Kontrolní seznam kvality SBOM: jak validovat SBOM, které vám posílají dodavatelé

Tři vrstvy kvality SBOM

Vrstva	Otázka	Co ji kontroluje	Co vám neřekne
Platný	Dá se soubor načíst a odpovídá schématu formátu a verze, které deklaruje?	Validátory schématu	Zda je některé pole vyplněno něčím užitečným
Použitelný	Jsou v něm pole, která potřebujete, a dokáže je nástroj použít: identifikátory, které odpovídají bezpečnostním oznámením, licence, hashe, vztahy?	Kontroly polí, profily souladu a skóre kvality	Co v souboru chybí
Úplný	Uvádí vše, co obsahuje software, který jste obdrželi?	Porovnání s buildem nebo s analýzou dodaného binárního souboru	Na to nedokáže odpovědět nic, co čte jen SBOM

Většina přijímajících týmů skončí u první vrstvy. „Soubor prošel validací“ je začátek kontroly, ne její výsledek. Třetí vrstvou je úplnost SBOM.

Rámce za jednu minutu

V každém požadavku a v každé zpětné vazbě uveďte rámec, aby laťkou byl zveřejněný standard, a ne váš názor.

• NTIA, The Minimum Elements for a Software Bill of Materials (12. července 2021). Sedm datových polí (název dodavatele, název komponenty, verze, další jedinečné identifikátory, vztah závislosti, autor dat SBOM, časové razítko), podpora automatizace v SPDX, CycloneDX nebo tagech SWID a postupy: frekvence, hloubka, známé neznámé, distribuce a doručení, řízení přístupu, zohlednění chyb. Hashe, licence, fáze životního cyklu a podpisy jsou uvedeny jako doporučené, nad rámec minima.
• CISA, 2026 Minimum Elements for a Software Bill of Materials (29. července 2026, po návrhu z 22. srpna 2025). Nahrazuje prvky NTIA. Sepsalo ho 18 organizací ze 14 zemí, mezi nimi CISA, NSA, FBI, německý BSI a japonské METI a NCO. Obsahuje 17 datových polí, z toho deset nových: podpis autora SBOM, název datového formátu, verze datového formátu, kontext generování, název nástroje, verze nástroje, verze SBOM, hodnota hashe komponenty, algoritmus hashe komponenty a licence komponenty. Z „Supplier name“ se stává „Component Producer“. Jeho postupy jsou pokrytí, výslovné označení neznámých informací, strojově zpracovatelná data, zohlednění aktualizací, frekvence a distribuce a doručení. Dokument formuluje každý prvek slovem „should“ a uvádí, že nevytváří nové požadavky; závaznými je činí kupující tím, že je zapíší do smluv.
• BSI, TR-03183-2 verze 2.1.0 (20. srpna 2025), Německo. Nejpřísnější z těchto tří, formulovaný slovem MUST: JSON nebo XML, CycloneDX 1.6 nebo novější či SPDX 3.0.1 nebo novější, jeden SBOM pro každou verzi softwaru, rekurzivní rozlišení závislostí s uvedením úplnosti každého seznamu závislostí, hash SHA-512 každé nasaditelné komponenty, název souboru komponenty, distribuční licence jako identifikátory SPDX a package URL nebo CPE, „pokud existuje“. Uvádí také, že SBOM nesmí obsahovat informace o zranitelnostech; ty patří do dokumentu VEX nebo do bezpečnostního oznámení.
• Mezinárodní sladění. A Shared Vision of SBOM for Cybersecurity (3. září 2025) podepsalo 18 organizací z 15 zemí. Práce G7 na SBOM se týká systémů AI („A shared G7 vision on SBOM for AI“, 2025, a „SBOM for AI – Minimum Elements“, květen 2026) a nestanoví žádné požadavky na SBOM od dodavatelů embedded systémů.
• Automobilový průmysl. Auto-ISAC vydal 11. února 2025 SBOM Informational Report.

Kontrolní seznam

Jak číst buňky: Povinné znamená, že dokument říká „must“. Minimální prvek znamená, že je v seznamu minimálních prvků daného dokumentu (základ NTIA nebo prvky „should“ od CISA). Doporučeno znamená, že ho dokument uvádí nad rámec minima. Neuvedeno znamená, že ho dokument nepožaduje. Jak otestovat jednotlivé kontroly a jakou větu zpětné vazby poslat, najdete v další části.

