Автомобильное программное обеспечение (SBOM) и управление уязвимостями на рынке Размер и доля 2026-2035
Размер рынка - по решению (программное обеспечение, услуги), по функциональному применению (генерация и обнаружение SBOM, управление уязвимостями и рисками, управление соответствием и корпоративным управлением, управление лицензионным соответствием, управление рисками цепочки поставок), по конечному использованию (автопроизводители OEM, поставщики первого уровня, поставщики второго и более низкого уровня, послепродажное обслуживание и операторы автопарков), по типу транспортного средства (легковые автомобили, коммерческие транспортные средства) и по модели развертывания (облачная (SaaS), локальная). Прогнозы рынка представлены в виде доходов ($ млн/млрд).
Идентификатор отчета: GMI15938
|
Дата публикации: June 2026
|
Формат отчета: PDF
Скачать бесплатный PDF-файл
Авторы:
Preeti Wadhwani, Satyam Thakare
Рынок программного обеспечения для автомобилей (SBOM) и управления уязвимостями: размер и прогнозы
Глобальный рынок SBOM и управления уязвимостями в автомобильной отрасли оценивался в 920,5 миллиона долларов США в 2025 году. По прогнозам, к 2026 году он вырастет с 1,1 миллиарда долларов США до 4,7 миллиардов долларов США к 2035 году, демонстрируя среднегодовой темп роста (CAGR) в 17,3% в течение прогнозируемого периода, согласно последнему отчету, опубликованному Global Market Insights Inc.
Рынок программного обеспечения для автомобилей: ведомости материалов (SBOM) и управление уязвимостями — основные выводы
Размер рынка и рост
Региональное доминирование
Основные факторы роста рынка
Проблемы
Возможности
Ключевые игроки
Основным катализатором роста является сочетание двух независимых факторов: обязательные сроки enforcement, действующие в Европейском Союзе, Японии и Южной Корее в рамках Регламента ООН WP.29 № 155, а также техническая реальность, что современные автомобили с программным управлением интегрируют программное обеспечение более чем от 150 различных поставщиков из проприетарных, коммерческих и открытых экосистем, что требует непрерывного учета, отслеживания лицензий и мониторинга уязвимостей.[1]ЮНЕСК, unece.org На операционном уровне это сочетание приводит к contractual требованиям SBOM, которые распространяются от OEM-производителей к поставщикам первого и второго уровня, трансформируя критерии закупки программного обеспечения, структуры управления кибербезопасностью и распределение капитала по всей автомобильной цепочке создания стоимости.
Основные факторы роста
Анализ влияния факторов
Фактор
Влияние на прогноз CAGR
Географическая значимость
Временные рамки
Обязательное нормативно-правовое соответствие (UNECE WP.29, ISO/SAE 21434, EO 14028)
~18–24%
Европа, Япония, Южная Корея, Северная Америка
Краткосрочный (≤ 2 года)
Экспоненциальный рост сложности автомобильного ПО
~20–26%
Всемирный
Среднесрочный (2–4 года)
Увеличение частоты и сложности кибератак
~16–21%
Северная Америка, Европа, Азиатско-Тихоокеанский регион
Краткосрочный (≤ 2 года)
Ускоренное внедрение электромобилей и программно-определяемых автомобилей, расширяющее поверхность атаки
~15–20%
Азиатско-Тихоокеанский регион, Европа, Северная Америка
Долгосрочный (≥ 4 года)
Обязательное нормативно-правовое соответствие
Регламент UNECE WP.29 № 155, ISO/SAE 21434, Исполнительный указ США 14028 и формирующиеся китайские стандарты GB/T в области автомобильной кибербезопасности вынуждают производителей оригинального оборудования (OEM) и поставщиков первого уровня внедрять системы трассировки программного обеспечения и управления уязвимостями как обязательный базовый уровень для одобрения типа транспортных средств и доступа на рынок.[2]ISO, iso.org Регламент № 155 вступил в обязательную силу для всех новых одобрений типа транспортных средств в странах-членах ЕС, Великобритании, Японии и Южной Корее в июле 2024 года, что превратило возможность управления SBOM из добровольной передовой практики в обязательное условие нормативно-правового соответствия. Путь к соответствию требует непрерывного мониторинга SBOM, структурированной документации по реагированию на инциденты и рабочих процессов подтверждения поставщиков, что способствует устойчивому доходному лицензированию платформ, услуг и интеграции на протяжении всего жизненного цикла транспортного средства.
Экспоненциальный рост сложности автомобильного ПО
Программно-определяемые автомобили, платформы ADAS, стеки подключённого информационно-развлекательного оборудования, системы OTA-обновлений и архитектуры автономного вождения dramatically увеличивают объём компонентов программного обеспечения и сложность зависимостей во всех категориях транспортных средств. Современный автомобиль премиум-класса теперь содержит от 100 до 300 миллионов строк кода, распределённых по сотням электронных блоков управления (ЭБУ), с открытыми исходными кодами, которые обновляются независимо и часто содержат нераскрытые транзитивные компоненты. Рынок SBOM и управления уязвимостями для автомобильной промышленности напрямую решает эту сложность, предоставляя структурированные инвентаризации компонентов, карты графов зависимостей и непрерывную корреляцию CVE на протяжении всего жизненного цикла разработки и эксплуатации программного обеспечения.
Увеличение частоты и сложности кибератак на подключённые автомобили Кампании программ-вымогателей, эксплуатация удалённых ЭБУ, векторы атак через OTA и компрометация цепочки поставок программного обеспечения, нацеленные на экосистемы подключённых автомобилей, ускоряют инвестиции производителей оригинального оборудования (OEM) в платформы непрерывного мониторинга уязвимостей и интеллекта рисков программного обеспечения. База данных уязвимостей Национального института стандартов и технологий (NIST) зафиксировала более 29 000 новых раскрытий CVE в 2024 году, значительная часть которых затрагивает встроенные операционные системы, открытые сетевые библиотеки и промежуточное программное обеспечение, широко используемые в автомобильных программных стеках.
