Seminar Cyber Resilience Act – Intensivseminar Secure Product Engineering und Compliance Evidence

Dieser Intensivtrack konzentriert sich auf die Entwicklung und den Nachweis sicherer Produkte. Ein Beispielprodukt wird abgegrenzt und klassifiziert, risikobasiert entworfen, in einen Secure SDLC überführt, automatisiert gebaut und geprüft sowie mit einem konsistenten technischen Dossier freigegeben.

Der Umfang ist bewusst auf Engineering und Compliance Evidence begrenzt. SBOM-Lieferkettenbetrieb, PSIRT, Meldeplattform und Updateversorgung werden im zweiten Intensivtrack vertieft; ihre Schnittstellen werden hier als Übergabepunkte berücksichtigt.

Seminarziel

Ziel ist ein durchgängiges Secure-Product-Engineering-System, in dem jede wesentliche Sicherheitsentscheidung von Risiko und Anforderung bis Test und Freigabenachweis zurückverfolgt werden kann.

Lernziele

• Produktgrenzen, wirtschaftliche Rollen, Produktklasse und Konformitätsweg bestimmen
• Risikoanalyse und Threat Modeling in testbare Sicherheitsanforderungen übersetzen
• Secure-by-Design- und Secure-by-Default-Prinzipien architektonisch umsetzen
• Secure SDLC, CI/CD Security, Security Gates und Ausnahmeprozesse etablieren
• Automatisierte und manuelle Product Security Tests risikobasiert kombinieren
• Maschinenverarbeitbare Evidenz und ein pflegbares Konformitätsdossier erzeugen
• Produktänderungen mit Vierfaktorprüfung und Re-Assessment steuern

Inhalte

Scope, Klassifizierung und Roadmap

• Produktinventar, Remote-Datenverarbeitung, Open Source und wirtschaftliche Rollen
• Standardprodukt, wichtige Klassen I und II, kritisches Produkt und Bewertungsweg
• Gap-Analyse, Verantwortlichkeiten, Prioritäten und prüfbare Liefergegenstände
• Supportzeitraum und wesentliche Änderung als Engineering-Entscheidungen

Risiko, Architektur und Secure by Default

• Produktkontext, Assets, Vertrauensgrenzen, Missbrauchsszenarien und Restrisiken
• Threat Modeling, Security Requirements und dokumentierte Architekturentscheidungen
• Minimale Angriffsfläche, restriktiver Erstzugang, sichere Kommunikation und Identitäten
• Sichere Ersteinrichtung, Wiederherstellung, Datenlöschung und Updatefähigkeit

Secure SDLC, CI/CD und Prüfung

• Rollen, Tailoring, Definition of Done, Reviews und Security Champions
• Repository-, Runner-, Secret-, Build- und Artefaktschutz
• SAST, SCA, DAST, Fuzzing, manuelle Tests und Regression
• Security Gates, zeitlich begrenzte Ausnahmen und reproduzierbare Releases

Compliance Evidence

• Traceability von Risiko, Requirement, Control, Test und Evidenz
• Produktbeschreibung, Risikodossier, Testnachweise und Freigabeprotokolle
• Aufbewahrung, Integrität, Zugriffsschutz und reproduzierbare Evidenzpakete
• Änderungsbewertung, Konformitätsentscheidung und Audit Readiness

Praktische Übungen

• Produktportfolio scopen, klassifizieren und Engineering-Roadmap erstellen
• Threat Model, Security Requirements und Traceability-Matrix erarbeiten
• Secure-by-Default-Architektur und Releasekriterien definieren
• CI/CD-Pipeline mit Scans, Gates, Signatur und Evidenzpaket erweitern
• Teststrategie anwenden und Findings in eine Freigabeentscheidung überführen
• Technisches Dossier für ein Beispielrelease zusammenstellen und prüfen

Zielgruppe

Das Intensivseminar eignet sich für Produkt-, Entwicklungs-, Security- und Qualitätsteams, die CRA-Anforderungen in ein konsistentes Engineering- und Nachweissystem überführen müssen.