Kontroly na úrovni SBOM

Kontrola	Proč na tom záleží	NTIA 2021	CISA 2026	BSI TR-03183-2
1. Lze ho načíst a validuje se proti deklarovanému schématu	Soubor, který vaše nástroje nepřečtou, není SBOM	Povinné: SPDX, CycloneDX nebo tagy SWID	Postup: strojově zpracovatelné SPDX nebo CycloneDX	Povinné: JSON nebo XML
2. Verze specifikace splňuje vaše minimum	Staré verze neumějí nést pole, která potřebujete	Neuvedeno	Minimální prvek: název a verze datového formátu; vyhnout se zastaralým verzím	Povinné: CycloneDX 1.6+ nebo SPDX 3.0.1+
3. Autor SBOM	Někdo za obsah odpovídá	Minimální prvek: „Author of SBOM Data“	Minimální prvek: „SBOM Author“, tedy organizace, ne nástroj	Povinné: „Creator of the SBOM“, e-mail nebo URL
4. Časové razítko	Říká vám, který SBOM je aktuální	Minimální prvek	Minimální prvek	Povinné; doporučeno UTC
5. Název a verze nástroje	Říká vám, čemu lze v pokrytí SBOM věřit	Neuvedeno	Minimální prvek	Neuvedeno
6. Kontext generování	Sken zdrojového kódu a záznam buildu téhož vydání se liší	Doporučeno: fáze životního cyklu („source“, „build“, „post-build“)	Minimální prvek: „before build“, „build“ nebo „after build“	Bez pole; obsah musí odpovídat tomu, co bylo během buildu k dispozici
7. Verze nebo sériové číslo SBOM	Odliší opravu od originálu	Neuvedeno	Minimální prvek: „SBOM Version“	Povinné, pokud ho formát má: „SBOM-URI“
8. Podpis autora	Ukazuje, že soubor přišel od dodavatele beze změny	Doporučeno: podepisování se doporučuje	Minimální prvek: „SBOM Author Signature“	Pouze informativně: „ideálně“ podepsaný
9. Komponenta nejvyšší úrovně odpovídá tomu, co jste obdrželi	SBOM špatného vydání je horší než žádný	Minimální prvek: primární komponenty	Minimální prvek: cílová komponenta	Povinné: primární komponenta, kořen stromu

Kontroly na úrovni komponent

Kontrola	Proč na tom záleží	NTIA 2021	CISA 2026	BSI TR-03183-2
10. Název komponenty	První věc, kterou používá každé párování	Minimální prvek	Minimální prvek	Povinné; název souboru, pokud název chybí
11. Verze: žádné hodnoty latest, unknown ani prázdné	Bezpečnostní oznámení se vztahují na rozsahy verzí	Minimální prvek	Minimální prvek; pokud není známa, uvést to	Povinné; datum souboru, pokud verze chybí
12. Výrobce nebo dodavatel	Odliší dvě komponenty se stejným názvem a říká, kdo je opraví	Minimální prvek: „Supplier Name“	Minimální prvek: „Component Producer“	Povinné: „Component creator“, e-mail nebo URL
13. Package URL všude, kde ji ekosystém má, jinak CPE; obojí ve správném tvaru	Bez identifikátoru (package URL, CPE) nelze nic spárovat s databází zranitelností	Minimální prvek: „Other Unique Identifiers“, například CPE, SWID nebo PURL, pokud existují	Minimální prvek: alespoň jeden identifikátor, například CPE nebo PURL; uvést všechny	Povinné, pokud existuje: CPE nebo purl
14. Hodnota a algoritmus hashe odpovídající souboru, který jste obdrželi	Dokazuje, že tento SBOM popisuje tento binární soubor	Doporučeno	Minimální prvek: hash spustitelného artefaktu s algoritmem schváleným autoritou, například NIST	Povinné: SHA-512 nasaditelné komponenty
15. Licence jako identifikátory nebo výrazy SPDX, žádné plošné NOASSERTION	Váš licenční specialista z toho posuzuje copyleft a další povinnosti	Doporučeno	Minimální prvek; pokud možno identifikátory SPDX	Povinné: distribuční licence, přednostně identifikátory SPDX
16. Vztahy závislostí a zda je seznam úplný	Ukazuje, co zranitelný balíček přineslo, a zda lze mezerám věřit	Minimální prvek; uvést, kdy jsou přímé závislosti uvedeny úplně	Minimální prvek	Povinné, s uvedením úplnosti každého seznamu
17. Název souboru	Spojuje záznam se souborem v zařízení	Neuvedeno	Neuvedeno	Povinné
18. Vlastnosti spustitelný soubor, archiv a strukturovaný soubor	Říká, o jaký druh souboru se u každé komponenty jedná	Neuvedeno	Neuvedeno	Povinné