Ускорение внедрения электромобилей и программно-определяемых автомобилей расширяет поверхность атаки
Быстрое внедрение электромобилей и программно-определяемых автомобилей расширяет адресуемые программные слои в системах управления батареями (BMS), доменных контроллерах, модулях связи V2X, телематические блоки управления (TCU) и облачных сервисных платформах. Данные Международного энергетического агентства (IEA) показывают, что в 2024 году мировые продажи электромобилей достигли 17 миллионов единиц, а уровень проникновения превысил 40% на нескольких европейских рынках.[4] Каждый новый слой архитектуры электромобилей и программно-определяемых автомобилей вводит дополнительные программные компоненты, сторонние зависимости и облачные интерфейсы, требующие структурированного покрытия SBOM и определенных протоколов реагирования на уязвимости.
Основные вызовы
Анализ ограничений
Вызов
Влияние на прогноз CAGR
Географическая значимость
Временные рамки
Сложность интеграции с устаревшими рабочими процессами
~(8–12%)
Глобальный
Краткосрочный (≤ 2 года)
Пробелы в совместимости форматов SBOM в цепочках поставок
~(7–11%)
Глобальный
Среднесрочный (2–4 года)
Нехватка специалистов по автомобильной кибербезопасности
~(6–10%)
Азиатско-Тихоокеанский регион, ЛАТАМ, Ближний Восток и Африка
Долгосрочный (≥ 4 года)
Высокие затраты на внедрение рамок SBOM
~(10–14%)
Поставщики 2-го уровня, ЛАТАМ, Ближний Восток и Африка
Среднесрочный (2–4 года)
Сложность интеграции SBOM и управления уязвимостями с устаревшими процессами разработки и производства автомобилей
Автопроизводители и поставщики сталкиваются с существенными техническими и организационными трудностями при интеграции платформ SBOM и управления уязвимостями с устаревшими архитектурами ЭБУ, фрагментированными средами разработки с несколькими инструментальными цепочками и циклами валидации автомобилей, построенными на основе аппаратных моделей доставки без непрерывного управления программным обеспечением. Многие производственные программы опираются на программное обеспечение ЭБУ на базе AUTOSAR, разработанное в течение многолетних циклов, где ретроспективное создание SBOM требует ручной археологии компонентов — ресурсоемкого и подверженного ошибкам процесса в масштабах развертывания полных линеек моделей. Поставщики решают эту проблему с помощью анализа двоичных файлов на основе анализа состава программного обеспечения (SCA), который работает без доступа к исходному коду, но полная интеграция в гетерогенные устаревшие среды остается задачей на несколько лет для корпоративных программ автопроизводителей.
Отсутствие универсальной совместимости форматов SBOM в многоуровневых цепочках поставок
Отсутствие универсального обязательного формата обмена SBOM с SPDX (ISO/IEC 5962:2021) и CycloneDX, которые занимают разные уровни внедрения в экосистемах OEM и поставщиков, создает пробелы в совместимости и операционные неэффективности, добавляя трения в рабочие процессы обмена SBOM между несколькими уровнями.[5]МЭА, iea.org Значительная часть поставщиков программного обеспечения Tier-2 и более низких уровней в автомобильной промышленности не обладает достаточной зрелостью программ кибербезопасности для создания машиночитаемых SBOM в любом из форматов, что вынуждает OEM-производителей управлять гибридными средами: автоматизированным приемом SBOM от зрелых поставщиков наряду с ручной аттестацией от более мелких партнеров. Руководство CISA по минимальным элементам SBOM за 2023 год задает фактический отраслевой стандарт, однако межведомственное правоприменение остается неравномерным.
Нехватка специалистов по кибербезопасности автомобильной промышленности с экспертизой в области программ SBOM Ограниченная доступность инженеров, обладающих компетенциями в области управления кибербезопасностью автомобилей, анализом состава программного обеспечения, DevSecOps-инженерией безопасности и управлением жизненным циклом SBOM, сдерживает темпы внедрения как в организациях OEM, так и у поставщиков первого уровня. Требуемый профиль специалистов, сочетающий функциональную безопасность (ISO 26262), кибербезопасность (ISO/SAE 21434) и дисциплины разработки программного обеспечения, имеет узкую глобальную базу предложения, которая расширяется медленнее, чем растет спрос со стороны программ. Это ограничение особенно остро проявляется на быстро развивающихся автомобильных рынках, таких как Индия, Мексика и Юго-Восточная Азия.
Высокие затраты на внедрение комплексных рамок SBOM Масштабное развертывание программ SBOM на уровне предприятия — включая инфраструктуру сканирования программного обеспечения, порталы для работы с поставщиками, автоматизацию соответствия, интеграцию каналов разведки уязвимостей и непрерывный мониторинг — требует значительных первоначальных капиталовложений и постоянных операционных расходов. Для поставщиков Tier-2 и более низких уровней, работающих с узкими маржинальными программами, соотношение затрат и выгод оказывается неблагоприятным без прямого принуждения со стороны OEM или структурированных механизмов стимулирования.
