Der neue Leitfaden hält an den Grundprinzipien der Fassung von 2021 fest, passt sie aber an den aktuellen Stand von SBOMs an. Den beteiligten Behörden zufolge soll die Aktualisierung heutigen Anforderungen besser gerecht werden, die Datenqualität erhöhen und ein breiteres Spektrum an Einsatzszenarien abdecken. Dazu wurden neue Elemente aufgenommen, andere gestrichen und bestehende Beschreibungen überarbeitet.

Neu hinzugekommen sind die Elemente Component Hash Algorithm, Component Hash Value, Component License, Author Signature, Data Format Name, Data Format Version, Generation Context, Tool Name, Tool Version und SBOM Version. Mit diesen Ergänzungen reagieren die Herausgeber auf veränderte Anforderungen an Softwaretransparenz und Lieferkettensicherheit.

Gestrichen wurden laut Leitfaden nur zwei Elemente: Access Control und Software Identification (SWID) Tags. Darüber hinaus wurden mehrere bestehende Punkte ersetzt, präzisiert oder neu formuliert. Auch einzelne Felder wurden angepasst, um die Abbildung von Daten zu verbessern. Als Beispiel nennt das Dokument den Komponentennamen, für den nun mehrere Einträge zulässig sind.

Im Leitfaden heißt es, Organisationen, die Software entwickeln, beschaffen oder betreiben, könnten SBOM-Daten nutzen, um ihre Softwarelieferkette besser zu verstehen. Eine höhere Transparenz in der Lieferkette könne Entscheidungen im Risikomanagement unterstützen, etwa beim Umgang mit bekannten und neu entdeckten Schwachstellen und Risiken.

Die beteiligten Behörden verweisen außerdem darauf, dass sich auch die Werkzeuge rund um SBOMs weiterentwickelt haben. Dieser Fortschritt sei durch die wachsende Zahl von Organisationen getrieben worden, die SBOMs erzeugen, austauschen, nutzen und analysieren. Dadurch könnten Stellen, die SBOMs anfordern, heute deutlich mehr Informationen über ihre Lieferkette und Softwarekomponenten verlangen als noch 2021.

Nach Angaben der Autorinnen und Autoren gilt das Dokument grundsätzlich für alle Arten von Software. Für bestimmte Kategorien, darunter KI-Systeme und SaaS, könnten jedoch zusätzliche Elemente erforderlich sein. Bereits im Mai hatten Regierungsbehörden aus den G7-Staaten einen eigenen SBOM-Leitfaden für KI veröffentlicht.

Die nun veröffentlichte Fassung ersetzt nicht die Grundidee der früheren Vorgaben, sondern konkretisiert sie für aktuelle Anforderungen an Transparenz und Lieferkettenanalyse. Inhaltlich basiert sie auf dem 2021 veröffentlichten NTIA-Leitfaden und den im vergangenen Jahr eingegangenen öffentlichen Stellungnahmen.