Kabel, Glasfaser, Funkspektrum, Satellit, Vermittlungstechnik und die Rechenzentren, die alles andere beherbergen. Über dem Physischen liegt das Logische: das Namenssystem, das eine Adresse in ein Ziel verwandelt, das Routing-Protokoll, das den Weg bestimmt, und die Zertifizierungsstellen, auf denen jede gesicherte Verbindung ruht. Ein gekaperter Weg oder ein betrügerisch ausgestelltes Zertifikat setzt eine Partei in den Pfad, die die darüber liegende Anwendung nicht erkennen kann. Das Schloss erscheint weiterhin.

Die eingebettete Software, die das Verhalten der Hardware steuert, unterhalb des Betriebssystems in Netztechnik, Servern, Endgeräten und industrieller Hardware. Sie wird von Herstellern geschrieben, selten der Prüfung unterzogen, die für Anwendungscode gilt, und über Kanäle aktualisiert, die die meisten Organisationen nicht beobachten. Sie überlebt außerdem fast alles, was mit den Schichten darüber geschieht.

Das Gerät, auf das eine Person tatsächlich sieht, die Server hinter jedem Anbieter der Kette, die Geräte dazwischen, und die wachsende Menge industrieller, gebäudetechnischer, medizinischer und versorgungstechnischer Systeme, die heute browserbasierte Bedienoberflächen bieten. Diese Oberflächen werden aus derselben Lieferkette montiert wie jede andere Webanwendung, und die Entscheidungen, die aus dem getroffen werden, was sie anzeigen, haben physische Folgen.

Die kommerziellen APIs und Entwicklungsbaukästen, die Organisationen einbinden statt selbst zu bauen. Ein SDK ist keine passive Datenverbindung; es ist ausführbarer Code, der mit den Rechten der Anwendung läuft, die ihn beherbergt. Die Organisation hat Version eins bei der Einbindung geprüft. Der Anbieter liefert Version vierzehn aus, mit deutlich weiteren Fähigkeiten, an alle, die je eine Version eingebunden haben.

Eigener Code und der deutlich größere Bestand fremden Codes, der von außen hereingeholt wird. Ein Teil davon wird in die Anwendung kompiliert und auf die gewählte Version festgelegt. Ein großer Teil nicht: Er liegt bei anderen Parteien und wird von deren Systemen geladen, wenn die Anwendung läuft, und deshalb beschreibt eine Stückliste, die eine Aufzeichnung des Montierten ist, ihn nicht.

Anwendungen laden nicht nur Code. Sie laden Konfiguration, Funktionsschalter, Inhaltsströme, Lokalisierungstexte, API-Antworten und zunehmend die Ausgaben von Modellen, die Dritte betreiben. Jede davon ist eine Eingangsgröße der Lieferkette, die die Anwendung verarbeitet und in den meisten Fällen auf den Schirm bringt. Sie ist außerdem die am wenigsten dokumentierte Schicht des Stapels: Es gibt selten eine Aufzeichnung, welche Endpunkte eine Anwendung abfragt, und noch seltener, wem sie gehören, und Modellanbieter sind als Klasse von Unterauftragsverarbeitern schneller aufgetreten, als die Offenlegungspraxis sich auf sie eingestellt hat.

Bilder, Schriftarten, Stilvorlagen, Video, Audio und Dokumente. Nicht ausführbar, und dennoch nicht passiv: Eine Stilvorlage entscheidet, was sichtbar ist und was verdeckt wird, eine Schriftart entscheidet, welche Zeichen gezeichnet werden, ein Bild trägt Information unmittelbar in das Urteil einer Person, und ein über eine Anwendung ausgeliefertes Dokument wird als das Original gelesen, weil nichts auf der Seite etwas anderes andeutet.

Alle Schichten darunter laufen hier zusammen, in dem einen Bild, das eine Person liest und auf dessen Grundlage sie handelt. Es ist der einzige Ort, an dem die montierte Kette als Ganzes sichtbar ist, und es ist der Ort, auf den kein verbreitetes Rahmenwerk schaut. Jedes wurde gebaut, um zu bestätigen, dass einzelne Bauteile wie festgelegt funktionieren, und eine Montage ist kein Bauteil.

Was die Anwendung tatsächlich getan hat: die Anfragen, die sie stellte, den Code, den sie ausführte, die Nutzlasten, die sie sandte, den Speicher, den sie beschrieb. Primärer Nachweis für die Schichten Code, Daten, Ressourcen und Dienste, und die einzige Quelle, die die Montage statt ihrer Teile zeigt.

Domainregistrierung, Adressvergabe, Routing-Ankündigungen, Zertifikatstransparenz und Hosting-Einträge. Diese verwandeln einen beobachteten Host in einen benannten Betreiber, und sie sind der Weg, auf dem die Netzschicht zu etwas wird, worüber eine Person nachdenken kann.

Listen von Unterauftragsverarbeitern, Auftragsverarbeitungsverträge, Prüfberichte, Stücklisten und Beschaffungsunterlagen. Nicht der Ausgangsbefund, sondern die Behauptung, die geprüft wird. Wo eine Offenlegung vorgeschrieben ist, ist ein Auslassen selbst meldepflichtig.

Handelsregister, Einreichungen, Finanzierungsunterlagen, Sanktions- und Aufsichtsdaten. Diese führen von einem Betreiber weiter zu einem Unternehmen, seinen Eigentümern und der Jurisdiktion, deren Recht bestimmt, was es mit Ihren Daten tut. Die Kartierung der Beteiligungskette übernimmt von dort.