--- title: Softwarestuklijst (SBOM) · Codekeeper description: Een nieuwe CycloneDX-SBOM bij elke geslaagde herbouw met Agentic Verification. Zo weet u waaruit uw software bestaat, voor de CRA, DORA en NIS2. canonical_url: https://codekeeper.co/nl/softwarestuklijst-sbom --- # Softwarestuklijst. Weet waar _uw software op draait._ De applicaties waarvan u afhankelijk bent, zijn opgebouwd uit componenten die u niet zelf hebt geschreven. Bij elke geslaagde Pro-herbouw krijgt u een componentenlijst in CycloneDX-formaat. Zo patcht u sneller, herstelt u eerder en doorstaat u audits zonder haastwerk. [Boek een demo](https://codekeeper.co/book-a-demo) Vraag het voorbeeld-bewijspakket aan * Softwareweerbaarheid voor 3.500+ teams * Inbegrepen bij Agentic Verification ![Engineers voor productbeveiliging onderzoeken een netwerkgekoppelde infuuspomp in een lab voor medische hulpmiddelen](https://codekeeper.co/hubfs/codekeeper-site/images/scenes/software-bill-of-materials-1200.webp) **Softwarestuklijst (SBOM)**Payments Core · opnieuw gegenereerd door run #12 · 8 okt. 2026CycloneDX Componenten CycloneDX-bestand **415** componenten | Component | Versie | Type | Licentie | | --- | --- | --- | --- | | openssl | 3.0.13 | Bibliotheek | Apache-2.0 | | log4j-core | 2.23.1 | Bibliotheek | Apache-2.0 | | express | 4.19.2 | Bibliotheek | MIT | | zlib | 1.3.1 | Bibliotheek | Zlib | | ledger-core | 4.2.0 | Privépakket | Propriëtair | | pdf-render-sdk | 9.1.0 | Gelicentieerde component | Commercieel | 4 van de 415 componenten weergegeven. { "bomFormat": "CycloneDX", "metadata": { "component": { "type": "application", "name": "payments-core" } }, "components": [ { "type": "library", "name": "log4j-core", "version": "2.23.1", "licenses": [{ "license": { "id": "Apache-2.0" } }] }, { "type": "library", "name": "ledger-core", "version": "4.2.0", "licenses": [{ "license": { "name": "Proprietary" } }] } ] } Uittreksel: 2 van de 415 componenten. CycloneDXVoorbeeldwaarden. Behalve de opensourcebibliotheken zijn alle namen fictief. Bewijs voor de kaders die om een overzicht van componenten vragen * [![Europese Unie](https://codekeeper.co/hubfs/codekeeper-site/icons/flags/eu.svg) CRA](https://codekeeper.co/solutions/cra) * [![Europese Unie](https://codekeeper.co/hubfs/codekeeper-site/icons/flags/eu.svg) DORA](https://codekeeper.co/solutions/dora) * [![Europese Unie](https://codekeeper.co/hubfs/codekeeper-site/icons/flags/eu.svg) NIS2](https://codekeeper.co/solutions/nis2) * [![Europese Unie](https://codekeeper.co/hubfs/codekeeper-site/icons/flags/eu.svg) EU AI Act](https://codekeeper.co/solutions/eu-ai-act) * [![Internationaal](https://codekeeper.co/hubfs/codekeeper-site/icons/flags/icon-globe-filled-color.svg) ISO 27001](https://codekeeper.co/solutions/iso-27001) * [![Internationaal](https://codekeeper.co/hubfs/codekeeper-site/icons/flags/icon-globe-filled-color.svg) SOC 2](https://codekeeper.co/solutions/soc-2) * [![Verenigde Staten](https://codekeeper.co/hubfs/codekeeper-site/icons/flags/us-square.svg) FFIEC](https://codekeeper.co/solutions/ffiec) Waarom onze SBOM ## Vernieuw uw SBOM-bewijs _bij elke geslaagde herbouw._ Volgt u met uw SBOM kwetsbaarheden in een gereguleerde sector, dan mag die u geen verkeerde informatie geven. Bij elk Pro-plan herbouwt Agentic Verification uw kritieke applicaties, zodat elke SBOM overeenkomt met wat u op dit moment draait. Februari SBOM · Run #8 412 componenten · eerste run CycloneDX Mei SBOM · Run #9 418 componenten · 