Seminar CRA – Open Source, Lieferanten und Wirtschaftsakteure

Offener Quellcode, kostenlose Bereitstellung und eine gemeinnützige Organisation beantworten die CRA-Rollenfrage noch nicht abschließend. Dieses Seminar untersucht die tatsächliche Tätigkeit entlang der Entwicklung und Bereitstellung eines Produkts. Typische Konstellationen mit Community-Projekten, kommerziellen Distributionen, Auftragsentwicklung und eigener Marke werden nachvollziehbar bewertet.

Der Schwerpunkt liegt auf den Schnittstellen zwischen Beschaffung, Entwicklung, Compliance und externen Partnern. Für Sicherheitsinformationen, Komponentenpflege und Schwachstellenmeldungen werden geeignete Verantwortlichkeiten vereinbart. Technische SBOM-Erzeugung und Implementierungsübungen werden in den zugehörigen Fachseminaren vertieft.

Die Fallauswahl berücksichtigt sowohl kleine Entwicklungsteams als auch Unternehmen mit mehreren Zulieferstufen. Besonders betrachtet werden Produkte unter eigener Marke, fremdgepflegte Bibliotheken und organisatorisch unterstützte Community-Projekte. Die Bewertung schafft eine gemeinsame Sprache für Einkauf und Entwicklung und hilft, konkrete Informationsbedarfe vor der Integration oder einem Wechsel des Bereitstellungsmodells zu benennen.

Inhaltsübersicht

• Open-Source-Modelle differenzieren
• Hersteller und Stewards unterscheiden
• Fremdkomponenten verantwortungsvoll integrieren
• Lieferketten und Rollenwechsel
• Lieferantenanforderungen und Zusammenarbeit
• Fallbewertung und Komponentenentscheidung

Open-Source-Modelle differenzieren

Nichtkommerzielle Bereitstellung, Monetarisierung und Integration in ein anderes Produkt werden anhand unterschiedlicher Geschäftsmodelle geprüft. Finanzierung, Supportangebot und Vertriebsweise erhalten getrennte Prüffragen. Pauschale Gleichsetzungen von Open Source und Ausnahme werden durch eine dokumentierte Bewertung des konkreten Falls ersetzt.

Hersteller und Stewards unterscheiden

Die besondere Rolle der Verwalter quelloffener Software wird von Herstellerpflichten und einzelnen Codebeiträgen abgegrenzt. Aufgaben in Sicherheitsrichtlinie, Zusammenarbeit und Meldewesen werden eingeordnet. Für Stewards wird die allgemeine Anwendung ihrer besonderen Pflichten ab 11. Dezember 2027 von den bereits früher geltenden Hersteller-Meldepflichten unterschieden.

Fremdkomponenten verantwortungsvoll integrieren

Die Komponentenwahl wird mit Sicherheitsinformationen, Pflegezustand und erwarteter Produktnutzung verbunden. Fehlende Herstellerpflichten eines nichtkommerziellen Projekts beseitigen nicht die Verantwortung des integrierenden Produktherstellers. Für bekannte Sicherheitsprobleme werden Kontakt, technische Prüfung und mögliche Ersatz- oder Wartungsoptionen vorbereitet.

Lieferketten und Rollenwechsel

Eigene Marke, Einfuhr, Weiterverkauf und Änderungen an einem Produkt werden in einer mehrstufigen Lieferkette untersucht. Die formale Vertragsbezeichnung wird mit der tatsächlich ausgeübten Rolle abgeglichen. Sicherheitsrelevante Informationsflüsse werden zwischen Komponentenhersteller, Integrator, Vertrieb und Produktbetreiber sichtbar gemacht.

Lieferantenanforderungen und Zusammenarbeit

Ein Anforderungskatalog behandelt Komponenteninformationen, Änderungsankündigungen, Supportzusagen, Schwachstellenkontakte und Reaktionsabläufe. Fehlende Informationen führen zu konkreten Rückfragen und dokumentierten Entscheidungen. Die Zusammenarbeit mit Maintainer-Teams wird so geplant, dass technische Meldungen verständlich und nachvollziehbar bearbeitet werden können.

Fallbewertung und Komponentenentscheidung

Für ein Musterprodukt wird eine Rollen- und Lieferantenprüfung durchgeführt. Sicherheitsanforderungen, offene Nachweise und Zuständigkeiten werden in einer kurzen Freigabevorlage zusammengeführt. Eine geänderte Vertriebs- oder Wartungskonstellation dient als Anlass, die ursprüngliche Einordnung erneut zu prüfen.

Praxisworkshop

1. Drei unterschiedliche Open-Source-Geschäftsmodelle anhand ihrer Tätigkeiten beschreiben.
2. Hersteller, Komponentenlieferanten und mögliche Stewards begründet voneinander abgrenzen.
3. Für eine Fremdkomponente Sicherheitsinformationen und Wartungsrisiken erfassen.
4. Einen Lieferantenfragebogen mit prüfbaren Angaben und zuständigen Ansprechpartnerrollen entwerfen.
5. Eine Komponentenentscheidung dokumentieren und nach einem Rollenwechsel erneut bewerten.

Schulungsumgebung

Die Übungen verwenden vorbereitete Lieferketten, Produktbeschreibungen und Rollenmatrizen. Textverarbeitung und Tabellenkalkulation sind ausreichend.

Weitere CRA-Seminare und empfohlene Besuchsreihenfolge