Dr. Rüdiger Berlich schreibt in »FOSS Backstage: So abhängig ist kommerzielle Softwareentwicklung von Open Source« für heise.de

Eine Risikoeinschätzung beginnt mit einer ausführlichen Analyse des Unternehmenscodes, der wiederum eine Software Bill of Materials (SBOM) zugrunde liegt, also eine Zusammenstellung aller direkten und indirekten Abhängigkeiten von Softwareprojekten, einschließlich zugehöriger Versionen und Lizenzen.