SPDX (Linux Foundation; ISO/IEC 5962:2021 für Version 2.2.1; Version 3.0 ergänzt Profile für Sicherheit, KI und Build) und CycloneDX (OWASP; ECMA-424; die Versionen 1.6 und 1.7 ergänzen Funktionen für Kryptografie und Attestierung) sind die beiden Formate; beide kennzeichnen Pakete mit purls und CPEs und enthalten Hashes. Generatoren (Syft, Trivy, cdxgen, Build-Plugins) erzeugen SBOMs aus Quellcode, Lockfiles, Binärdateien oder Images.
Vertrauenswürdig ist eine SBOM nur, wenn sie im Build erzeugt und signiert wird, typischerweise als in-toto-Attestierung, und ihre Qualität hängt von der Abdeckung des Generators ab. Vorschriften treiben die Verbreitung voran: die Executive Order 14028 der USA (2021) für Lieferanten der US-Bundesbehörden und der Cyber Resilience Act der EU (Verordnung (EU) 2024/2847), dessen Anhang I Hersteller verpflichtet, für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden, eine SBOM zu erstellen, die mindestens die Abhängigkeiten der obersten Ebene abdeckt.