O CycloneDX (desde a versão 1.6, de 2024) modela os ativos criptográficos como componentes do tipo cryptographic-asset, com propriedades como algorithmProperties (primitiva, conjunto de parâmetros, modo, nível de segurança quântica do NIST), propriedades de certificado e propriedades de protocolo (versões de TLS, cipher suites), e os vincula ao código e aos serviços que os usam. Os scanners montam CBOMs a partir de código-fonte, binários, tráfego de rede e repositórios de certificados.
Um CBOM responde às perguntas de que uma migração precisa: onde o RSA-2048 é usado, quais serviços ainda negociam TLS 1.2 sem troca de chaves híbrida, quais certificados expiram depois de 2030 e quais bibliotecas precisam de atualização. Ele só é útil se for mantido atualizado, o que significa gerá-lo no CI, e não uma única vez.