Тенденции рынка автомобильных ведомостей программного обеспечения (SBOM) и управления уязвимостями
От периодической документации SBOM к непрерывному мониторингу цепочки поставки программного обеспечения
Фундаментальный операционный сдвиг, происходящий на рынке автомобильных SBOM и управления уязвимостями, заключается в переходе от SBOM как статического артефакта соответствия, создаваемого однократно при подаче заявки на одобрение типа транспортного средства, к SBOM как постоянно обновляемому, машиночитаемому инфраструктурному активу, синхронизированному между разработкой, производством и эксплуатацией. Движущей силой этого изменения является операционная реальность: состояния программного обеспечения автомобилей меняются часто и в больших масштабах. OTA-обновления прошивок, исправления сторонних библиотек, обновления зависимостей с открытым исходным кодом и изменения программного обеспечения ЭБУ могут в совокупности изменить состав компонентов и профиль уязвимостей автопарка в течение нескольких часов после развертывания. Stellantis в 2024 году выполнил более 25 миллионов OTA-обновлений программного обеспечения для своего парка подключенных автомобилей, что иллюстрирует как операционную скорость изменения состава компонентов, так и неадекватность SBOM-документации на момент времени как механизма управления в таких масштабах.[6]ENISA, enisa.europa.eu
Еще более значимым аспектом регулирования является то, что Правило № 155 WP.29 UNECE требует от OEM-производителей поддерживать постоянно обновляемую систему управления кибербезопасностью (CSMS), способную отслеживать уязвимости в течение всего жизненного цикла транспортного средства, а не только на этапе подачи заявки на одобрение типа, что создает формальную нормативную обязанность по динамической инфраструктуре SBOM, которую не могут обеспечить статические документальные процессы.
На уровне архитектуры продукта поставщики платформ, включая Cybellum и C2A Security, переориентировали свои предложения на непрерывное управление жизненным циклом SBOM, интегрируя их с платформами оркестрации OTA и DevSecOps CI/CD-конвейерами для обеспечения синхронизации инвентаризации компонентов в реальном времени с этапа разработки (commit) до развертывания в полевых условиях и мониторинга после продажи.
Коммерческий эффект поддается измерению: платформы, способные демонстрировать актуальность SBOM в реальном времени, устанавливают более высокие лицензионные сборы по сравнению с инструментами генерации на основе точек во времени, что создает ценовое разделение на рынке автомобильных SBOM и ускоряет вытеснение устаревших подходов к статической документации. Сроки полного внедрения непрерывной инфраструктуры SBOM сосредоточены в окне 2026–2028 годов, что совпадает с активацией обязательств по соблюдению требований поставщиками Tier-1 в рамках WP.29 и расширением требований статьи 8 ISO/SAE 21434 в рамки договорных отношений поставщиков в европейских и японских автомобильных программах.
Интеграция платформ SBOM с CSMS, DevSecOps и OTA-инфраструктурой
Автомобильные программы кибербезопасности сходятся к интегрированной архитектуре, в которой инструменты SBOM работают как уровень данных в рамках более широкой системы управления кибербезопасностью (CSMS), предоставляя данные об инвентаризации компонентов, статусе уязвимостей и прогрессе исправлений в рабочие процессы управления CSMS, соответствующие требованиям статьи 8 ISO/SAE 21434 для непрерывного управления кибербезопасностью. Эта модель интеграции становится значительным конкурентным преимуществом на рынке автомобильных SBOM и управления уязвимостями: ETAS (Bosch Group) и Vector Informatik предлагают возможности SBOM, тесно интегрированные с их established автомобильными экосистемами инструментов разработки, что дает структурное преимущество перед вендорами, специализирующимися исключительно на кибербезопасности, при конкуренции за внедрение встроенных рабочих процессов в существующих средах разработки OEM.
По данным нашего экспертного опроса в первом квартале 2026 года, в котором приняли участие 38 руководителей программ кибербезопасности автомобильных OEM из Германии, Японии и США, 74% респондентов определили интеграцию платформ SBOM с CSMS как приоритетную возможность для соблюдения требований статьи 8 ISO/SAE 21434, опережая такие функции, как глубина корреляции CVE и автоматизация исправлений. Вторичный эффект — это рыночный запрос на стандартизированные API-фреймворки для обмена данными SBOM между платформами CSMS OEM и инструментами безопасности поставщиков, который в настоящее время закрывается за счет индивидуальных интеграций, но ожидается, что он будет формализован в рамках рабочих групп VDA ISA, TISAX и UNECE в период 2026–2028 годов. Коммерческий вывод для рынка автомобильных SBOM заключается в том, что вендоры, предлагающие готовые коннекторы интеграции с CSMS, будут получать доходы от продления и расширения контрактов с более высокими ставками по сравнению с конкурентами, предлагающими точечные решения без встроенных рабочих процессов.
AI-ориентированная приоритизация уязвимостей и прогностическая аналитика рисков
Поставщики автомобильной кибербезопасности внедряют модели искусственного интеллекта и машинного обучения для решения фундаментальной проблемы «сигнал/шум» в масштабных программах управления уязвимостями: современный стек программного обеспечения SDV может содержать несколько тысяч известных CVE в любой момент времени, большинство из которых представляют теоретические, а не реально эксплуатируемые риски в специфическом автомобильном контексте.[7]Automotive News, autonews.com Приоритизационные движки на основе ИИ контекстуализируют необработанные данные CVE с учетом специфических параметров автомобиля — уровня привилегий компонента, близости к критически важным подсистемам, топологии сетевой экспозиции и доказательств реальной эксплуатируемости на основе данных активной разведки угроз, формируя ранжированный и применимый план исправлений вместо недифференцированного бэклога уязвимостей.
VicOne, функционируя как отдельное предприятие Trend Micro, реализовала эту архитектуру через свою платформу обнаружения угроз xNexus, коррелируя инвентаризации автомобильных SBOM с сетью угроз Trend Micro, охватывающей более 250 миллиардов событий угроз в день. В марте 2025 года VicOne выпустила xNexus 2.0 с улучшенной приоритизацией CVE на основе ИИ, а данные раннего внедрения показали сокращение объема предупреждений до 70% для операторов парков подключенных транспортных средств. Платформа Black Duck от Synopsys применяет анализ состава программного обеспечения с оценкой уязвимости, обогащенной CVSS, для достижения сопоставимого снижения сигнала для OEM-производителей, работающих с гибридными архитектурами на основе открытого исходного кода и проприетарного программного обеспечения. Количественное влияние приоритизации с помощью ИИ, снизившее среднее время реагирования на устранение уязвимостей, становится все более обязательным в масштабах корпоративных программ OEM, управляющих инвентарями программного обеспечения для сотен вариантов моделей транспортных средств и многолетних производственных циклов. Эта тенденция представляет собой среднесрочный и долгосрочный вектор роста для рынка автомобильных SBOM и управления уязвимостями, поскольку глубина ИИ-возможностей становится основным фактором ценообразования и продления контрактов.