6 toegevoegd CycloneDX Augustus SBOM · Run #10 421 componenten · 3 toegevoegd, 7 bijgewerkt CycloneDX November SBOM · Run #11 419 componenten · 2 verwijderd, 4 bijgewerkt Nieuwste **Uit de herbouw:** wat de build echt binnenhaalde**Bij elke geslaagde run:** tot vier keer per jaar**CycloneDX:** het standaardformaat Voorbeeldapplicatie. Namen en waarden zijn illustratief. Wat is een SBOM? ## Wat draait er eigenlijk in uw software? Een SBOM is de ingrediëntenlijst van uw software: elke bibliotheek, elk pakket en elk model waaruit die is opgebouwd, met per onderdeel de versie, het type en de licentie. ### Als u software verkoopt. Deel de SBOM om door de beveiligingsreviews van kopers te komen en toezichthouders te laten zien wat u levert. ### Als u software inkoopt. Gebruik de SBOM om kwetsbaarheden op te sporen in de software waarvan u afhankelijk bent, en om te weten wat er bij een herstel nodig is. **Eén SBOM-regel** Voorbeeldwaarden Component log4j-core Versie 2.23.1 Type Bibliotheek Licentie Apache-2.0 Voor AI-applicaties vermeldt de SBOM ook modellen en datasets. Wat u krijgt ## Eén lijst die de vragen beantwoordt die u krijgt. * ### Elke component op het hoogste niveau. Van elke component de naam, versie, type en licentie, uit de applicatie zoals die werkelijk is gebouwd. * ### Modellen en datasets voor AI-applicaties. Met de modellen en datasets erbij voldoet de lijst aan de criteria voor een AI-stuklijst (AI-BOM). * ### Gebaseerd op een echte herbouw. De lijst legt vast wat de build binnenhaalt, ook componenten die nooit in de repository staan. * ### Klaar om te delen in CycloneDX. Exporteer de lijst in het standaardformaat dat de meeste security- en compliancetools kunnen lezen, voor kopers, auditors of autoriteiten. * ### Elke run vastgelegd. Elke SBOM blijft in de kluis naast de software die ze beschrijft, zo lang als uw kader dat vereist. * Add-on ### Component watch. Krijg een melding wanneer een nieuwe kwetsbaarheid een component in uw SBOM raakt, ook tussen twee runs in. Waarom u een SBOM nodig hebt ## Toezichthouders vragen nu waaruit uw software bestaat. De CRA en de Amerikaanse FDA vragen er uitdrukkelijk om. Andere kaders, zoals DORA en NIS2, omschrijven het in andere woorden. Maar allemaal gaan ze ervan uit dat u voor de continuïteit een actuele componentenlijst nodig hebt. [See how an SBOM maps to each framework](https://codekeeper.co/articles/sbom-compliance-what-cra-nis2-and-dora-require) ### De CRA vereist een SBOM. Machineleesbaar, opgenomen in uw technische documentatie en overhandigd zodra autoriteiten erom vragen. Van toepassing vanaf 11 dec. 2027. ### DORA vereist een volledige inventaris van uw software. Een actueel overzicht van uw softwareactiva en hoe die met elkaar samenhangen. Een SBOM is daarvoor het meest praktische bewijs. Nu al van toepassing. Hoe het werkt ## Een nieuwe componentenlijst bij elke geslaagde run. Elke geslaagde run van Agentic Verification binnen uw Pro-plan levert een opnieuw gegenereerde SBOM in CycloneDX-formaat op. Zo blijft uw compliancebewijs actueel, zonder extra werk. ### Synchroniseer uw code en buildbestanden. Koppel uw repository’s via 50+ integraties en upload wat daarbuiten staat. Uw kluis bevat elke dag een actuele kopie. **Policy admin · Depots** **policy-admin-api**Vandaag gesynchroniseerdActueel **policy-admin-web**Vandaag gesynchroniseerdActueel **build-config.zip**Geüpload Actueel ### Start een run wanneer het u uitkomt. AI-agents zoeken uit hoe uw