SPDX (Linux Foundation ; ISO/IEC 5962:2021 pour la version 2.2.1 ; la version 3.0 ajoute des profils pour la sécurité, l’IA et le build) et CycloneDX (OWASP ; ECMA-424 ; les versions 1.6 et 1.7 ajoutent des fonctionnalités de cryptographie et d’attestation) sont les deux formats ; tous deux identifient les paquets par des purls et des CPE et contiennent des condensats. Des générateurs (Syft, Trivy, cdxgen, plugins de build) produisent des SBOM à partir du code source, des fichiers de verrouillage (lockfiles), des binaires ou des images.
Un SBOM n’est fiable que s’il est généré par le build et signé, généralement sous forme d’attestation in-toto, et sa qualité dépend de la couverture du générateur. La réglementation pousse à l’adoption : le décret présidentiel américain (Executive Order) 14028 de 2021 pour les fournisseurs fédéraux, et le règlement européen sur la cyberrésilience (Cyber Resilience Act, règlement (UE) 2024/2847), dont l’annexe I impose aux fabricants d’établir un SBOM couvrant au moins les dépendances de premier niveau pour les produits mis sur le marché à partir du 11 décembre 2027.