ソフトウェア・サプライチェーン
2014年のサイバー・サプライ・チェーン管理および透明性法 は、政府機関が新たに購入するすべての製品についてSBOMの取得を義務付けることを提案した米国の法律である。 また、「米国政府によって使用されているあらゆるソフトウェア、ファームウェア、製品」についてもSBOMの取得を義務付けるものであった。 最終的には通過しなかったが、この法律は政府に認識をもたらし、2017年のIoTサイバーセキュリティ改善法のような後の法律に拍車をかけた。
2021年5月12日の米国サイバーセキュリティ改善に関する大統領令は、NISTに対し、”ソフトウェアのサプライチェーンのセキュリティを強化する”ために、”購入者に各製品のソフトウェア部品表(SBOM)を提供する”など、いくつかのテーマについて「基準、手順、または基準を含む」ガイダンスを90日以内に発行するよう命じた。また、NTIA が60日以内に "SBOMの最小要素を公表する "ことも義務付けた。
NTIAの最小要素は2021年7月12日に公表され、"ソフトウェアのサプライチェーンにおける透明性を高めるためのSBOMの使用事例を説明するとともに、将来の進化のための選択肢を示している"。 最小要素は、データフィールド(各ソフトウェアコンポーネントに関するベースライン情報)、自動化サポート(機械および人間が読み取り可能な形式でSBOMを生成する能力)、およびプラクティスとプロセス(組織がSBOMを生成する方法とタイミング)の3つの大まかなカテゴリで構成されている。”自動化サポート”要件は、”自動生成”の必要性を規定しており、これは ソフトウェア構成分析 (SCA) ソリューションを使用することで可能となる。