software is opgebouwd en herbouwen die vanuit de kopie die wij bewaren, op de eigen modellen van Codekeeper. Vul aan wat ze als ontbrekend signaleren, en de run wordt afgerond. **Agentic Verification · Run #12** **Uitzoeken hoe de software is opgebouwd**Gereed **Herbouwen vanuit het depot** Gereed **1 ontbrekend bestand gesignaleerd**Bestand uploaden **SBOM genereren** In afwachting ### Ontvang uw actuele SBOM. Bekijk elke component waarop uw applicatie is gebouwd, met versie, type en licentie, en voor AI-applicaties ook de modellen en datasets. **SBOM · Run #12** CycloneDX | Component | Versie | Type | Licentie | | --- | --- | --- | --- | | openssl | 3.0.13 | Bibliotheek | Apache-2.0 | | log4j-core | 2.23.1 | Bibliotheek | Apache-2.0 | | express | 4.19.2 | Framework | MIT | | zlib | 1.3.1 | Bibliotheek | Zlib | ### Bewaar elke SBOM naast uw code. Elke lijst blijft in de kluis bij de software die ze beschrijft, zo lang als uw kader dat vereist. **Policy admin · Kluis** **SBOM · Run #12**2 okt. 2026 Nieuwste **SBOM · Run #11**1 jul. 2026 Bewaard **SBOM · Run #10**3 apr. 2026 Bewaard De schermen tonen voorbeeldwaarden. Waar uw SBOM vandaan komt ## Een lijst is een bewering. _Een herbouw onderbouwt die._ Een lijst die uit een repository is gescand, kan missen wat de build in werkelijkheid binnenhaalt. De uwe komt uit een echte herbouw, door onze agents of door onze engineers. Inbegrepen in Pro-plannen ![ISO 27001-gecertificeerd; ISO/IEC 27001-certificaat IS 798355 van BSI](https://codekeeper.co/hubfs/codekeeper-site/icons/badges/agentic-rebuild.svg) ### Agentic Verification. Tot vier keer per jaar een actuele SBOM. Escrow Pro, Resilience Pro, Continuity Pro en Software Backup Pro omvatten tot vier runs per jaar, op ondersteunde technologiestacks, en u start elke run wanneer u wilt. Elke geslaagde run levert een nieuwe SBOM op. Brengt u vaak releases uit? Voeg [extra runcredits](https://codekeeper.co/nl/prijzen-add-ons) toe, of Componentbewaking, die tussen twee runs in nieuwe kwetsbaarheden in uw componenten signaleert. [Bekijk hoe Agentic Verification werkt](https://codekeeper.co/nl/agentic-verification) Add-on bij elk plan ### Exit Exercise. Een SBOM van de software zoals die is hersteld. Onze specialisten herstellen uw software uitsluitend vanuit het depot, zonder de leverancier en zonder de oorspronkelijke ontwikkelaars. Ze zetten de data terug, rollen de software uit en testen de bedrijfsfuncties die u aanwijst. U krijgt een SBOM van precies wat zij hebben teruggebracht. [Meer over de Exit Exercise](https://codekeeper.co/nl/exit-exercise) Voorbeeld-bewijspakket ## Blader door een illustratief bewijspakket. Het laat zien wat een run oplevert, met voorbeeldwaarden. Vraag het voorbeeld-bewijspakket aan Wat er op het spel staat ## Wat u niet kunt vinden, kunt u niet patchen, herstellen of aantonen. | Onderdeel | Zonder actuele SBOM | Met een SBOM van elke geslaagde run | | --- | --- | --- | | Bedrijfsvoering | | | | Kwetsbaarheden | Een misbruikte kwetsbaarheid leidt tot dagen downtime, terwijl het team uitzoekt welke bibliotheek moet worden gepatcht. | Getroffen applicaties komen naar voren in uw componentenlijsten, zodat het patchen eerder begint. | | Herstel | Een herstel loopt vast en het bedrijf blijft offline, terwijl ontbrekende componenten worden opgespoord. | Het herstelteam werkt vanuit een lijst van wat de build nodig heeft. | | End-of-life | Een component die niet meer wordt ondersteund, valt uit in