Seminar ONEKEY OCP – RED und EN 18031 Compliance

Funkprodukte verbinden Gerät, Firmware, Funk- und Netzwerkschnittstellen sowie häufig App- und Cloud-Dienste. Für eine belastbare RED-bezogene Bewertung müssen der Produktumfang eindeutig abgegrenzt, technische Sicherheitsmerkmale geprüft und automatische Analyseergebnisse mit Architektur- und Prozesswissen ergänzt werden.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxiswerkstatt
6. Kompetenzziele

Zielsetzung

Ziel ist die selbstständige Vorbereitung und Durchführung einer RED- und EN-18031-orientierten Compliance-Bewertung. Technische Evidenzen werden Anforderungen zugeordnet, offene Gaps werden priorisiert und die Dokumentation wird konsistent auf einen konkreten Produkt- und Firmwarestand bezogen.

Zielgruppe

Hersteller von Funk- und IoT-Produkten, Product Compliance, Product Security, Entwicklung, Qualitätsmanagement, technische Dokumentation, Produktmanagement und interne Prüffunktionen

Voraussetzungen

Grundkenntnisse zu Funk- oder IoT-Produkten, Firmware und Cybersecurity; Plattformgrundlagen und Erfahrung mit technischer Compliance sind hilfreich

Seminarinhalte

Modul 1: Geltungsbereich und Produktökosystem

Der bewertete Gegenstand wird einschließlich Gerät, Firmware, Schnittstellen und abhängigen Diensten abgegrenzt.

1. Schritt 1: Funkprodukt, Varianten, Firmwarestände und zugehörige App- oder Cloud-Komponenten erfassen.
2. Schritt 2: Nutzerrollen, Datenflüsse, Funk- und Netzwerkschnittstellen sowie Vertrauensgrenzen modellieren.
3. Schritt 3: Annahmen, Ausschlüsse und Verantwortlichkeiten versionsbezogen dokumentieren.

Modul 2: Anforderungsstruktur der EN 18031

Die relevanten Anforderungen werden nach Schutzgegenstand und Produktfunktion eingeordnet.

1. Schritt 1: Anwendbare Teile und Anforderungen für das konkrete Produkt bestimmen.
2. Schritt 2: Technische, organisatorische und dokumentarische Nachweise unterscheiden.
3. Schritt 3: Prüfmatrix mit Anforderung, Evidenzquelle, Verantwortlichkeit und Status anlegen.

Modul 3: Firmware und Kommunikationssicherheit

Analysebefunde unterstützen die Bewertung von Diensten, Protokollen, Kryptografie und sicheren Standardkonfigurationen.

1. Schritt 1: Firmware analysieren und exponierte Dienste sowie Kommunikationsendpunkte identifizieren.
2. Schritt 2: Unsichere Protokolle, Zertifikate, Schlüssel und kryptografische Konfigurationen prüfen.
3. Schritt 3: Befunde den Kommunikations- und Netzwerkschutzanforderungen zuordnen.

Modul 4: Zugangsschutz und Schutz sensibler Daten

Authentisierung, Autorisierung und der Umgang mit Geheimnissen werden aus Firmware- und Produktperspektive bewertet.

1. Schritt 1: Benutzer-, Geräte- und Servicezugänge sowie Provisionierungswege erfassen.
2. Schritt 2: Firmware nach fest codierten Zugangsdaten, Tokens, privaten Schlüsseln und sensiblen Konfigurationen untersuchen.
3. Schritt 3: Lösch-, Rücksetz-, Minimierungs- und Zugriffskontrollen als Evidenz oder Gap dokumentieren.

Modul 5: SBOM, Schwachstellen und Updates

Komponenten- und Schwachstellenwissen wird mit sicherer Updatefähigkeit und Lifecycle-Pflichten verbunden.

1. Schritt 1: SBOM auf kritische Komponenten, Versionen und Datenqualität prüfen.
2. Schritt 2: CVE-Treffer und Issues nach technischer Betroffenheit und Exposition triagieren.
3. Schritt 3: Updatepfad, Integritätsprüfung, Rollbackschutz und Supportverantwortung bewerten.

Modul 6: Compliance Wizard anwenden

Automatische Vorschläge werden kontrolliert geprüft und durch Produkt- und Prozesswissen ergänzt.

1. Schritt 1: Passende EN-18031-Richtlinie und Produktumfang auswählen.
2. Schritt 2: Vorgeschlagene Antworten und technische Evidenzen gegen den tatsächlichen Produktkontext validieren.
3. Schritt 3: Begründung, Zusatznachweis oder offene Prüfung je Anforderung dokumentieren.

Modul 7: Gap- und Maßnahmenmanagement

Offene Anforderungen werden nach Risiko, Aufwand und Freigaberelevanz gesteuert.

1. Schritt 1: Gaps nach Sicherheitsauswirkung und Marktzugangsrelevanz priorisieren.
2. Schritt 2: Technische Behebung, Prozessnachweis, Test oder Dokumentationsmaßnahme festlegen.
3. Schritt 3: Verantwortlichkeit, Zieltermin, Abhängigkeit und Abnahmekriterium definieren.

Modul 8: Nachweispaket und Änderungssteuerung

Die Bewertung wird zu einem prüffähigen, versionsbezogenen Paket konsolidiert.

1. Schritt 1: Firmwarebericht, SBOM, Triage, Architektur und organisatorische Nachweise verknüpfen.
2. Schritt 2: Compliance Bundle erzeugen und Konsistenz sowie offene Annahmen prüfen.
3. Schritt 3: Neubewertung bei Firmware-, Komponenten- oder Produktänderungen als Prozess festlegen.

Praxiswerkstatt

1. Arbeitsschritt 1: Ein Funkprodukt mit Gerät, Firmware, Funkwegen, App, Cloud und Vertrauensgrenzen abgrenzen.
2. Arbeitsschritt 2: Firmware-, SBOM- und Schwachstellenbefunde ausgewählten EN-18031-Anforderungen zuordnen.
3. Arbeitsschritt 3: Automatische Vorschläge im Compliance Wizard prüfen und fehlende Evidenzen als Gaps erfassen.
4. Arbeitsschritt 4: Maßnahmenplan und versionsbezogenes RED-/EN-18031-Nachweispaket für ein Review erstellen.

Kompetenzziele

• Funkprodukte und zugehörige digitale Dienste compliancegerecht abgrenzen
• Firmware- und SBOM-Evidenzen EN-18031-Anforderungen zuordnen
• Compliance-Wizard-Vorschläge kontrolliert validieren
• Gaps risikobasiert planen und nachverfolgen
• Versionsbezogene Nachweispakete für RED-bezogene Reviews erstellen