

Vector Informatikintegra capacidades de SBOM y ciberseguridad en su ecosistema de herramientas de desarrollo automotriz, ampliando específicamente su plataforma de diagnóstico CANoe y su infraestructura de pruebas de software VectorCAST con funciones de generación de SBOM, exportación a CycloneDX y elaboración de informes de cumplimiento de los requisitos de ciberseguridad. En abril de 2024, Vector Informatik lanzó la extensión VectorCAST Security con funciones nativas de generación de SBOM y exportación a CycloneDX, lo que permite a los proveedores de nivel 1 elaborar inventarios de componentes directamente a partir de los flujos de trabajo existentes de pruebas y validación de software sin necesidad de utilizar herramientas de SBOM independientes adicionales.

VicOne (Trend Micro) ofrece análisis de SBOM e inteligencia sobre amenazas específicos para el sector automotriz a través de su plataforma de detección de amenazas xNexus y su conjunto de plataformas de seguridad para endpoints xCarbon. VicOne correlaciona los inventarios de componentes de SBOM del sector automotriz con la red global de inteligencia sobre amenazas de Trend Micro, que abarca más de 250.000 millones de consultas sobre amenazas al día, para proporcionar a los fabricantes de equipos originales una priorización de CVE relevante para el sector automotriz, reduciendo el volumen de alertas y aumentando al mismo tiempo la relevancia operativa de las recomendaciones de corrección.

Argus Cyber Security / PlaxidityX (Continental) opera como una plataforma integrada de ciberseguridad automotriz bajo la marca PlaxidityX, combinando la experiencia de Argus en seguridad de ECU y telemática con las capacidades de Elektrobit en seguridad del software automotriz. La plataforma ofrece gestión integral de vulnerabilidades del software de los vehículos, seguimiento del ciclo de vida de los SBOM y elaboración de informes de cumplimiento para fabricantes de equipos originales y clientes de nivel 1. Las relaciones de Continental con la cadena de suministro de nivel 1 proporcionan un canal comercial integrado en los principales centros mundiales de fabricación de vehículos.

Cybellum (LG Electronics) es el líder del mercado mundial, con una cuota de mercado del 7,8%, y ofrece una Plataforma de Seguridad de Producto que cubre todo el ciclo de vida de la gestión de SBOM y vulnerabilidades: detección de componentes basada en binarios, mapeo de grafos de dependencias, correlación de CVE, gestión de flujos de trabajo de corrección, portal de SBOM para proveedores y elaboración de informes de cumplimiento normativo. La plataforma de Cybellum admite la integración con los principales entornos de PLM, DevSecOps y gestión de OTA de los fabricantes de equipos originales, y está implantada en varios programas de ciberseguridad de fabricantes de equipos originales que se encuentran entre los diez principales del mundo.

C2A Security ofrece AutoSPIN, una plataforma DevSecOps para el sector automotriz con un marco nativo de automatización de la seguridad que integra la generación de SBOM, la gestión de CVE y la elaboración de informes de cumplimiento directamente en las canalizaciones de CI/CD. La arquitectura de AutoSPIN, centrada en los desarrolladores, permite a los fabricantes de equipos originales y a los proveedores de nivel 1 integrar la gobernanza de la seguridad en los flujos de trabajo de desarrollo de software, en lugar de aplicarla como una capa de cumplimiento posterior al desarrollo. En abril de 2025, C2A Security anunció la disponibilidad general de AutoSPIN 3.0, que incorpora capacidades ampliadas de gestión del ciclo de vida de los SBOM, incluida la conversión bidireccional automatizada entre los formatos SPDX y CycloneDX, así como un módulo de portal de proveedores para recopilar y validar SBOM de varios niveles a gran escala.

Noticias del sector sobre listas de materiales de software y gestión de vulnerabilidades para el sector automotriz

