CycloneDX (desde la versión 1.6, de 2024) modela los activos criptográficos como componentes de tipo cryptographic-asset con propiedades como algorithmProperties (primitiva, conjunto de parámetros, modo, nivel de seguridad cuántica de NIST), propiedades de certificado y propiedades de protocolo (versiones de TLS, conjuntos de cifrado), y los vincula con el código y los servicios que los usan. Los escáneres generan CBOM a partir del código fuente, los binarios, el tráfico de red y los almacenes de certificados.
Una CBOM responde a las preguntas que plantea una migración: dónde se usa RSA-2048, qué servicios siguen negociando TLS 1.2 sin intercambio de claves híbrido, qué certificados caducan después de 2030 y qué bibliotecas hay que actualizar. Solo es útil si se mantiene al día, lo que significa generarla en CI y no una sola vez.