Форматов два: SPDX (Linux Foundation; версия 2.2.1 стандартизована как ISO/IEC 5962:2021; версия 3.0 добавляет профили для безопасности, ИИ и сборки) и CycloneDX (OWASP; ECMA-424; версии 1.6 и 1.7 добавляют возможности для криптографии и аттестаций); оба идентифицируют пакеты с помощью purl и CPE и содержат хеши. Генераторы (Syft, Trivy, cdxgen, плагины сборки) создают SBOM из исходного кода, lock-файлов, бинарных файлов или образов.
SBOM заслуживает доверия, только если его создаёт сама сборка и он подписан, обычно в виде аттестации in-toto, а его качество зависит от того, насколько полно генератор охватывает компоненты. Внедрение подталкивают нормативные акты: указ президента США № 14028 (2021) для федеральных поставщиков и Закон ЕС о киберустойчивости (Cyber Resilience Act, Регламент (ЕС) 2024/2847), приложение I к которому обязывает производителей продуктов, выводимых на рынок с 11 декабря 2027 года, составлять SBOM, охватывающий как минимум зависимости верхнего уровня.