Платформы для подключения SBOM поставщиков и обмена на нескольких уровнях как отдельная категория продуктов
Критическая операционная проблема формируется как самостоятельная категория продуктов на рынке автомобильных SBOM: инфраструктура платформ для подключения и обмена SBOM поставщиков, позволяющая OEM-производителям собирать, проверять, нормализовать и интегрировать данные SBOM от поставщиков Tier-1 и Tier-2 в масштабах. Данные отрасли показывают, что к 2025 году менее 30% поставщиков программного обеспечения Tier-2 для автомобильной промышленности внедрили автоматизированные рабочие процессы генерации SBOM, что вынуждает OEM-производителей управлять гибридными средами машиночитаемых SBOM от зрелых партнеров и документов ручной аттестации от более мелких поставщиков. PlaxidityX (кибербезопасностная платформа Continental) и Finite State представили возможности порталов поставщиков, предназначенные для стандартизации приема SBOM в форматах SPDX и CycloneDX, а также предоставления пошаговых рабочих процессов для менее зрелых поставщиков.
В ноябре 2024 года Cybellum расширила свою платформу Product Security Platform модулем Supplier SBOM Portal, позволяющим OEM-производителям автоматизировать сбор SBOM, проверку формата и системное поглощение данных от до 500 точек взаимодействия с поставщиками после коммерческого внедрения с двумя европейскими OEM-производителями из топ-10. Коммерческий эффект значителен: платформы для подключения SBOM поставщиков и обмена на нескольких уровнях находятся на пути стать самостоятельной категорией дохода на более широком рынке автомобильных SBOM и управления уязвимостями, перехватывая бюджеты как из программ кибербезопасности OEM, так и из проектов внедрения на стороне поставщиков по мере того, как требования к соответствию SBOM на нескольких уровнях распространяются вглубь цепочки поставок.
Анализ рынка автомобильных ведомостей программного обеспечения (SBOM) и управления уязвимостями
По решениям
В 2025 году программное обеспечение занимает 69% от общего объема рынка и, как прогнозируется, будет расти с CAGR 17,7% до 2035 года, представляя собой доминирующую коммерческую структуру рынка автомобильных SBOM и управления уязвимостями. Это сосредоточение отражает экономику платформенных решений для корпоративного внедрения SBOM: повторяющиеся лицензионные доходы от SaaS-инструментов, охватывающих генерацию SBOM, картирование зависимостей компонентов, корреляцию CVE, отчетность по панели соответствия и отслеживание рабочих процессов устранения, составляют основные и наиболее масштабируемые коммерческие отношения между поставщиками и автомобильными клиентами.
Платформа безопасности продуктов Cybellum и платформа AutoSPIN DevSecOps компании C2A Security демонстрируют архитектуру ведущих программных решений, обеспечивая непрерывное управление жизненным циклом SBOM и отчетность о соответствии ISO/SAE 21434 через веб-интерфейсы, которые интегрируются с средами разработки OEM с помощью структурированных API-коннекторов. Лицензионные сборы масштабируются в зависимости от покрытия моделей автомобилей и объема программных компонентов — модель ценообразования, которая создает расширение доходов в соответствии со структурным ростом программного обеспечения на автомобиль в автомобильном рынке SBOM.
Функциональное приложение управления уязвимостями и рисками, занимающее 24,4% доли рынка в 2025 году и растущее на 17,8%, представляет собой самый быстрорастущий подсегмент в категории программного обеспечения. Это обусловлено спросом OEM на автоматизированные возможности корреляции CVE и приоритизации устранения уязвимостей, которые работают непрерывно, а не через периодические циклы оценки. Сегмент услуг, занимающий 31% дохода 2025 года и растущий с CAGR 16,4%, включает профессиональные услуги, консалтинг по внедрению, управляемые операции безопасности, программы по интеграции поставщиков и оценку пробелов в соответствии с ISO/SAE 21434.
На текущем уровне зрелости рынка доходы от услуг структурно связаны с циклами развертывания программного обеспечения: проекты внедрения первого года, программы по интеграции поставщиков и услуги TARA (анализ угроз и оценка рисков) часто генерируют счета за профессиональные услуги, которые сопоставимы или превышают первоначальную стоимость лицензии программного обеспечения для корпоративных OEM-проектов. DNV и LTTS являются ведущими в этом сегменте услуг, при этом DNV использует статус органа по сертификации для предоставления услуг аудита и гарантий ISO/SAE 21434, которые обладают институциональной достоверностью в контексте нормативных представлений. В прогнозный период ожидается постепенное смещение соотношения доходов от услуг к программному обеспечению в пользу последнего по мере созревания возможностей платформы и автоматизации рабочих процессов интеграции поставщиков, что снижает ручной компонент услуг при новых развертываниях.
По области применения
Автопроизводители (OEM) представляют собой крупнейший сегмент конечного применения, занимая 40% доли рынка в 2025 году, и, как ожидается, будут расти с CAGR 18,2%, что обусловлено их прямой нормативной ответственностью за требования одобрения типа UNECE WP.29 и их ролью основного контрагента в обеспечении кибербезопасности на протяжении жизненного цикла автомобиля. Развертывания OEM носят структурно корпоративный масштаб, требуя полного покрытия программного обеспечения по моделям автомобилей на сотнях блоков управления (ECU), множестве конфигураций вариантов программного обеспечения и скоординированного сбора SBOM из многоуровневых сетей поставщиков. Кибербезопасностная программа концерна Volkswagen через его подразделение CARIAD и расширенная структура управления кибербезопасностью Stellantis иллюстрируют институциональный масштаб инвестиций ведущих OEM в инфраструктуру соответствия SBOM, при этом обе организации обязались использовать платформы SBOM в качестве основополагающих элементов своих программ соответствия ISO/SAE 21434.
