法規的要求
第 (EU) 2024/2847 號法規附件 I 第 II 部分第 (1) 點要求製造商識別並記錄含數位元素產品中的漏洞和元件，包括以常用的機器可讀格式編製軟體物料清單，至少涵蓋產品的頂層相依（本站譯文，以英文官方文本為準）。該要求自 2027 年 12 月 11 日起適用（第 71 條）。
- 軟體物料清單與漏洞處理流程一起，屬於技術文件的一部分（附件 VII 第 2 點 (b) 項）。
- 應市場監督機關的合理要求提供（附件 VII 第 8 點）。無須公開（前言第 77 段）。
- 如果您選擇向使用者提供，使用者資訊中須說明取得途徑（附件 II 第 9 點）。
- 歐盟執委會可透過施行法案規定其格式和要素（第 13 條第 24 項）。CycloneDX 和 SPDX 是常用格式。
本頁面產生的內容
一份 CycloneDX 1.6 JSON 檔案：以您的產品為主元件，列出每個套件的確切版本和套件 URL（purl），並在鎖定檔說明時寫入產品的頂層相依。可讀取：
- npm package-lock.json（lockfileVersion 2 或 3）、Yarn yarn.lock（Yarn 1、2 及更新版本）和 pnpm-lock.yaml（lockfileVersion 9.0）；檔案標明了僅用於開發的套件時，這些套件不列入；
- 每個套件都固定了版本（name==version）的 Python requirements.txt，即 pip freeze 或 pip-compile 寫出的格式；
- Rust Cargo.lock（第 3 或第 4 版）和 Go go.mod（包括間接模組）；
- mvn dependency:tree -DoutputFile 寫出的 Maven 相依樹，以及 Gradle gradle.lockfile；test 範圍的套件不列入；
- PHP Composer composer.lock（不含 packages-dev）和 NuGet packages.lock.json。
不符合其格式的檔案不予讀取，頁面會指出行號和原因，而不是猜測。來自公開登錄庫以外來源的套件列出時不附套件 URL，確保檔案絕不會指向您未使用的套件。
已經有其他工具產生的軟體物料清單？將其作為 CycloneDX JSON 檔案，或作為 SPDX JSON 檔案（例如 GitHub 相依性圖表匯出的檔案，Export SBOM）開啟，即可在 OSV.dev 和 KEV 目錄中檢查其元件。該檔案僅供檢查：如需產生新的軟體物料清單，請開啟鎖定檔。在沒有鎖定檔固定版本的地方，GitHub 的檔案只給出 ^4.17.0 這樣的版本範圍：這些元件會列為未檢查，請開啟鎖定檔來檢查它們。
已知遭利用漏洞
檢查會標出在 OSV.dev 上發現、且其 CVE 編號列入美國網路安全暨基礎設施安全局（CISA）已知遭利用漏洞目錄（KEV）的每個漏洞，並註明 CISA 列入的日期。只要有可靠證據顯示某個漏洞已遭利用，CISA 就會將其列入。自 2026 年 9 月 11 日起，《網路韌性法案》第 14 條要求您在獲悉產品中含有遭積極利用的漏洞（第 3 條第 42 點）後 24 小時內進行通報。KEV 項目並不能替您的產品作出判斷，但指明了應優先查看之處；通報時限頁面可計算時限。
未涵蓋的內容
軟體物料清單只列出鎖定檔中列出的內容。複製到產品中的程式碼、作業系統套件、韌體以及其他語言的函式庫不在其中，請自行補充。漏洞檢查使用 OSV.dev，它只列出已公開的漏洞，不能取代附件 I 第 II 部分要求的漏洞評估。
其餘 CRA 文件可使用 CRA 文件包，它編寫技術文件和歐盟符合性聲明。《網路韌性法案》頁面可查詢產品類別。