SPDX (Linux Foundation; ISO/IEC 5962:2021 para la versión 2.2.1; la versión 3.0 añade perfiles de seguridad, IA y compilación) y CycloneDX (OWASP; ECMA-424; las versiones 1.6 y 1.7 añaden funciones de criptografía y atestación) son los dos formatos; ambos identifican los paquetes con purl y CPE e incluyen hashes. Los generadores (Syft, Trivy, cdxgen, plugins de compilación) producen SBOM a partir del código fuente, los archivos de bloqueo (lockfiles), los binarios o las imágenes.
Una SBOM solo es fiable si la genera la propia compilación y se firma, normalmente como atestación in-toto, y su calidad depende de la cobertura del generador. La regulación impulsa su adopción: la Orden Ejecutiva 14028 de EE. UU. (2021) para los proveedores federales y el Reglamento de Ciberresiliencia de la UE (Reglamento (UE) 2024/2847), cuyo anexo I exige a los fabricantes elaborar una SBOM que cubra al menos las dependencias de primer nivel para los productos introducidos en el mercado a partir del 11 de diciembre de 2027.