Сегмент поставщиков первого уровня (Tier-1), занимающий 34% дохода рынка в 2025 году и растущий на 17,2%, отражает нисходящее распространение требований OEM к SBOM: поставщики Tier-1 вынуждены внедрять собственные платформы SBOM для управления компонентами, закупаемыми у партнеров по цепочке поставок более низкого уровня, создавая рекурсивную структуру спроса, которая постепенно расширяет внедрение платформ вниз по иерархии цепочки поставок. Поставщики Tier-2 и более низкого уровня занимают 19,7% доли рынка в 2025 году с CAGR 16,7%, представляя собой самый быстрорастущий адресуемый сегмент по объему, поскольку контрактные требования OEM к SBOM распространяются за пределы границ Tier-1.
Адаптация в этом сегменте смещена в сторону облачных SaaS-моделей с низкими первоначальными затратами и управляемым процессом внедрения. Операторы вторичного рынка и автопарков, на долю которых в 2025 году приходится 6,3% дохода и рост на уровне 12,8%, демонстрируют наименьшие темпы роста конечного использования в краткосрочной перспективе — это связано с более низким непосредственным регуляторным давлением. Среднесрочные перспективы выглядят более конструктивно: предполагаемые изменения в Директиве ЕС о юридической ответственности за продукцию, как ожидается, введут обязательства по кибербезопасности жизненного цикла транспортных средств, что существенно сместит стимулы для адаптации со стороны операторов автопарков и поставщиков услуг вторичного рынка в пост-2027 период.
По регионам
Рынок программного обеспечения и управления уязвимостями в автомобильной отрасли Азиатско-Тихоокеанского региона
Азиатско-Тихоокеанский регион является крупнейшим по абсолютным доходам, на его долю приходится 34,6% мирового рынка в 2025 году (318,5 млн долларов США), и, как прогнозируется, достигнет 1 528,3 млн долларов США к 2035 году при среднегодовом темпе роста 16,6%. Китай представляет собой крупнейший рынок в регионе и ввел национальный стандарт GB/T 44464-2024 для кибербезопасности интеллектуальных подключенных транспортных средств, который устанавливает отечественные обязательства по SBOM и управлению уязвимостями, аналогичные положениям UNECE WP.29, с учетом специфических требований к цепочке поставок и локализации данных, влияющих на архитектуру платформы для международных поставщиков, работающих на китайском рынке SBOM для автомобильной промышленности.[8]SAE International, sae.org
Япония и Южная Корея работают под прямым регулированием UNECE WP.29, при этом оба рынка имплементировали требования Регламента № 155 через соответствующие органы по одобрению типа — MLIT в Японии и KATRI в Южной Корее, что фактически создает синхронизированные сроки применения с ЕС. Индия представляет собой наиболее значимую краткосрочную возможность роста в регионе: Бюро индийских стандартов и Министерство автомобильных дорог и транспорта Индии опубликовали в 2024 году проект руководящих принципов кибербезопасности подключенных транспортных средств, что сигнализирует о сближении с рамками, aligned с WP.29, что позволит таким компаниям, как Tata Motors, Mahindra и отечественным подразделениям Hyundai и Suzuki, войти в сферу применения обязательных требований в период 2026–2028 годов. Рынки Юго-Восточной Азии, в частности активные инициативы Сингапура в области автомобильной кибербезопасности под эгидой Агентства кибербезопасности Сингапура и расширение производства электромобилей в Таиланде, где ключевую роль играют заводы BYD и Toyota, становятся дополнительными источниками спроса на рынке SBOM для автомобильной отрасли Азиатско-Тихоокеанского региона.
Рынок программного обеспечения и управления уязвимостями в автомобильной отрасли Северной Америки
На Северную Америку в 2025 году приходится 26,6% мирового рынка (244,4 млн долларов США), и, как прогнозируется, это будет самый быстрорастущий региональный рынок в прогнозный период со среднегодовым темпом роста 18,8%, что обусловлено импульсом федеральной политики в области кибербезопасности, структурными масштабами цепочки поставок автомобильного программного обеспечения в США и ускоряющимися инвестициями автопроизводителей в программно-определяемые автомобильные платформы. Исполнительный указ США № 14028 (май 2021 года) установил SBOM в качестве основополагающего требования для федеральных закупок программного обеспечения и стимулировал более широкое внедрение в регулируемых отраслях, а выпущенное CISA в 2023 году руководство по минимальным элементам SBOM, обновленное в октябре 2024 года, определило автомобильную отрасль как приоритетный критический сектор инфраструктуры, создав широко используемый фактический отраслевой стандарт, интегрированный в рамки квалификации поставщиков OEM и требования к кибербезопасности в контрактах.
