# SBOM-Vorgaben

- Format: CycloneDX JSON, Dateiendung `.cdx.json`.
- Umfang: direkte und transitive Laufzeitabhängigkeiten sowie mitgelieferte lokale Binärkomponenten.
- Granularität: pro ausgelieferter Binärplattform eine eigene Datei.
- Begleitdaten: Hashes der lokalen JARs, Werkzeugkette in `toolchain.json`, Release-Prüfsummen und Manifest.
- Datenschutz: keine Benutzernamen, absoluten lokalen Quellpfade, Zugangsdaten oder Testdatensätze aufnehmen.

Die Gradle-Aufgabe `cyclonedxBom` erzeugt die aggregierte Abhängigkeits-SBOM. Für die ausgelieferten Mapsforge-Fat-JARs stellt `bundledRuntimeMetadata` zusätzlich deren veröffentlichte Abhängigkeitsmetadaten bereit, ohne doppelte Klassen zu paketieren. Die Release-Skripte benennen und kopieren die SBOM in die versionierten Report- und Release-Ordner.
