Open-Source-Governance: Regeln, Lizenzen, Zuständigkeiten.

Die Bausteine

• Richtlinie: welche Lizenzen und Quellen zulässig sind und wer freigibt
• Inventar: welche Komponenten in welchen Produkten und Releases stecken, idealerweise als SBOM
• Lizenzpflichten: Hinweise, Lizenztexte, Quellcode-Angebote je nach Lizenz erfüllen
• Sicherheit: Schwachstellen überwachen, bewerten und behandeln
• Zuständigkeiten: benannte Verantwortliche für Komponenten und Eskalationen
• Nachweise: Prüfstand und Entscheidungen für Kunden und Auditoren dokumentieren

Lizenzen: permissiv und Copyleft

Permissive Lizenzen wie MIT, BSD oder Apache-2.0 verlangen vor allem Hinweise und die Weitergabe des Lizenztexts. Copyleft-Lizenzen wie die GPL verlangen, dass abgeleitete Werke unter denselben Bedingungen weitergegeben werden; schwächere Varianten wie LGPL oder MPL begrenzen das je nach Art der Verknüpfung. Einheitliche SPDX-Lizenzkennungen machen diese Angaben maschinenlesbar und prüfbar.

OSPO und OpenChain

Größere Organisationen bündeln diese Aufgaben in einem Open Source Program Office (OSPO). Als Prozessstandards haben sich die OpenChain-Normen etabliert: ISO/IEC 5230 für Programme zur Lizenz-Compliance und ISO/IEC 18974 für Programme zur Sicherheit beim Einsatz von Open Source. Beide beschreiben, welche Prozesse vorhanden sein sollen, nicht welche Werkzeuge.

Bezug zum Cyber Resilience Act

Der Cyber Resilience Act verpflichtet Hersteller, bei der Integration von Komponenten Dritter, ausdrücklich auch freier und quelloffener Software, die gebotene Sorgfalt walten zu lassen (Art. 13 Abs. 5 der Verordnung (EU) 2024/2847). Eine gelebte Open-Source-Governance ist der praktische Weg, diese Sorgfalt nachzuweisen.