Kontroly pokrytí

Kontrola	Proč na tom záleží	NTIA 2021	CISA 2026	BSI TR-03183-2
19. Tranzitivní hloubka, ne jen nejvyšší úroveň	Většina zranitelného kódu přichází nepřímo	Nejvyšší úroveň povinná; tranzitivní doporučeno	Postup pokrytí: zahrnout tranzitivní závislosti; bez minimální hloubky	Povinné: rekurzivní rozlišení
20. Uvedené známé neznámé	SBOM, který uvádí své mezery, je důvěryhodný v tom, co uvádí	Povinný postup	Postup: označené neznámé a zadržené informace	Povinné prostřednictvím prohlášení o úplnosti
21. Jeden SBOM pro každou dodanou verzi softwaru	Záleží na verzi, kterou provozujete	Povinné: nový SBOM pro každý build nebo vydání	Postup: frekvence	Povinné
22. Opravy zaslané jako nový SBOM	Potichu opravenou chybu nelze dohledat	Postup: zohlednění chyb	Postup: zohlednění aktualizací	Povinné: aktualizovaný SBOM při opravě chyb
23. Věrohodnost: žádné duplicity, počet komponent odpovídající produktu, balíčky operačního systému u zařízení založeného na Linuxu	Nejlevnější test úplnosti	Neuvedeno	Postup pokrytí: více instancí uvedeno zvlášť	Více instancí musí být uvedeno zvlášť

Jak otestovat každou kontrolu a co sdělit dodavateli

Kontrola	Jak ji otestovat automaticky	Věta zpětné vazby pro dodavatele
1, 2. Schéma a verze specifikace	Validátor schématu pro deklarovaný formát a verzi; pak porovnejte specVersion (CycloneDX) nebo verzi SPDX se svým minimem	„Soubor neprochází validací schématu pro CycloneDX 1.6 na uvedených cestách. Vygenerujte ho prosím znovu generátorem a před odesláním ho validujte.“
3 až 7. Autor, časové razítko, nástroj, kontext, verze	Přítomnost povinných metadat: v CycloneDX metadata.authors, metadata.timestamp, metadata.tools, metadata.lifecycles, serialNumber a version; v SPDX informace o vytvoření	„SBOM neuvádí nástroj, který ho vytvořil, ani kontext generování. Obojí patří mezi CISA 2026 Minimum Elements.“
8. Podpis	Podpis je přítomen a ověří se proti klíči, který dodavatel zveřejnil	„Podepište prosím SBOM nebo pošlete samostatný podpis, jak popisuje prvek CISA 2026 SBOM Author Signature.“
9. Komponenta nejvyšší úrovně	Název a verze metadata.component (CycloneDX) nebo popsaného kořenového prvku (SPDX) odpovídají číslu dílu a verzi softwaru, které jste obdrželi	„Tento SBOM popisuje verzi 5.2.0; obdrželi jsme 5.3.0. Pošlete nám prosím SBOM pro 5.3.0.“
10, 11. Název a verze	Žádné prázdné názvy; žádné prázdné verze ani verze latest či unknown, pokud nejsou deklarovány jako neznámé	„14 komponent nemá verzi. Uveďte prosím přesnou verzi, nebo ji označte jako neznámou.“
12. Výrobce	U každé komponenty dodavatel, výrobce nebo autor	„Komponenty nemají výrobce, kterého požaduje prvek CISA 2026 Component Producer.“
13. Identifikátory	Každý purl lze zpracovat knihovnou pro package URL podle ECMA-427; každé CPE má platnou syntaxi CPE 2.3 a existuje ve slovníku CPE v NVD	„Žádná komponenta nemá package URL ani CPE, takže žádnou nelze spárovat s databázemi zranitelností. Doplňte prosím purl u každého balíčku ze správce balíčků.“
14. Hashe	Záznam SHA-512 u každé nasaditelné komponenty; spočítejte sha512sum obdrženého souboru a porovnejte	„SBOM neobsahuje žádné hashe. BSI TR-03183-2 požaduje SHA-512 každé nasaditelné komponenty.“
15. Licence	Identifikátory nebo výrazy licencí, které lze dohledat v seznamu licencí SPDX; spočítejte hodnoty NOASSERTION a prázdné hodnoty	„92 % komponent má jako licenci NOASSERTION. Uveďte prosím identifikátory licencí SPDX.“
16. Závislosti	Graf dependencies (CycloneDX) nebo vztahy závislostí (SPDX); prohlášení o úplnosti, například CycloneDX compositions s hodnotou aggregate	„SBOM je plochý seznam. Doplňte prosím vztahy závislostí a uveďte, zda je každý seznam úplný.“
17, 18. Název souboru a vlastnosti souboru	Jsou přítomny vlastnosti, které BSI TR-03183-2 pro každý formát definuje	„Doplňte prosím název souboru a vlastnosti spustitelný soubor, archiv a strukturovaný soubor, jak vyžaduje BSI TR-03183-2 v2.1.0.“
19 až 23. Pokrytí	Hloubka grafu závislostí, detekce duplicit, počet komponent ve srovnání s podobnými produkty, očekávané komponenty podle typu produktu	„SBOM displeje založeného na Linuxu neuvádí žádné jádro, zavaděč ani balíčky základního systému. Pošlete nám prosím SBOM celého image.“

