Os dois formatos são o SPDX (Linux Foundation; ISO/IEC 5962:2021 para a versão 2.2.1; a versão 3.0 acrescenta perfis para segurança, IA e build) e o CycloneDX (OWASP; ECMA-424; as versões 1.6 e 1.7 acrescentam recursos de criptografia e de atestado); ambos identificam pacotes com purls e CPEs e trazem hashes. Os geradores (Syft, Trivy, cdxgen, plugins de build) produzem SBOMs a partir do código-fonte, de lockfiles, de binários ou de imagens.
Um SBOM só é confiável quando é gerado pelo build e assinado, normalmente como um atestado in-toto, e sua qualidade depende da cobertura do gerador. As regulamentações impulsionam a adoção: a Ordem Executiva 14028 dos EUA (2021), para fornecedores federais, e o Cyber Resilience Act da UE (Regulamento (UE) 2024/2847), cujo Anexo I exige que os fabricantes elaborem um SBOM que cubra pelo menos as dependências de nível superior para produtos colocados no mercado a partir de 11 de dezembro de 2027.