CycloneDX vs SPDX

Het korte antwoord

Gebruik het formaat waar uw klanten, toezichthouders of tools om vragen. Vraagt niemand erom, dan is CycloneDX de gangbaardere keuze voor beveiligingswerk, omdat het VEX van nature ondersteunt, en is SPDX de gangbaardere keuze waar licentiecompliance voorop staat. De meeste generatoren, ook CRACI, kunnen beide produceren.

Naast elkaar

CycloneDX

CycloneDX wordt ontwikkeld door de OWASP Foundation en is door Ecma International gestandaardiseerd als ECMA-424. Versie 1.7 is uitgebracht in oktober 2025. Het formaat begon bij beveiliging en risico's in de softwareketen en dekt meer dan software: SBOM's, SaaSBOM's voor diensten en HBOM's voor hardware. Het ondersteunt VEX, zodat hetzelfde formaat kan aangeven of een kwetsbaarheid een product raakt. Het wordt geserialiseerd als JSON, XML of Protocol Buffers.

SPDX

SPDX is een open-sourceproject dat door de Linux Foundation wordt gehost en is erkend als de internationale standaard ISO/IEC 5962:2021. Het begon bij licentiecompliance, en de licentie-identifiers ervan worden ver buiten SBOM's gebruikt. SPDX 3.0, uitgebracht in april 2024, voegde profielen toe voor beveiliging, build, datasets en AI.

Bekijk: de basis van SBOM's

Uit onze talk op KCD Helsinki: wat een SBOM vastlegt, hoe SPDX en CycloneDX in de praktijk verschillen en wat OpenVEX toevoegt.

5:15

Wat toezichthouders accepteren

De EU Cyber Resilience Act vraagt om een SBOM in "een algemeen gebruikt en machineleesbaar formaat" en noemt er geen. De Duitse BSI TR-03183-2, versie 2.1.0, is specifieker: CycloneDX 1.6 of hoger, of SPDX 3.0.1 of hoger, in JSON of XML. Zie SBOM-eisen van de CRA.

Het formaat doet er minder toe dan de inhoud

Beide formaten kunnen een onvolledige SBOM bevatten. Of een SBOM bruikbaar is, hangt ervan af of hij alles vermeldt wat in het product is gegaan, inclusief transitieve afhankelijkheden. CRACI legt de SBOM vast terwijl uw GitHub Actions-build draait, vermeldt de volledigheid per job en per cache, en exporteert hem in CycloneDX of SPDX. Zie SBOM-generatie tijdens de build.

CycloneDX vs SPDX: veelgestelde vragen

Is CycloneDX of SPDX beter?

Geen van beide is in het algemeen beter. CycloneDX komt voort uit de beveiligingspraktijk en ondersteunt VEX van nature; SPDX komt voort uit licentiecompliance en is een ISO-standaard. De meeste tools kunnen beide produceren. Kies het formaat waar uw klanten, toezichthouders of tools om vragen.

Welk SBOM-formaat vereist de EU Cyber Resilience Act?

De CRA vraagt om een algemeen gebruikt, machineleesbaar formaat en noemt er geen. De Duitse BSI TR-03183-2 accepteert CycloneDX 1.6 of hoger en SPDX 3.0.1 of hoger, in JSON of XML.

Kan ik converteren tussen CycloneDX en SPDX?

Er bestaan tools om in beide richtingen te converteren, maar de formaten komen niet één op één overeen, dus bij een conversie kan detail verloren gaan. Genereer als het kan rechtstreeks het formaat dat u nodig hebt.

Exporteert CRACI CycloneDX of SPDX?

Allebei. CRACI legt de SBOM vast terwijl uw GitHub Actions-build draait en exporteert hem in CycloneDX of SPDX, inclusief transitieve afhankelijkheden en de gedeclareerde licentie van elk component.