КЛЮЧЕВЫЕ ПРАВИЛА: - Сохранить ВСЕ HTML-теги, атрибуты, классы, ID точно в таком же виде - Переводить только текстовое содержимое между HTML-тегами - Не добавлять никаких markdown-форматирований, таких как ```html - Не добавлять никаких пояснений, комментариев или дополнительного текста - Возвращать ТОЛЬКО переведенное HTML-содержимое - Сохранять точную структуру и форматирование HTML - Не оборачивать вывод в блоки кода
NHTSA's best practices guidance for motor vehicle cybersecurity explicitly references software component traceability as a key risk mitigation measure, further reinforcing institutional demand for SBOM program infrastructure at the OEM level.[9]NHTSA, nhtsa.gov Канадская позиция в области автомобильной кибербезопасности тесно связана с американскими рамками благодаря двусторонней интеграции цепочки поставок — большинство канадских поставщиков Tier-1, обслуживающих американские штаб-квартиры OEM, подпадают под эквивалентные контрактные требования SBOM. По результатам нашего опроса 95 североамериканских поставщиков автомобильного программного обеспечения в III квартале 2025 года, 71% получили официальные требования по предоставлению SBOM от своих основных заказчиков-OEM в течение предыдущих 18 месяцев — почти двукратный рост по сравнению с 38% базовым показателем, зафиксированным в когорте 2023 года, что подтверждает ускорение активации спроса со стороны цепочки поставок, инициированного OEM в регионе.
Рынок программных ведомостей материалов (SBOM) и управления уязвимостями для автомобильной промышленности Европы
В 2025 году Европа занимает второе место по доле на глобальном рынке, на которую приходится 27,3% мирового дохода (251,5 млн долларов США), и, как прогнозируется, будет расти с совокупным годовым темпом роста (CAGR) 17,6% до 2035 года, что обусловлено ведущей ролью региона в регулировании автомобильной кибербезопасности. Правило № 155 UNECE WP.29 вступило в обязательную силу для всех новых одобрений типа транспортных средств в государствах-членах ЕС и Великобритании в июле 2024 года, что сделало наличие возможностей CSMS и SBOM обязательным условием для одобрения типа и создало немедленный мандат на соблюдение требований для OEM и поставщиков на всей территории европейского автомобильного производства.
Германия является основным центром концентрации технологий на рынке автомобильных SBOM: Volkswagen, BMW и Mercedes-Benz вместе со своими соответствующими сетями поставщиков Tier-1 занимают непропорционально большую долю в развертывании европейских платформ SBOM, в то время как расположенные в Германии поставщики ETAS и Vector Informatik занимают значительную долю рынка, используя глубокую интеграцию в инструментальные цепочки OEM и Tier-1, которые они уже обслуживают.
Отчет ENISA «Хорошие практики в области автомобильной кибербезопасности» за 2024 год определил управление жизненным циклом SBOM как критически важный контроль для всех категорий подключенных транспортных средств, предоставив справочную структуру, которую национальные органы по утверждению типа во Франции, Италии и Испании включают в требования к документации по соблюдению нормативов. Режим утверждения типа транспортных средств в Великобритании в постбрекситный период дублирует требования UNECE WP.29 под надзором DVSA, поддерживая нормативную согласованность, которая поддерживает спрос на рынке Великобритании в аналогичные сроки с европейскими коллегами.
Доля рынка программных ведомостей материалов (SBOM) и управления уязвимостями для автомобильной промышленности
Глобальный рынок автомобильных SBOM и управления уязвимостями отличается выраженной фрагментацией: семь крупнейших игроков в совокупности занимают около 25,8% от общего дохода рынка в 2025 году, а оставшиеся 74,2% распределены среди широкого спектра региональных специалистов, новых поставщиков, нишевых консалтинговых компаний и внутренних программ разработки у более крупных OEM.
Такая фрагментация характерна для рынков на ранних стадиях институционализации: активное нормативное принуждение создало немедленный спрос, но отсутствие доминирующих стандартов платформ, гетерогенность сред инструментальных цепочек OEM и широта географических рынков позволили разнообразному кругу поставщиков занять специализированные позиции до того, как конкурентная консолидация сузит поле.
Cybellum занимает лидирующую индивидуальную позицию на рынке с долей 7,8%.
8% доля рынка
Совокупная доля рынка составляет 22%
Компании на рынке управления ведомостями о программном обеспечении и уязвимостях для автомобильного ПО
Конкурентоспособность компании значительно укрепилась после её приобретения LG Electronics в 2022 году за примерно 240 миллионов долларов США. Эта сделка обеспечила финансовую поддержку для ускоренного развития продуктов и международного коммерческого расширения, а также создала стратегическое партнёрство с автомобильными системами LG Magna e-Powertrain, предоставив Cybellum доступ к отношениям с поставщиками автомобильных OEM через существующую сеть поставщиков 1-го уровня LG. Платформа безопасности продуктов Cybellum внедрена несколькими ведущими глобальными OEM из топ-10 и охватывает полный жизненный цикл SBOM — от обнаружения компонентов на основе бинарных файлов и картографии зависимостей до корреляции CVE, отслеживания исправлений и отчётности о соответствии нормативным требованиям.
ETAS, дочерняя компания группы Bosch, специализирующаяся на автомобильном программном обеспечении и кибербезопасности (через подразделение ESCRYPT), занимает 4,9% рынка. ETAS конкурирует с уникальных позиций: глубокая интеграция в экосистему автомобильных инструментов Bosch, включая программное обеспечение для калибровки INCA, платформы разработки ECU в соответствии с AUTOSAR и инфраструктуру полевой диагностики, обеспечивает доступ к рабочим процессам разработки OEM и поставщиков 1-го уровня, который независимые вендоры не могут воспроизвести только через интеграцию API. Vector Informatik, занимая 3,8% доли, использует своё доминирующее положение в анализе автомобильных коммуникационных протоколов и инструментах разработки ECU (в частности, CANalyzer и CANoe) для расширения в область SBOM и кибербезопасности как смежную возможность в рамках существующих клиентских контрактов, что позволяет предлагать пакетные структуры с минимальным риском конкурентного вытеснения.
Argus Cyber Security, теперь объединённая под брендом PlaxidityX компании Continental после её приобретения в 2017 году и последующей интеграции с подразделением безопасности Elektrobit, занимает 3% рынка. Платформа PlaxidityX сочетает наследие безопасности ECU и телематики Argus с возможностями безопасности автомобильного программного обеспечения Elektrobit, а позиция Continental как одного из крупнейших поставщиков 1-го уровня обеспечивает как базу собственных клиентов, так и рыночную репутацию для взаимодействия с OEM сторонних производителей.
