Seminar Cybersecurity intensiv – Produkt- und OT-Sicherheit, CRA und DevSecOps

Vernetzte Produkte verbinden Softwareentwicklung mit realen Betriebsumgebungen und langfristigen Sicherheitsaufgaben. Dieses Intensivseminar betrachtet ein industriell eingesetztes digitales Produkt von der Risikoanalyse über Build und Release bis zur Integration in eine OT-Umgebung. Hersteller-, Integrations- und Betreiberaufgaben werden getrennt erfasst und anschließend durch klare Übergaben miteinander verbunden.

Gebündelt werden die Einzelseminare zum Cyber Resilience Act, zu DevSecOps, zu Datenschutz und IT-Sicherheit sowie zu KRITIS und OT-Sicherheit. Der gemeinsame Fall reduziert doppelte Grundlagen und macht Zusammenhänge sichtbar. Ausgewählte technische Übungen und organisatorische Entscheidungen stehen im Mittelpunkt. Vertiefte Anlagenabsicherung, vollständige Konformitätsbewertung und alle Varianten der Spezialkurse bleiben eigenständige Aufgaben.

Das Beispielprodukt besteht aus einer softwarebasierten Komponente, einer Aktualisierungsfunktion und einer angebundenen industriellen Kommunikation. Eine neu bekannt gewordene Schwachstelle wird über Entwicklungsartefakte bis zur installierten Produktversion verfolgt. Für die erforderliche Änderung werden Herstellerfreigabe und betriebliche Einspielung getrennt vorbereitet. Die Fallarbeit macht deutlich, welche Informationen zwischen Entwicklung, Support und Anlagenbetrieb ausgetauscht werden müssen. Datenschutz und Meldebewertung ergänzen die technische Entscheidung. Die Bewertung konzentriert sich auf eine nachvollziehbare Verantwortungskette über die beteiligten Rollen hinweg.

Lernziele

• Hersteller-, Integrator- und Betreiberverantwortung über den Produktlebenszyklus zuordnen.
• Produktrisiken mit Sicherheitsanforderungen und Entwicklungsnachweisen verbinden.
• Schwachstellenbehandlung, Datenschutz und Meldungen koordiniert vorbereiten.
• Sichere Integration und kontrollierte Änderungen in einer OT-Umgebung planen.

Seminarinhalte

Produktrisiken und Verantwortlichkeiten

• Produktumfang, Nutzungsszenarien, Datenflüsse und Anwendungsbereich des CRA erfassen.
• Hersteller-, Integrator- und Betreiberpflichten in einer gemeinsamen Verantwortungsmatrix trennen.
• Ein Bedrohungsmodell mit betrieblichen und personenbezogenen Auswirkungen entwickeln.

Sichere Entwicklung und Pipeline

• Sicherheitsanforderungen in Entwicklungsaufgaben und überprüfbare Tests übersetzen.
• Repository, Build-Identitäten und Secrets angemessen absichern.
• Quellcode- und Komponentenprüfungen in einer vorbereiteten Pipeline ausführen und bewerten.

Komponenten, Release und CRA-Nachweise

• SBOM, Artefaktintegrität und technische Nachweise einer Produktversion zuordnen.
• Support, Sicherheitsupdates und den passenden Konformitätsweg planen.
• Einen Product-Security-Fall mit Triage, Meldung und Kundeninformation bearbeiten.

Datenschutz in Produkt und Betrieb

• Personenbezogene Datenflüsse und Verarbeitungssituationen im Produktfall prüfen.
• Datensparsame Protokollierung, Zugriffsschutz und technische Maßnahmen planen.
• Eine Datenpanne von anderen Produkt- und Betriebsereignissen abgrenzen.

OT-Integration und Resilienz

• Kritische Anlagenfunktionen sowie NIS-2- und KRITIS-Anknüpfungspunkte erfassen.
• Zonen, notwendige Kommunikationswege und sichere Fernwartung am Beispiel entwerfen.
• Updatefähigkeit, kompensierende Maßnahmen und Wiederanlauf unter OT-Bedingungen prüfen.

