CycloneDX (depuis la version 1.6, 2024) modélise les actifs cryptographiques comme des composants de type cryptographic-asset dotés de propriétés comme algorithmProperties (primitive, jeu de paramètres, mode, niveau de sécurité quantique du NIST), de propriétés de certificat et de propriétés de protocole (versions de TLS, suites de chiffrement), et les relie au code et aux services qui les utilisent. Les scanners construisent des CBOM à partir du code source, des binaires, du trafic réseau et des magasins de certificats.
Une CBOM répond aux questions que pose une migration : où RSA-2048 est utilisé, quels services négocient encore TLS 1.2 sans échange de clés hybride, quels certificats expirent après 2030 et quelles bibliothèques doivent être mises à jour. Elle n’est utile que si elle est tenue à jour, ce qui implique de la générer dans la CI plutôt qu’une seule fois.