Synopsys, занимая 2,5% доли, выходит на рынок автомобильных SBOM с помощью платформы Black Duck — продукта с проверенными корпоративными внедрениями DevSecOps, который OEM и поставщики, ищущие надёжные инструменты SCA, считают привлекательным как более низкорискованный вариант. VicOne (2%) и C2A Security (1,8%) завершают семерку лидеров, при этом VicOne позиционирует себя как растущую компанию благодаря доступу к глобальной инфраструктуре угроз Trend Micro.
В нашем исследовании H2 2025 года, охватившем 58 директоров по программам кибербезопасности автомобилей в Северной Америке, Европе и Азиатско-Тихоокеанском регионе, 63% респондентов назвали глубину интеграции инструментария, а не автономную производительность корреляции CVE, решающим критерием при выборе платформы SBOM. Этот результат был последовательным среди респондентов как от OEM, так и от поставщиков 1-го уровня. Такое предпочтение интеграции перед паритетными функциями перестраивает конкурентную динамику на рынке автомобильных SBOM: вендоры без established связей в автомобильных инструментариях всё чаще конкурируют по цене, а не по дифференциации возможностей, ускоряя разделение между премиальными интегрированными платформами и недорогими точечными решениями. Траектория M&A является определяющей структурной динамикой: помимо сделок Cybellum/LG и Argus/Continental, Karamba Security и Upstream Security привлекли рост капитала, позиционируя себя как вероятные объекты поглощения по мере движения рынка к консолидации в период 2026–2030 годов.
Основные игроки, работающие на рынке ведомостей материалов программного обеспечения (SBOM) и управления уязвимостями для автомобильной промышленности: AUTOCRYPT, AVL, DNV, ETAS, Harman International, LTTS, Synopsys, Upstream Security, Vector Informatik, VicOne, Argus Cyber Security, Cybellum, CYMOTIVE Technologies, Finite State, Karamba Security, PlaxidityX, Secure Elements, Agnile Technologies, C2A Security и VxLabs (ThreatZ).
ETAS (Группа Bosch) предоставляет интегрированный портфель управления автомобильной кибербезопасностью и SBOM через своё подразделение ESCRYPT, охватывающее анализ архитектуры транспортных средств, автоматизированное создание SBOM, инструменты TARA, мониторинг уязвимостей и документацию по соответствию требованиям UNECE WP.29 и ISO/SAE 21434. Интеграция инструментария ETAS с платформами Bosch INCA, AUTOSAR и диагностики полевых устройств создаёт возможность сбора встроенных данных SBOM в рабочих процессах, уже используемых производителями оригинального оборудования (OEM) и поставщиками Tier-1, предоставляя конкурентное структурное преимущество, которое сложно воспроизвести независимым поставщикам.
Synopsys применяет свою платформу анализа состава программного обеспечения Black Duck для автомобильных сценариев использования SBOM, предоставляя автоматизированное обнаружение компонентов с открытым исходным кодом, управление соответствием лицензиям и корреляцию CVE для OEM, управляющих гибридными архитектурами с открытым исходным кодом и проприетарным программным обеспечением. Устоявшаяся репутация Black Duck в средах DevSecOps для предприятий снижает риски внедрения платформы для руководителей программ OEM, ищущих проверенные инструменты SCA с путём развёртывания в автомобильной отрасли.
Vector Informatik интегрирует возможности SBOM и кибербезопасности в экосистему своих автомобильных инструментов разработки, расширяя свою платформу диагностики CANoe и инфраструктуру тестирования программного обеспечения VectorCAST за счёт генерации SBOM, экспорта в формате CycloneDX и отчётности о соответствии требованиям в области кибербезопасности. В апреле 2024 года Vector Informatik выпустила расширение VectorCAST Security с нативной генерацией SBOM и возможностями экспорта в CycloneDX, позволяя поставщикам Tier-1 создавать инвентаризации компонентов непосредственно из существующих рабочих процессов тестирования и валидации программного обеспечения без необходимости использования дополнительных автономных инструментов SBOM.
VicOne (Trend Micro) предоставляет аналитику SBOM и угрозы, специфичные для автомобильной отрасли, через свой комплекс платформ обнаружения угроз xNexus и защиты конечных точек xCarbon. VicOne коррелирует инвентаризации компонентов SBOM с глобальной сетью угроз Trend Micro, охватывающей более 250 миллиардов запросов угроз в день, предоставляя OEM приоритизацию CVE, актуальную для автомобильной отрасли, что снижает объём оповещений и повышает операционную значимость рекомендаций по устранению уязвимостей.
Argus Cyber Security / PlaxidityX (Continental) работает как интегрированная платформа автомобильной кибербезопасности под брендом PlaxidityX, сочетая наследие безопасности ECU и телематики Argus с возможностями безопасности автомобильного программного обеспечения Elektrobit. Платформа предоставляет сквозное управление уязвимостями автомобильного программного обеспечения, отслеживание жизненного цикла SBOM и отчётность о соответствии требованиям для клиентов OEM и Tier-1, а отношения Continental с цепочками поставок Tier-1 обеспечивают встроенный коммерческий канал по всему миру автомобильных производственных центров.
Cybellum (LG Electronics) является мировым лидером рынка с долей 7,8%, предлагая платформу управления безопасностью продукции, охватывающую полный жизненный цикл SBOM и управления уязвимостями — обнаружение компонентов на основе бинарных файлов, построение графов зависимостей, корреляцию CVE, управление рабочими процессами устранения уязвимостей, портал SBOM для поставщиков и отчётность о соответствии нормативным требованиям. Платформа Cybellum поддерживает интеграцию с основными PLM OEM, средами DevSecOps и управления OTA и внедрена в нескольких ведущих глобальных программах кибербезопасности OEM из топ-10.
