# Eine SBOM in CycloneDX oder SPDX, ohne Änderungen an Ihrer CI.

Quelle: https://libwatch.com/de/funktionen/sbom-export

Funktion · SBOM

LibWatch kennt bereits jede Abhängigkeit Ihrer Projekte. Daraus erstellt es eine maschinenlesbare Software-Stückliste, gegen die offiziellen Schemas validiert und mit einem Klick herunterladbar.

[SBOM erstellen](https://app.libwatch.com/users/sign_up)

bestellungen-api-cyclonedx-sbom.json

```
{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "components": [
    {
      "type": "library",
      "name": "symfony/http-kernel",
      "version": "6.4.1",
      "purl": "pkg:composer/symfony/http-kernel@6.4.1"
    }
  ]
}
```

Zwei Formate

## CycloneDX für die Sicherheit, SPDX für Lizenzen

JSON
### CycloneDX 1.5

— Das von Sicherheitstools am häufigsten verlangte Format.

— In OWASP Dependency-Track importierbar.

— Name, Version, Registry und purl-Kennung jeder Komponente.

JSON
### SPDX 2.3

— Der Standard der Linux Foundation, auf Lizenzen ausgerichtet.

— Nützlich für die Open-Source-Compliance.

— Dieselben Komponenten, in einer anderen Struktur.

In der Praxis

## Von der Analyse zur Datei

Die SBOM folgt immer der letzten Analyse des Projekts.

### Projekt öffnen

Die SBOM übernimmt die letzte abgeschlossene Analyse oder eine bestimmte Analyse.

### Format wählen

CycloneDX oder SPDX, als JSON.

### Herunterladen oder per MCP abfragen

Die SBOM-Zusammenfassung steht auch Ihren KI-Assistenten zur Verfügung.

Weitere Exporte

## Für Ihre Kunden und Ihre Audits

PDF

### Druckbarer Bericht

Eine Seite pro Projekt, als PDF für einen Bericht zu speichern.

CSV und JSON

### Rohdaten

Für Ihre Tabellen und Skripte.

Link

### Öffentliche Freigabe

Der Score des Projekts und dessen Entwicklung, ohne Konto.

Häufige Fragen

## Zu SBOMs

### Deckt die SBOM transitive Abhängigkeiten ab?

 Sie übernimmt alles, was das Lockfile beschreibt. Mit Lockfile sind transitive Abhängigkeiten enthalten.

### Reicht die SBOM für den CRA?

 Nein, nicht für sich allein. Der CRA verlangt eine maschinenlesbare SBOM, was CycloneDX und SPDX sind, aber auch ein Schwachstellenmanagement und eine technische Dokumentation, von der die SBOM nur ein Teil ist. Siehe [was CRA und NIS2 verlangen](/de/funktionen/cra-nis2-konformitaet).

### Kann ich sie in Dependency-Track importieren?

 Ja. Die CycloneDX-1.5-Datei im JSON-Format lässt sich wie jede CycloneDX-SBOM in OWASP Dependency-Track importieren.

## Ihre SBOM wartet nach der ersten Analyse auf Sie.

[14 Tage kostenlos testen](https://app.libwatch.com/users/sign_up)