Softwarestuklijst. Weet waar uw software op draait.De applicaties waarvan u afhankelijk bent, zijn opgebouwd uit componenten die u niet zelf hebt geschreven. Bij elke geslaagde Pro-herbouw krijgt u een componentenlijst in CycloneDX-formaat. Zo patcht u sneller, herstelt u eerder en doorstaat u audits zonder haastwerk.
Softwarestuklijst (SBOM)Payments Core · opnieuw gegenereerd door run #12 · 8 okt. 2026CycloneDX| Component | Versie | Type | Licentie |
|---|---|---|---|
| openssl | 3.0.13 | Bibliotheek | Apache-2.0 |
| log4j-core | 2.23.1 | Bibliotheek | Apache-2.0 |
| express | 4.19.2 | Bibliotheek | MIT |
| zlib | 1.3.1 | Bibliotheek | Zlib |
| ledger-core | 4.2.0 | Privépakket | Propriëtair |
| pdf-render-sdk | 9.1.0 | Gelicentieerde component | Commercieel |
4 van de 415 componenten weergegeven.
Europese Unie
Internationale normen
VS
VK
Australië
Nederland
{
"bomFormat": "CycloneDX",
"metadata": {
"component": { "type": "application", "name": "payments-core" }
},
"components": [
{ "type": "library", "name": "log4j-core", "version": "2.23.1",
"licenses": [{ "license": { "id": "Apache-2.0" } }] },
{ "type": "library", "name": "ledger-core", "version": "4.2.0",
"licenses": [{ "license": { "name": "Proprietary" } }] }
]
} Uittreksel: 2 van de 415 componenten.
Waarom onze SBOM
Volgt u met uw SBOM kwetsbaarheden in een gereguleerde sector, dan mag die u geen verkeerde informatie geven. Bij elk Pro-plan herbouwt Agentic Verification uw kritieke applicaties, zodat elke SBOM overeenkomt met wat u op dit moment draait.
SBOM · Run #8
412
componenten · eerste run
CycloneDXSBOM · Run #9
418
componenten · 6 toegevoegd
CycloneDXSBOM · Run #10
421
componenten · 3 toegevoegd, 7 bijgewerkt
CycloneDXSBOM · Run #11
419
componenten · 2 verwijderd, 4 bijgewerkt
NieuwsteUit de herbouw: wat de build echt binnenhaaldeBij elke geslaagde run: tot vier keer per jaarCycloneDX: het standaardformaat
Wat is een SBOM?
Een SBOM is de ingrediëntenlijst van uw software: elke bibliotheek, elk pakket en elk model waaruit die is opgebouwd, met per onderdeel de versie, het type en de licentie.
Deel de SBOM om door de beveiligingsreviews van kopers te komen en toezichthouders te laten zien wat u levert.
Gebruik de SBOM om kwetsbaarheden op te sporen in de software waarvan u afhankelijk bent, en om te weten wat er bij een herstel nodig is.
Wat u krijgt
Van elke component de naam, versie, type en licentie, uit de applicatie zoals die werkelijk is gebouwd.
Met de modellen en datasets erbij voldoet de lijst aan de criteria voor een AI-stuklijst (AI-BOM).
De lijst legt vast wat de build binnenhaalt, ook componenten die nooit in de repository staan.
Exporteer de lijst in het standaardformaat dat de meeste security- en compliancetools kunnen lezen, voor kopers, auditors of autoriteiten.
Elke SBOM blijft in de kluis naast de software die ze beschrijft, zo lang als uw kader dat vereist.
Krijg een melding wanneer een nieuwe kwetsbaarheid een component in uw SBOM raakt, ook tussen twee runs in.
Waarom u een SBOM nodig hebt
De CRA en de Amerikaanse FDA vragen er uitdrukkelijk om. Andere kaders, zoals DORA en NIS2, omschrijven het in andere woorden. Maar allemaal gaan ze ervan uit dat u voor de continuïteit een actuele componentenlijst nodig hebt.
Machineleesbaar, opgenomen in uw technische documentatie en overhandigd zodra autoriteiten erom vragen. Van toepassing vanaf 11 dec. 2027.
Een actueel overzicht van uw softwareactiva en hoe die met elkaar samenhangen. Een SBOM is daarvoor het meest praktische bewijs. Nu al van toepassing.
Hoe het werkt
Elke geslaagde run van Agentic Verification binnen uw Pro-plan levert een opnieuw gegenereerde SBOM in CycloneDX-formaat op. Zo blijft uw compliancebewijs actueel, zonder extra werk.
Koppel uw repository’s via 50+ integraties en upload wat daarbuiten staat. Uw kluis bevat elke dag een actuele kopie.
AI-agents zoeken uit hoe uw software is opgebouwd en herbouwen die vanuit de kopie die wij bewaren, op de eigen modellen van Codekeeper. Vul aan wat ze als ontbrekend signaleren, en de run wordt afgerond.
Bekijk elke component waarop uw applicatie is gebouwd, met versie, type en licentie, en voor AI-applicaties ook de modellen en datasets.
| Component | Versie | Type | Licentie |
|---|---|---|---|
| openssl | 3.0.13 | Bibliotheek | Apache-2.0 |
| log4j-core | 2.23.1 | Bibliotheek | Apache-2.0 |
| express | 4.19.2 | Framework | MIT |
| zlib | 1.3.1 | Bibliotheek | Zlib |
Elke lijst blijft in de kluis bij de software die ze beschrijft, zo lang als uw kader dat vereist.
