形式は SPDX（Linux Foundation、バージョン 2.2.1 は ISO/IEC 5962:2021、バージョン 3.0 でセキュリティ、AI、ビルドのプロファイルを追加）と CycloneDX（OWASP、ECMA-424、バージョン 1.6 と 1.7 で暗号とアテステーションの機能を追加）の 2 つです。どちらも purl と CPE でパッケージを識別し、ハッシュ値を含みます。生成ツール（Syft、Trivy、cdxgen、ビルドプラグイン）は、ソースコード、ロックファイル、バイナリ、イメージから SBOM を生成します。
SBOM が信頼できるのは、ビルドによって生成され、署名されている場合（通常は in-toto のアテステーションとして）だけで、その品質は生成ツールがどこまで網羅できるかに左右されます。規制も導入を後押ししています。連邦政府の調達先には米国の大統領令 14028（2021年）が適用され、EU ではサイバーレジリエンス法（規則（EU）2024/2847）の附属書 I が、2027年12月11日以降に市場に投入される製品について、少なくともトップレベルの依存関係を網羅した SBOM の作成を製造者に義務付けています。