Seminar OpenChain, SPDX und REUSE

Nachvollziehbare Open-Source-Compliance verbindet klare Verantwortlichkeiten mit belastbaren technischen Informationen. Die Seminarreihe behandelt diesen Zusammenhang von der Aufnahme einer Softwarekomponente bis zur dokumentierten Auslieferung. Der Schwerpunkt liegt auf anwendbaren Verfahren für Entwicklung, Betrieb, Produktsicherheit, Einkauf und Qualitätsmanagement.

OpenChain und SPDX sind gemeinschaftlich entwickelte Projekte im Umfeld der Linux Foundation. REUSE ist eine Initiative der Free Software Foundation Europe. Die gemeinsame Themenseite führt diese unterschiedlichen Ansätze zu einem Seminarangebot zusammen. Sie umfasst zehn Fachseminare, zwei Intensivseminare und ein Kompaktseminar.

Thematische Schwerpunkte

• OpenChain: Lizenzmanagement nach ISO/IEC 5230:2020 sowie Security Assurance nach ISO/IEC 18974:2023 mit Rollen, Freigaben und überprüfbaren Aufzeichnungen.
• SPDX: standardisierte Komponenteninformationen, Lizenzexpressionen und Softwarestücklisten; praktische Arbeit mit SPDX 2.3 sowie ein gezielter Einstieg in SPDX 3.0.1.
• REUSE: nachvollziehbare Rechteangaben auf Dateiebene nach Spezifikation 3.3, geprüft im Repository und eingebunden in den Entwicklungsprozess.
• Zusammenspiel: Verbindung von Repository, Produktartefakt, SBOM, Review und Freigabe zu einer kontrollierten Release-Prüfung.

Passende Einstiege

Für eine erste gemeinsame Orientierung eignet sich OpenChain: Grundlagen der Open-Source-Compliance (1 Tag). Ein breiterer Einstieg mit ausgewählten technischen Übungen erfolgt über OpenChain, SPDX und REUSE: Kompaktseminar (3 Tage). Beide Angebote unterstützen die Auswahl der anschließenden Vertiefungen.

Empfohlene Besuchsreihenfolge

Der Besuch richtet sich nach Aufgabenbereich und vorhandenen Kenntnissen. Bei nachgewiesenem Vorwissen ist ein unmittelbarer Einstieg in die passende Vertiefung möglich. Die folgenden Reihenfolgen beschreiben Lernpfade; die Seminarauswahl ist alphabetisch angeordnet.

Lernpfad für Compliance, Einkauf und Qualitätsmanagement

1. OpenChain: Grundlagen der Open-Source-Compliance (1 Tag)
2. OpenChain: Lizenzmanagement nach ISO/IEC 5230 (2 Tage)
3. OpenChain: Security Assurance nach ISO/IEC 18974 (2 Tage)
4. OpenChain: Audits und Lieferantenmanagement (2 Tage)

Dieser Pfad führt von der gemeinsamen Orientierung über Lizenz- und Sicherheitsprozesse bis zur Bewertung von Lieferanten und zur internen Auditierung. Technische Nachweise werden gelesen und beurteilt; ihre vertiefte Erstellung gehört zum technischen Lernpfad.

Lernpfad für Entwicklung, DevOps und technische Compliance

1. OpenChain: Grundlagen der Open-Source-Compliance (1 Tag)
2. REUSE: Lizenzkennzeichnung im Repository (1 Tag)
3. SPDX: SBOMs erstellen und validieren (2 Tage)
4. SPDX: Lizenzanalyse und Compliance-Nachweise (2 Tage)
5. REUSE: Automatisierung und CI/CD (2 Tage)
6. SPDX: Version 3, Datenmodelle und Migration (2 Tage)
7. OpenChain, SPDX und REUSE: Release-Compliance in der Praxis (3 Tage)

Die Kennzeichnung des Repositorys und die Erfassung des Softwarebestands bilden die Grundlage. Danach folgen Befundprüfung, Automatisierung und der gezielte Modellwechsel zu SPDX 3. Der Integrationsworkshop setzt diese Kenntnisse zusammen. Für eine vertiefte Bearbeitung von Sicherheitsmeldungen ergänzt das Fachseminar zu Security Assurance den Pfad.

Intensivseminare als gebündelte Qualifizierung

OpenChain, SPDX und REUSE: Intensivseminar Governance und Assurance (4 Tage) bündelt Grundlagen, Lizenzmanagement, Security Assurance sowie Audits und Lieferantenmanagement. Eine durchgehende Fallorganisation verbindet Richtlinien, Verantwortlichkeiten, Freigaben und Nachweise.

OpenChain, SPDX und REUSE: Intensivseminar Engineering und Automatisierung (5 Tage) bündelt beide REUSE-Seminare, die drei SPDX-Seminare und den Integrationsworkshop. Das gemeinsame Beispielprojekt verbindet Dateikennzeichnung, SBOMs, Lizenzanalyse, begrenzte Migration und technische Freigaben.

Zusammen decken die beiden Intensivseminare alle zehn Fachseminare thematisch ab. Für eine umfassende Qualifizierung empfiehlt sich zuerst Governance und Assurance, danach Engineering und Automatisierung. Bei klar technischer oder organisatorischer Zuständigkeit ist auch die einzelne Buchung entsprechend den jeweiligen Voraussetzungen sinnvoll. Die Fachseminare ermöglichen mehr Zeit für einzelne Sonderfälle.

Kompakter Einstieg mit Praxis

OpenChain, SPDX und REUSE: Kompaktseminar (3 Tage) führt ein kleines Beispielprodukt durch die wesentlichen Prüfschritte. Die reduzierte Fallgröße ermöglicht eigene Übungen und eine erste Pilotplanung. Vollständige Organisationsentwicklung, umfangreiche Auditpraxis und die Migration einer bestehenden Werkzeuglandschaft benötigen die entsprechenden Vertiefungen.

Praxis und Einordnung

Die Arbeit erfolgt mit vorbereiteten Beispielen und kontrollierten Fehlerfällen. Je nach Seminar werden Prozessunterlagen, Repositorys, SBOMs, Berichte und Freigabeentscheidungen bearbeitet. Bei technischen Übungen stellt der Auftraggeber die abgestimmte Schulungsumgebung bereit. Die Seminarreihe ist ein eigenständiges Schulungsangebot von Seminar-Experts; der Abschluss wird durch ein Teilnahmezertifikat dokumentiert.

Der Schwerpunkt liegt auf nachvollziehbaren Verfahren und überprüfbaren Arbeitsschritten. Die Zertifizierung einer Organisation oder die verbindliche Freigabe eines Kundenprodukts erfolgt in einem gesonderten Verfahren. Die Seminare schaffen dafür fachliche und praktische Voraussetzungen.

Seminarauswahl

Nach oben