Requise au titre de Cyber Resilience Act pour tous les constructeurs de machines, elle liste tous les composants logiciels entrant dans la composition d'un programme machine : librairie, driver, firmware…
Pour approfondir : https://fr.wikipedia.org/wiki/Nomenclature_logicielle
Elle détaille les informations suivantes
le nom du fournisseur
le nom du composant
la version du composant
la relation de dépendance
l'auteur des données SBOM
les autres identifiants uniques permettant d'identifier un composant
l'horodate (date et heure de création des données)
Optionnellement :
l'information sur la licence du composant
le hachage du composant (identifiant unique)
l'outil qui a créé la SBOM
le contexte de sa création