Open Source, SBOM und Schwachstellen verständlich erklärt.
Kurze, sachliche Einordnungen für Software-, Produkt- und Compliance-Teams: was die Begriffe bedeuten, worauf es in der Praxis ankommt und wo die Primärquellen stehen.
Was ist eine SBOM und was muss sie enthalten?
Eine SBOM (Software Bill of Materials) ist eine maschinenlesbare Stückliste aller Komponenten einer Software, mit Version, Herkunft und Abhängigkeiten. Sie ist die Grundlage, um bei einer neuen Schwachstelle schnell zu wissen, ob ein Produkt betroffen ist. Der Cyber Resilience Act verlangt von Herstellern eine SBOM, die mindestens die obersten Abhängigkeiten abdeckt.
Artikel lesen TRIAGESchwachstellen-Triage: von der CVE-Meldung zur Entscheidung.
Triage heißt, einen Schwachstellenbefund strukturiert zu bewerten: Ist unser Produkt tatsächlich betroffen, wie dringend ist es, und was entscheiden wir? Der Schweregrad (CVSS) allein reicht dafür nicht; Ausnutzungswahrscheinlichkeit (EPSS), belegte Ausnutzung (KEV) und der konkrete Einsatz im Produkt gehören dazu. Das Ergebnis wird nachvollziehbar dokumentiert, zum Beispiel als VEX-Aussage.
Artikel lesen GOVERNANCEOpen-Source-Governance: Regeln, Lizenzen, Zuständigkeiten.
Open-Source-Governance regelt, wie eine Organisation Open Source auswählt, einsetzt, dokumentiert und pflegt. Sie verbindet Lizenz-Compliance, Sicherheitsprozesse und klare Zuständigkeiten. Ziel ist nicht, Open Source zu bremsen, sondern ihren Einsatz nachvollziehbar und verantwortbar zu machen.
Artikel lesen CRACyber Resilience Act: was Hersteller zu Open Source wissen sollten.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die in der EU bereitgestellt werden. Für Hersteller heißt das unter anderem: Komponenten dokumentieren (SBOM), Schwachstellen behandeln, Sicherheitsupdates bereitstellen und aktiv ausgenutzte Schwachstellen fristgerecht melden. Die Meldepflichten gelten seit dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027.
Artikel lesenVon Backport bis VEX: die wichtigsten Begriffe in einem Satz erklärt.