两种格式分别是 SPDX（Linux 基金会；2.2.1 版为 ISO/IEC 5962:2021；3.0 版新增了安全、AI 和构建方面的配置文件）和 CycloneDX（OWASP；ECMA-424；1.6 和 1.7 版新增了密码学和证明方面的功能）；两者都用 purl 和 CPE 标识软件包，并携带哈希。生成工具（Syft、Trivy、cdxgen、构建插件）可从源代码、锁文件、二进制文件或镜像生成 SBOM。
只有由构建过程生成并经过签名（通常作为 in-toto 证明）的 SBOM 才值得信任，而其质量取决于生成工具的覆盖范围。法规正在推动 SBOM 的采用：美国第 14028 号行政令（2021年）针对联邦供应商；欧盟《网络弹性法案》（法规 (EU) 2024/2847）的附件 I 要求制造商为自2027年12月11日起投放市场的产品编制至少涵盖顶层依赖的 SBOM。