CycloneDX (seit Version 1.6, 2024) bildet kryptografische Bestandteile als Komponenten vom Typ cryptographic-asset ab, mit Eigenschaften wie algorithmProperties (Primitiv, Parametersatz, Modus, Quanten-Sicherheitsniveau nach NIST), Zertifikats- und Protokolleigenschaften (TLS-Versionen, Cipher Suites), und verknüpft sie mit dem Code und den Diensten, die sie nutzen. Scanner erstellen CBOMs aus Quellcode, Binärdateien, Netzwerkverkehr und Zertifikatsspeichern.
Eine CBOM beantwortet die Fragen, die eine Migration stellt: wo RSA-2048 im Einsatz ist, welche Dienste noch TLS 1.2 ohne hybriden Schlüsselaustausch aushandeln, welche Zertifikate nach 2030 ablaufen und welche Bibliotheken ein Upgrade brauchen. Nützlich ist sie nur, wenn sie aktuell bleibt – also wenn sie in der CI erzeugt wird statt ein einziges Mal.