OpenChain
La norma ISO que describe cómo debe gestionar una organización el cumplimiento de licencias de código abierto, nacida como proyecto de la Linux Foundation.
El OpenChain Project arrancó en 2016 con un problema sencillo: un producto electrónico pasa por muchos proveedores y, si uno solo se descuida con los avisos de la GPL, quien paga es el fabricante al final de la cadena. Por eso el proyecto definió lo mínimo que debe tener un programa de cumplimiento creíble: una política, responsables designados, formación y un proceso para identificar componentes y sus licencias. Trata del proceso, no de ninguna licencia en particular.
La especificación se convirtió en ISO/IEC 5230 en 2020, y una hermana dedicada a la seguridad, ISO/IEC 18974, llegó en 2023. Las organizaciones pueden autocertificarse, y la idea es que los proveedores puedan fiarse de las SBOM que se entregan entre sí sin auditar cada archivo.