Procenta a počty ve větách zpětné vazby jsou příklady. Doplňte skutečná čísla a pokaždé uveďte rámec a jeho verzi.

Co ani úspěšné skóre nezachytí

Soubor může projít validací, získat skóre 9 z 10 a přesto vynechat polovinu produktu. Skóre kvality čtou pole, která v souboru jsou; komponenty, které v něm nejsou, vidět nemohou.

Praktický příklad. Dodavatel pošle SBOM displeje založeného na Linuxu. Je to platný CycloneDX 1.6, každá komponenta má verzi, package URL, licenci a hash SHA-512 a graf závislostí má správný tvar. Uvádí aplikaci displeje a 40 knihoven. Neuvádí jádro Linuxu, zavaděč ani žádný balíček základního systému. Všechny kontroly polí projdou. Pro CVE v jádře, které je u linuxového zařízení nutné monitorovat, je ale SBOM k ničemu, protože jádro v něm není.

Jak může přijímající tým otestovat úplnost:

• Porovnejte ho s binární analýzou dodaného firmwaru. Někteří OEM ji používají jako náhradní SBOM, dokud SBOM od dodavatele není dost dobrý, a poté jako křížovou kontrolu.
• Zkontrolujte očekávané komponenty podle typu produktu. Image Linuxu má jádro, knihovnu C a init systém; průmyslový řídicí systém má své protokolové zásobníky.
• Vyžádejte si kontext generování a nástroj. Sken zdrojového kódu nevidí, co build stáhl.
• Zeptejte se, zda SBOM pochází z buildu, který vytvořil software, jenž jste obdrželi. To je otázka, která rozhoduje o třetí vrstvě.

Malé SBOM mohou být legitimní. Bare-metal ECU s proprietárním firmwarem a kalibrací od dodavatele může mít poctivě dvě komponenty. Přijměte to, pokud to SBOM uvádí a vyjmenovává své známé neznámé, místo abyste ho penalizovali za jeho velikost.

Nástroje, které kontroly automatizují

Ověřeno na GitHubu 11. listopadu 2026. Žádný z těchto repozitářů není archivovaný.

Nástroj	Co kontroluje	Co nekontroluje	Stav
CycloneDX CLI	Validaci schématu CycloneDX 1.0 až 1.7, JSON nebo XML; --fail-on-errors pro CI	SPDX, kvalitu polí, profily rámců	v0.33.1, červenec 2026
sbom-utility	Validaci schématu CycloneDX 1.2 až 1.7 a SPDX 2.1 až 2.3 JSON, s vlastními variantami schématu	SPDX 3, XML, profily rámců	v0.19.2, červen 2026
SPDX tools-java	Verify pro SPDX 2.0 až 2.3 a 3.0.1	CycloneDX, profily rámců	v2.0.7, červen 2026
SPDX tools-python	pyspdxtools -i: úplnou validaci SPDX 2.2 a 2.3	Čtení SPDX 3, jehož podpora je experimentální	v0.8.5, březen 2026
SPDX NTIA Conformance Checker	SPDX 2.2, 2.3 a 3.0 vůči NTIA 2021, CISA FSCT3 a BSI TR-03183-2 v2.1.0; existuje i webová verze	CycloneDX; CISA 2026 je otevřený požadavek	v6.0.0, říjen 2026
sbomqs	score od 0 do 10 napříč identifikací, původem, integritou, úplností, licencováním, zranitelnostmi a strukturou; profily compliance pro CISA 2026, NTIA 2021, BSI TR-03183-2 v1.1 až v2.1.0, FSCT v3 a OpenChain Telco	Chybějící komponenty nevidí	v2.1.3, říjen 2026; profil CISA 2026 od v2.1.0, opravený ve v2.1.2
sbom-scorecard	Vážené skóre souladu se specifikací, informací o generování a identifikátorů, verzí a licencí balíčků	Profily rámců	0.0.7, duben 2023, poslední vydání