productie, zonder dat er een vervanger is gepland. | Vervangers worden gepland ruim voordat de ondersteuning stopt. | | Compliance | | | | Audits | Een audit eindigt met bevindingen, en het oplossen daarvan belandt op de roadmap van uw team. | Uw inventaris ligt al in het dossier, in CycloneDX-formaat. De audit kan verder. | | Beveiligingsreviews | De beveiligingsreview van een koper houdt de deal op, terwijl u achter antwoorden aan zit. | De SBOM gaat mee in de vragenlijst van de koper, en de deal gaat door. | | Toegang tot de EU-markt | Een ontbrekende SBOM kan u de toegang tot de EU-markt kosten, plus boetes onder de CRA tot € 15 miljoen of 2,5% van de wereldwijde jaaromzet. | Uw technische documentatie bevat de actuele SBOM die de CRA eist voor toegang tot de EU-markt. | | Autoriteiten | Onjuiste informatie aan autoriteiten levert afzonderlijke boetes op tot € 5 miljoen of 1% van de wereldwijde jaaromzet. | Elk antwoord dat u autoriteiten geeft, is gebaseerd op actuele informatie. | ## Breng uw software in kaart. _Bij elke release._ Elke release verandert wat er in uw software zit. Praat vandaag nog met onze specialisten in softwareweerbaarheid over het actueel houden van uw componentenoverzicht. [Boek een demo](https://codekeeper.co/book-a-demo) Veelgestelde vragen ## Goede vragen over SBOM’s. Wat is een SBOM? Een SBOM is een inventaris van de componenten in een applicatie. De nauwkeurigste SBOM komt uit een echte build, want die legt ook componenten vast die nooit in de repository staan. Zo wordt de uwe gemaakt. Vereist de CRA een SBOM? Ja, de CRA vereist een SBOM: fabrikanten van producten met digitale elementen moeten er een opstellen in een gangbaar, machineleesbaar formaat, dat ten minste de afhankelijkheden op het hoogste niveau omvat. De meldingsverplichtingen voor kwetsbaarheden gelden sinds 11 sep. 2026, de belangrijkste verplichtingen vanaf 11 dec. 2027. DORA en NIS2 noemen de SBOM niet bij naam, maar vragen wel om de inventaris die een SBOM biedt. Wat omvat de SBOM, en in welk formaat? De SBOM omvat de afhankelijkheden op het hoogste niveau van uw applicatie, dus de componenten waarop die direct is gebouwd, en voor AI-applicaties ook de modellen en datasets waarop ze draaien. Dat alles in CycloneDX, een standaardformaat dat de meeste security- en compliancetools kunnen lezen. U kunt de SBOM exporteren om te delen met kopers, auditors of autoriteiten. Hoe vaak wordt de SBOM bijgewerkt? De SBOM wordt bijgewerkt bij elke geslaagde run van [Agentic Verification](https://codekeeper.co/nl/agentic-verification) . Pro-plannen omvatten tot vier runs per jaar, op ondersteunde technologiestacks, die u start wanneer u wilt. U kunt extra runcredits toevoegen, of Componentbewaking, die tussentijds nieuwe kwetsbaarheden signaleert. Ook de [Exit Exercise](https://codekeeper.co/nl/exit-exercise) levert een SBOM op van de software zoals die is hersteld. Moet u uw SBOM openbaar maken? Nee, u hoeft uw SBOM niet openbaar te maken. Onder de CRA overhandigen fabrikanten hun SBOM op verzoek aan markttoezichtautoriteiten, zonder plicht om die te publiceren. Veel leveranciers delen hun SBOM rechtstreeks met kopers om door beveiligingsreviews te komen. Heb ik nog escrow nodig als ik een SBOM heb? Ja, ook met een SBOM hebt u escrow nodig. Ze hebben elk een andere taak: de SBOM somt op wat er in de software zit, escrow bewaart wat nodig is om die software te herstellen. Uw SBOM wordt gemaakt vanuit hetzelfde depot dat uw escrow beschermt.