C2A Securityoffers the AutoSPIN automotive DevSecOps platform a native security automation framework that integrates SBOM generation, CVE management, and compliance reporting directly into CI/CD pipelines. AutoSPIN's developer-centric architecture enables OEMs and Tier-1 suppliers to embed security governance within software development workflows rather than applying it as a post-development compliance overlay. In April 2025, C2A Security announced the general availability of AutoSPIN 3.0, featuring expanded SBOM lifecycle management capabilities including automated SPDX/CycloneDX bidirectional format conversion and a supplier portal module for multi-tier SBOM collection and validation at scale.
Новости отрасли управления ведомостями о программном обеспечении и уязвимостях для автомобильной промышленности
Оценка концентрации рынка
Автомобильный рынок SBOM и управления уязвимостями оценивается на 3 из 10on the concentration scale, reflecting a highly fragmented competitive landscape in which the top five players collectively hold only 22% of global revenue and no single vendor commands more than 7.8% share, consistent with an early-institutionalization market where regulatory-driven demand creation has outpaced the consolidation that typically follows platform standardization.
The automotive software bill of materials and vulnerability management market report includes in-depth coverage of the industry with estimates & forecasts in terms of revenue ($ Mn/Bn) from 2022 to 2035, for the following segments:
Market, By Solution
Market, By Functional Application
Market, By End Use
Market, By Vehicle
Market, By Deployment Model
The above information is provided for the following regions and countries:
Методология исследования, источники данных и процесс валидации
Этот отчёт основан на структурированном исследовательском процессе, построенном на прямых отраслевых беседах, собственном моделировании и строгой перекрёстной проверке, а не просто на кабинетных исследованиях.
Наш 6-этапный процесс исследования
1. Дизайн исследования и контроль аналитиков
В GMI наша исследовательская методология построена на основе человеческого опыта, строгой валидации и полной прозрачности. Каждый инсайт, анализ трендов и прогноз в наших отчётах разрабатывается опытными аналитиками, которые понимают нюансы вашего рынка.
Наш подход интегрирует обширные первичные исследования через прямое взаимодействие с участниками отрасли и экспертами, дополненные всесторонними вторичными исследованиями из проверенных глобальных источников. Мы применяем количественный анализ воздействия для предоставления надёжных прогнозов, сохраняя полную прослеживаемость от исходных источников данных до финальных инсайтов.
2. Первичное исследование
Первичное исследование составляет основу нашей методологии, внося около 80% в общие инсайты. Оно включает прямое взаимодействие с участниками отрасли для обеспечения точности и глубины анализа. Наша структурированная программа интервью охватывает региональные и глобальные рынки с участием руководителей высшего звена, директоров и предметных экспертов. Эти взаимодействия дают стратегические, операционные и технические перспективы, обеспечивая всесторонние инсайты и надёжные рыночные прогнозы.
3. Интеллектуальный анализ данных и анализ рынка
Интеллектуальный анализ данных является ключевой частью нашего исследовательского процесса, внося около 20% в общую методологию. Он включает анализ структуры рынка, выявление отраслевых трендов и оценку макроэкономических факторов через анализ доли выручки крупных игроков. Соответствующие данные собираются из платных и бесплатных источников для создания надёжной базы данных. Эта информация затем интегрируется для поддержки первичных исследований и оценки размера рынка с валидацией от ключевых заинтересованных сторон, таких как дистрибьюторы, производители и ассоциации.
4. Оценка размера рынка
Наша оценка размера рынка построена на методе восходящего анализа, начиная с данных о выручке компаний, полученных непосредственно в ходе первичных интервью, а также показателей объёма производства от производителей и статистики установок или развёртывания. Эти данные объединяются по региональным рынкам для получения глобальной оценки, основанной на реальной отраслевой деятельности.
5. Модель прогноза и ключевые допущения
Каждый прогноз включает явную документацию следующего:
✓ Основные драйверы роста и их предполагаемое влияние
✓ Сдерживающие факторы и сценарии смягчения
✓ Нормативные допущения и риск изменения политики
✓ Параметр кривой технологического освоения
✓ Макроэкономические допущения (рост ВВП, инфляция, валюта)
✓ Конкурентная динамика и ожидаемый вход/выход на рынок
6. Валидация и обеспечение качества
На заключительных этапах осуществляется человеческая валидация, в рамках которой эксперты в области вручную проверяют отфильтрованные данные для выявления нюансов и контекстуальных ошибок, которые могут ускользнуть автоматизированные системы. Эта экспертная проверка добавляет важный уровень контроля качества, обеспечивая соответствие данных целям исследования и отраслевым стандартам.
Наш трёхуровневый процесс валидации обеспечивает максимальную надёжность данных:
✓ Статистическая валидация
✓ Экспертная валидация
✓ Проверка рыночной реальности
Доверие и достоверность
Проверенные источники данных
Отраслевые издания
Журналы и торговая пресса в сфере безопасности и обороны
Отраслевые базы данных
Собственные и сторонние рыночные базы данных
Нормативные документы
Государственные закупочные записи и политические документы
Академические исследования
Университетские исследования и отчёты специализированных учреждений
Корпоративные отчёты
Годовые отчёты, презентации для инвесторов и регуляторные документы
Экспертные интервью
Топ-менеджеры, руководители по закупкам и технические специалисты
Архив GMI
Более 13 000 опубликованных исследований по более 30 отраслям
Торговые данные
Объёмы импорта/экспорта, коды ТН ВЭД и таможенные записи
Изучаемые и оцениваемые параметры
Каждая точка данных в этом отчёте проверена с помощью первичных интервью, подлинного восходящего моделирования и строгой перекрёстной проверки. Узнайте больше о нашем исследовательском процессе →