Zatím jen sbomqs kontroluje CISA 2026 Minimum Elements. Než se na profil spolehnete, projděte poznámky k vydání každého nástroje: v sbomqs 2.1.1 příznak pro CISA 2026 omylem spouštěl kontrolu z roku 2021. Pro BSI TR-03183-2 v2.1.0 v sbomqs použijte --bsi-v21 nebo --bsi; --bsi-v2 kontroluje v2.0.0.

Minimální krok příjmu pro SBOM dodavatele ve formátu CycloneDX:

# 1. Valid: fail the intake on schema errors
cyclonedx-cli validate --input-file supplier-sbom.json --input-format json --fail-on-errors

# 2. Usable: run the profile your requirement names
sbomqs compliance --bsi-v21 supplier-sbom.json
sbomqs compliance --ntia supplier-sbom.json   # CISA 2026 Minimum Elements

# 3. Track field quality over time
sbomqs score supplier-sbom.json

# 4. The hash in the SBOM matches the file you received
sha512sum firmware-5.3.0.bin

Pro SPDX použijte sbomcheck -s spdx3 -c bsi supplier-sbom.json z NTIA Conformance Checker. Přečtěte si report souladu a soubor odmítněte u kontrol, které váš požadavek stanoví jako povinné; vraťte ho dodavateli s větami zpětné vazby uvedenými výše.

Zapracování do požadavků na dodavatele

Kontrolní seznam, který dodavatel nikdy neviděl, není požadavek. Uveďte ho v příloze smlouvy:

• Rámec a verzi: například „BSI TR-03183-2 v2.1.0“ nebo „CISA 2026 Minimum Elements“. Uveďte jeden; nepište „oborový standard“.
• Formát a minimální verzi specifikace: například CycloneDX 1.6 nebo novější, nebo SPDX 3.0.1 nebo novější, JSON.
• Pole, která požadujete navíc, například hashe SHA-512 nebo package URL u každého balíčku.
• Doručení: jeden SBOM pro každou dodanou verzi softwaru, před softwarem nebo spolu s ním.
• Validaci, kterou dodavatel provede před odesláním, s uvedením nástroje a profilu.
• Smyčku zpětné vazby: kdo zpětnou vazbu přijímá a do kdy je třeba dodat opravený SBOM.

Stranu dodavatele téže dohody popisuje průvodce SBOM pro dodavatele. Pro dodavatele softwaru, který odpovídá na jednorázový požadavek, viz požadavky zákazníků na SBOM.

Oprava SBOM, který neprošel (pro dodavatele)

• Ručně psané soubory. Použijte generátor nebo knihovnu pro SBOM, nikdy textový editor.
• Chybějící package URL. Generujte je ze správce balíčků nebo z buildu, ne ručně. Ručně napsaný purl je odhadnutý purl.
• Chybějící licence. Převezměte deklarovanou licenci z metadat balíčku jako identifikátor SPDX.
• Žádné hashe. Spočítejte je ze souborů, které skutečně dodáváte, na konci buildu.
• Špatné vydání. Generujte SBOM v buildu vydání a pojmenujte ho podle verze.
• Jen nejvyšší úroveň. Použijte metodu, která rozlišuje tranzitivní závislosti.

Nejspolehlivější způsob, jak opravit úplnost i identifikátory najednou, je generovat SBOM z buildu, který dodaný software vytvořil. Viz SBOM z doby buildu a osvědčené postupy pro SBOM.

Odkud pocházejí dobré SBOM a kam zapadá CRACI

Pro dodavatele, kteří sestavují v GitHub Actions, nahrazuje CRACI runnery hostované na GitHubu a zaznamenává SBOM během buildu, takže uvádí to, co build skutečně stáhl.

• Každý balíček s package URL a každou komponentu s její deklarovanou licencí.
• Tranzitivní závislosti v každé hloubce, kam build dosáhl.
• Stav úplnosti pro každý job, který pro každý build odpovídá na otázku známých neznámých: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.
• Export ve formátu CycloneDX nebo SPDX; SBOM API vrací CycloneDX 1.7 JSON.

