Seminar Cyber Resilience Act – Open Source und Lieferanten-Governance

Moderne Produkte bestehen überwiegend aus fremden Komponenten. CRA-Verantwortung lässt sich jedoch nicht an Paketquellen, Auftragsentwickler oder Zulieferer abgeben. Gleichzeitig gelten für freie und quelloffene Software differenzierte Rollen und Pflichten. Das Seminar verbindet diese Rahmenbedingungen mit praktischer Komponenten- und Lieferantensteuerung.

Bearbeitet wird der vollständige Weg einer Drittkomponente: Bedarf, Quelle, Bewertung, Freigabe, Integration, SBOM-Erfassung, Monitoring, Schwachstellenbehandlung, Update und Ablösung. Vertragsanforderungen und technische Kontrollen werden so gestaltet, dass beide dieselbe Risikologik verwenden.

Seminarziel

Ziel ist ein risikobasierter Governance-Prozess für Open Source und Lieferanten, der Produktteams arbeitsfähig hält und zugleich Herkunft, Wartbarkeit, Sicherheitsinformationen und Reaktionsfähigkeit nachweisbar macht.

Lernziele

• Rollen kommerzieller Hersteller, Open-Source-Stewards und Beitragender unterscheiden
• Drittkomponenten nach Herkunft, Kritikalität, Wartbarkeit und Exposition bewerten
• Technische und vertragliche Mindestanforderungen an Lieferanten formulieren
• Paketquellen, Versionen, Hashes, Signaturen und Abhängigkeiten kontrollieren
• SBOM-, Vulnerability- und Updateinformationen über Organisationsgrenzen austauschen
• Ausnahmen, End-of-Life-Komponenten und Lieferantenausfälle beherrschbar behandeln

Inhalte

Open-Source-Konstellationen

• Entscheidungsbaum für freie und quelloffene Software außerhalb und innerhalb kommerzieller Tätigkeit
• Open-Source-Steward, Herstellerrolle, Eigenmarke, wesentliche Veränderung und jeweilige Meldepflichten
• Upstream- und Downstream-Verantwortung bei Forks, Patches, Distribution und kommerzieller Integration
• Community-Informationen, Advisories, Releases und verantwortliche Offenlegung

Komponenten- und Lieferantenkontrollen

• Approved Sources, Paketmanager-Härtung, Lockfiles und Integritätsprüfung
• Security-Fragebogen, Supportzusagen, Meldewege, Patchfristen und Nachweisdaten
• Kritikalitätsmodell für Bibliotheken, Firmware, SDKs, Container und Dienste
• Kontinuierliches Monitoring von Schwachstellen, Maintainer-Status und End of Life

Governance und Eskalation

• Intake, Review, Freigabe, Ausnahme und kontrollierte Ablösung
• Schnittstellen zu SBOM, PSIRT, Einkauf, Recht, Entwicklung und Release Management
• VEX- und Remediation-Austausch mit Lieferanten
• Kennzahlen für unbekannte Herkunft, veraltete Komponenten und Reaktionszeiten

Praktische Übungen

• Drittkomponenten anhand eines Risikomodells klassifizieren
• Technische Mindestanforderungen und ein Supplier Security Addendum entwerfen
• Manipuliertes oder nicht reproduzierbares Paket in einer Intake-Prüfung erkennen
• Eskalationsplan für eine kritische, nicht mehr gepflegte Abhängigkeit erstellen

Zielgruppe

Das Seminar richtet sich an technische und kaufmännische Rollen, die gemeinsam sicherstellen müssen, dass fremde Komponenten und Lieferanten in die Produktsicherheitsprozesse eingebunden sind.