De schermen tonen voorbeeldwaarden.
Waar uw SBOM vandaan komt
Een lijst die uit een repository is gescand, kan missen wat de build in werkelijkheid binnenhaalt. De uwe komt uit een echte herbouw, door onze agents of door onze engineers.
Inbegrepen in Pro-plannen
Escrow Pro, Resilience Pro, Continuity Pro en Software Backup Pro omvatten tot vier runs per jaar, op ondersteunde technologiestacks, en u start elke run wanneer u wilt. Elke geslaagde run levert een nieuwe SBOM op. Brengt u vaak releases uit? Voeg extra runcredits toe, of Componentbewaking, die tussen twee runs in nieuwe kwetsbaarheden in uw componenten signaleert.
Add-on bij elk plan
Onze specialisten herstellen uw software uitsluitend vanuit het depot, zonder de leverancier en zonder de oorspronkelijke ontwikkelaars. Ze zetten de data terug, rollen de software uit en testen de bedrijfsfuncties die u aanwijst. U krijgt een SBOM van precies wat zij hebben teruggebracht.
Voorbeeld-bewijspakket
Het laat zien wat een run oplevert, met voorbeeldwaarden.
Wat er op het spel staat
| Onderdeel | Zonder actuele SBOM | Met een SBOM van elke geslaagde run |
|---|---|---|
| Bedrijfsvoering | ||
| Kwetsbaarheden | Een misbruikte kwetsbaarheid leidt tot dagen downtime, terwijl het team uitzoekt welke bibliotheek moet worden gepatcht. | Getroffen applicaties komen naar voren in uw componentenlijsten, zodat het patchen eerder begint. |
| Herstel | Een herstel loopt vast en het bedrijf blijft offline, terwijl ontbrekende componenten worden opgespoord. | Het herstelteam werkt vanuit een lijst van wat de build nodig heeft. |
| End-of-life | Een component die niet meer wordt ondersteund, valt uit in productie, zonder dat er een vervanger is gepland. | Vervangers worden gepland ruim voordat de ondersteuning stopt. |
| Compliance | ||
| Audits | Een audit eindigt met bevindingen, en het oplossen daarvan belandt op de roadmap van uw team. | Uw inventaris ligt al in het dossier, in CycloneDX-formaat. De audit kan verder. |
| Beveiligingsreviews | De beveiligingsreview van een koper houdt de deal op, terwijl u achter antwoorden aan zit. | De SBOM gaat mee in de vragenlijst van de koper, en de deal gaat door. |
| Toegang tot de EU-markt | Een ontbrekende SBOM kan u de toegang tot de EU-markt kosten, plus boetes onder de CRA tot € 15 miljoen of 2,5% van de wereldwijde jaaromzet. | Uw technische documentatie bevat de actuele SBOM die de CRA eist voor toegang tot de EU-markt. |
| Autoriteiten | Onjuiste informatie aan autoriteiten levert afzonderlijke boetes op tot € 5 miljoen of 1% van de wereldwijde jaaromzet. | Elk antwoord dat u autoriteiten geeft, is gebaseerd op actuele informatie. |
Elke release verandert wat er in uw software zit. Praat vandaag nog met onze specialisten in softwareweerbaarheid over het actueel houden van uw componentenoverzicht.
Veelgestelde vragen
Een SBOM is een inventaris van de componenten in een applicatie. De nauwkeurigste SBOM komt uit een echte build, want die legt ook componenten vast die nooit in de repository staan. Zo wordt de uwe gemaakt.
Ja, de CRA vereist een SBOM: fabrikanten van producten met digitale elementen moeten er een opstellen in een gangbaar, machineleesbaar formaat, dat ten minste de afhankelijkheden op het hoogste niveau omvat. De meldingsverplichtingen voor kwetsbaarheden gelden sinds 11 sep. 2026, de belangrijkste verplichtingen vanaf 11 dec. 2027. DORA en NIS2 noemen de SBOM niet bij naam, maar vragen wel om de inventaris die een SBOM biedt.
De SBOM omvat de afhankelijkheden op het hoogste niveau van uw applicatie, dus de componenten waarop die direct is gebouwd, en voor AI-applicaties ook de modellen en datasets waarop ze draaien. Dat alles in CycloneDX, een standaardformaat dat de meeste security- en compliancetools kunnen lezen. U kunt de SBOM exporteren om te delen met kopers, auditors of autoriteiten.
De SBOM wordt bijgewerkt bij elke geslaagde run van Agentic Verification. Pro-plannen omvatten tot vier runs per jaar, op ondersteunde technologiestacks, die u start wanneer u wilt. U kunt extra runcredits toevoegen, of Componentbewaking, die tussentijds nieuwe kwetsbaarheden signaleert. Ook de Exit Exercise levert een SBOM op van de software zoals die is hersteld.
Nee, u hoeft uw SBOM niet openbaar te maken. Onder de CRA overhandigen fabrikanten hun SBOM op verzoek aan markttoezichtautoriteiten, zonder plicht om die te publiceren. Veel leveranciers delen hun SBOM rechtstreeks met kopers om door beveiligingsreviews te komen.
Ja, ook met een SBOM hebt u escrow nodig. Ze hebben elk een andere taak: de SBOM somt op wat er in de software zit, escrow bewaart wat nodig is om die software te herstellen. Uw SBOM wordt gemaakt vanuit hetzelfde depot dat uw escrow beschermt.