• abril de 2025: C2A Security anunció la disponibilidad general de AutoSPIN 3.0, que incorpora capacidades ampliadas de gestión del ciclo de vida de los SBOM, incluida la conversión bidireccional automatizada entre los formatos SPDX y CycloneDX, así como un módulo de portal de proveedores para recopilar y validar SBOM de varios niveles a gran escala.
• marzo de 2025: VicOne lanzó xNexus 2.0, que incorpora una priorización mejorada de CVE basada en inteligencia artificial para los inventarios de SBOM del sector automotriz e integra los flujos de inteligencia sobre amenazas de Trend Micro con una puntuación contextual de la arquitectura de los vehículos. Los primeros datos de implantación indican reducciones de hasta el 70% en el volumen de alertas para los operadores de flotas de vehículos conectados.
• enero de 2025: ENISA publicó la versión actualizada de su guía de buenas prácticas de ciberseguridad para el sector automotriz, que incorpora requisitos explícitos de gestión de SBOM y marcos de declaración de conformidad de proveedores alineados con el Reglamento n.º 155 del WP.29 de la CEPE, proporcionando un marco de referencia paneuropeo para la aplicación por parte de las autoridades nacionales de homologación de tipo.
• noviembre de 2024: Cybellum amplió su Plataforma de Seguridad de Productos con un módulo de Portal de SBOM para Proveedores que permite a los fabricantes de equipos originales (OEM) automatizar la recopilación de SBOM, la validación del formato y la incorporación en los sistemas desde hasta 500 puntos de contacto con proveedores, tras implementaciones comerciales con dos fabricantes de equipos originales europeos del top 10.
• oct 2024: CISA publicó unas directrices actualizadas para la implementación de SBOM en infraestructuras de transporte, designando el sector automovilístico como un sector prioritario de infraestructura crítica y alineando los requisitos mínimos de los elementos de SBOM con el marco de la NTIA, lo que reforzó la base normativa federal para la inversión en programas de SBOM para el sector automovilístico.
• jul 2024: El Reglamento n.º 155 de UNECE WP.29 alcanzó el estado de aplicación obligatoria para todas las nuevas homologaciones de tipo de vehículos en los Estados miembros de la UE, el Reino Unido, Japón y Corea del Sur, convirtiendo las capacidades de SBOM y CSMS de buenas prácticas sectoriales opcionales en un requisito vinculante para acceder al mercado de vehículos.
• jun 2024: Upstream Security anunció la integración de su plataforma de inteligencia AutoThreat con los principales sistemas de gestión de SBOM de fabricantes de equipos originales, lo que permite correlacionar en tiempo real los datos de exposición a vulnerabilidades de toda la flota con la inteligencia activa sobre amenazas para el seguimiento de flotas de vehículos conectados.
• abr 2024: Vector Informatik lanzó la extensión de seguridad VectorCAST con capacidades nativas de generación de SBOM y exportación a CycloneDX, lo que permite a los proveedores de nivel 1 elaborar inventarios de componentes directamente a partir de los flujos de trabajo existentes de pruebas y validación de software, sin necesidad de herramientas de SBOM independientes adicionales.
• feb 2024: Finite State presentó un análisis automatizado de SBOM binarios para el firmware de las ECU de automoción, proporcionando a los fabricantes de equipos originales la extracción de componentes independiente del código fuente y la correlación con CVE para poblaciones de ECU heredadas que carecen de infraestructura nativa de generación de SBOM.

Puntuación de concentración del mercado

El mercado de SBOM y gestión de vulnerabilidades para el sector automovilístico obtiene una puntuación de 3 sobre 10 en la escala de concentración, lo que refleja un panorama competitivo altamente fragmentado en el que los cinco principales actores acumulan conjuntamente solo el 22 % de los ingresos globales y ningún proveedor individual controla más del 7,8 % de la cuota, en consonancia con un mercado en sus primeras fases de institucionalización, donde la creación de demanda impulsada por la normativa ha avanzado más rápido que la consolidación que suele producirse tras la estandarización de las plataformas.

El informe sobre el mercado de listas de materiales de software y gestión de vulnerabilidades para el sector automovilístico incluye una cobertura exhaustiva del sector con estimaciones y previsiones expresadas en términos de ingresos (millones/miles de millones de USD) de 2022 a 2035 para los siguientes segmentos:

Mercado, por solución

• Software
  • Software de generación de SBOM y gestión del ciclo de vida
  • Plataformas de correlación y monitorización de vulnerabilidades
  • Software de elaboración de informes de cumplimiento y pruebas de auditoría
  • Plataformas CSMS integradas
• Servicios
  • Profesionales
    • Servicios de implementación e integración de sistemas
    • Consultoría
    • Servicios de formación y certificación
  • Gestionados
    • Servicios de mantenimiento de SBOM y monitorización de vulnerabilidades
    • Servicios de portal de SBOM para proveedores y aseguramiento de la calidad
    • Servicios de elaboración de informes de cumplimiento y apoyo a auditorías

Mercado, por aplicación funcional

• Generación y descubrimiento de SBOM
• Gestión de vulnerabilidades y riesgos
• Gestión del cumplimiento y la gobernanza
• Gestión del cumplimiento de licencias
• Gestión de riesgos de la cadena de suministro

Mercado, por uso final

• Fabricantes de equipos originales de automoción
• Proveedores de nivel 1
• Proveedores de nivel 2 y niveles inferiores
• Mercado posventa y operadores de flotas

Mercado, por vehículo

• Turismos
  • Compactos de cinco puertas
  • Berlina
  • Vehículos utilitarios deportivos (SUV)
• Vehículos comerciales
  • De servicio ligero
  • De servicio medio
  • De servicio pesado

Mercado, por modelo de implementación

• Basado en la nube (SaaS)
• En las instalaciones

La información anterior se proporciona para las siguientes regiones y países:

• América del Norte
  • EE. UU.
  • Canadá
• Europa
  • Reino Unido
  • Alemania
  • Francia
  • Italia
  • España
  • Rusia
  • Países nórdicos         
• Asia-Pacífico
  • China
  • India
  • Japón
  • Corea del Sur
  • Sudeste Asiático
    • Indonesia
    • Malasia
    • Singapur
    • Tailandia
    • Vietnam
  • ANZ 
• América Latina
  • Brasil
  • México
  • Argentina
• MEA 
  • EAU
  • Sudáfrica
  • Arabia Saudí