Pro celou vývojovou organizaci viz standardizace generování SBOM a pro embedded Linux proč skenery přehlížejí, co je v buildech Yocto.

OEM mohou do CRACI přidat SBOM třetích stran, takže nakupované komponenty jsou monitorovány z hlediska nových zranitelností vedle vašich vlastních buildů. Jak si to stojí ve srovnání, viz nástroje pro správu SBOM.

Kdy CRACI není řešením

• Validace a hodnocení SBOM, které přijímáte. CRACI nenabízí validátor SBOM ani skóre kvality. Použijte výše uvedené nástroje.
• Dodavatelé bez CI nebo ti, jejichž kód generují nástroje založené na modelech bez stahování balíčků. Záznam buildu přinese málo; realistickým řešením je validovaný SBOM z knihovny generátoru.
• Firmware, který dostáváte jen jako binární soubor. Na to odpoví binární analýza.
• Podepsané SBOM, tedy podpis autora podle CISA 2026. CRACI SBOM nepodepisuje.

Kvalita a validace SBOM: časté dotazy

Jak zkontrolovat kvalitu SBOM, který mi poslal dodavatel?

Otestujte tři vrstvy. Validujte soubor proti jeho schématu, zkontrolujte pole podle konkrétního rámce, například BSI TR-03183-2 nebo CISA 2026 Minimum Elements, a pak otestujte úplnost: porovnejte ho s binární analýzou toho, co jste obdrželi, a ověřte komponenty, které daný typ produktu musí obsahovat.

Jaká pole musí SBOM obsahovat?

Záleží na rámci, který uvedete. CISA 2026 Minimum Elements uvádějí 17 polí, mimo jiné autora, časové razítko, nástroj, kontext generování a u každé komponenty název, verzi, výrobce, identifikátory, hash a licenci. BSI TR-03183-2 přidává hash SHA-512, název souboru a vlastnosti souboru a vyžaduje je.

Co se změnilo mezi minimálními prvky NTIA a CISA 2026 Minimum Elements?

Seznam CISA z roku 2026 nahrazuje sedm polí NTIA sedmnácti. Nové jsou podpis autora, název a verze datového formátu, kontext generování, název a verze nástroje, verze SBOM, hodnota a algoritmus hashe komponenty a licence komponenty. Ze Supplier name se stal Component Producer a z hloubky pokrytí.

Co BSI TR-03183-2 v SBOM vyžaduje?

Verze 2.1.0 vyžaduje CycloneDX 1.6+ nebo SPDX 3.0.1+ v JSON nebo XML, jeden SBOM pro každou verzi softwaru, rekurzivní závislosti s uvedenou úplností a u každé komponenty tvůrce, název, verzi, název souboru, licence, hash SHA-512 a vlastnosti souboru, s package URL nebo CPE, pokud existuje.

Potřebuje SBOM hashe? S jakým algoritmem?

NTIA je doporučovala; CISA 2026 dělá z hashe minimální prvek s algoritmem schváleným autoritou, například NIST; BSI TR-03183-2 vyžaduje SHA-512 každé nasaditelné komponenty. Vyžadujte SHA-512 a porovnejte ho se souborem, který jste obdrželi.

Potřebuji CPE i PURL zároveň?

Ne vždy. Vyžadujte package URL všude, kde ji ekosystém má, a CPE tam, kde ne, jako u mnoha komerčních nebo embedded komponent. CISA 2026 požaduje alespoň jeden identifikátor a všechny, které jsou známé; BSI vyžaduje každý z nich, pokud existuje.

Jak validovat soubor CycloneDX nebo SPDX?

Pro CycloneDX cyclonedx-cli validate s --fail-on-errors nebo sbom-utility. Pro SPDX příkaz Verify ze SPDX tools-java nebo pyspdxtools pro SPDX 2.2 a 2.3. Poté spusťte profil rámce v sbomqs nebo v SPDX NTIA Conformance Checker.

Jaké je dobré skóre kvality SBOM?

Neexistuje žádná standardní hranice ani benchmark, který bychom citovali. Skóre měří přítomná pole, ne úplnost: soubor může získat 9 z 10 a vynechat polovinu produktu. Místo toho stanovte v požadavku na dodavatele kritéria úspěchu pro každou kontrolu a skóre sledujte jako trend.