Der Kunnus Scanner erzeugt SBOMs für den Cyber Resilience Act und ist Open Source unter Apache 2.0. Er analysiert Quellcode, Betriebssystem- und Firmware-Dateisysteme sowie Container-Images und deckt über 30 Ökosysteme ab, auch Embedded-Toolchains wie Zephyr, ESP-IDF, PlatformIO, CMake und Conan. Ausgabe ist CycloneDX 1.6. Er läuft lokal unter Windows, Linux und macOS, ohne Account, und per Docker in CI-Pipelines wie GitHub Actions.