Gemeinsame Fallübung

• Einen sicherheitsrelevanten Komponentenbefund bis zur Produktversion und Anlage verfolgen.
• Entwicklungsänderung, Release-Freigabe und betriebliche Einspielung koordiniert entscheiden.
• Die Wirksamkeit der Schutzmaßnahmen mit einem nachvollziehbaren Nachweispaket prüfen.

Praxisübungen

Die Praxisaufgaben werden anhand einer zusammenhängenden Fallstudie schrittweise bearbeitet. Fachliche Entscheidungen und Kontrollnachweise werden gemeinsam überprüft.

1. Das Beispielprodukt mit vorgesehenem OT-Einsatz und personenbezogenen Datenflüssen beschreiben.
2. Rollen sowie Produkt- und Betriebsrisiken in einer abgestimmten Matrix erfassen.
3. Sicherheitsprüfungen in der vorbereiteten Pipeline ausführen und einen Befund bearbeiten.
4. Die SBOM und die technischen Nachweise dem freigegebenen Testrelease zuordnen.
5. Zonen und Fernwartung für die Integration in das simulierte OT-Netz entwerfen.
6. Einen Produktvorfall mit CRA- und Datenschutzprüfung anhand getrennter Kriterien behandeln.
7. Eine abgesicherte Änderung mit betrieblicher Abnahme und vollständiger Entscheidungskette planen.

Gebündelte Fachthemen

Das Intensivseminar fasst die Kernthemen folgender Einzelseminare in einer gemeinsamen Fallstudie zusammen. Die Einzelseminare bieten zusätzliche Übungsvarianten und fachliche Vertiefung.

• Cyber Resilience Act – Produktsicherheit und Schwachstellenmanagement
• DevSecOps – sichere Entwicklung und Software-Lieferkette
• Datenschutz und IT-Sicherheit – technische Maßnahmen und Vorfallpflichten
• KRITIS und OT-Sicherheit – industrielle Systeme absichern

Fachbereichsleiter / Leiter der Trainer / Ihre Ansprechpartner

Seminardetails

Dauer:	5 Tage, ca. 6 h Unterricht pro Tag, Beginn 1. Tag: 10:00 Uhr, weitere Tage: 09:00 Uhr
Preis:	Öffentlich oder Live Stream: € 2.995 zzgl. MwSt. Inhaus: € 8.500 zzgl. MwSt.
Teilnehmeranzahl:	min. 2 - max. 8
Teilnehmer:	Entwicklungsleitung, Product Security, DevOps, technische Produktverantwortliche, OT-Architekten und Integratoren
Voraussetzungen:	Grundkenntnisse von Git, Softwareentwicklung, Netzwerken und Containern; Verständnis technischer Produktlebenszyklen.
Schulungsumgebung:	Vom Kunden bereitgestelltes isoliertes Beispielrepository mit CI-Pipeline und simuliertem OT-Netz; vorbereitete Testartefakte und synthetische Daten.
Standorte:	Stream Live, Inhaus/Firmenseminar, Berlin, Bremen, Darmstadt, Dresden, Erfurt, Essen, Flensburg, Frankfurt, Freiburg, Friedrichshafen, Hamburg, Hamm, Hannover, Jena, Kassel, Köln, Konstanz, Leipzig, Luxemburg, Magdeburg, Mainz, München, Münster, Nürnberg, Paderborn, Potsdam, Regensburg, Rostock, Stuttgart, Trier, Ulm, Wuppertal, Würzburg
Methoden:	Fachliche Einordnung, Demonstrationen, angeleitete Praxisübungen und strukturierte Fallarbeit
Seminararten:	Öffentlich, Webinar, Inhaus, Workshop - Alle Seminare mit Trainer vor Ort, Webinar nur wenn ausdrücklich gewünscht
Durchführungsgarantie:	ja, ab 2 Teilnehmern
Sprache:	Deutsch - bei Firmenseminaren ist auch Englisch möglich
Seminarunterlage:	Dokumentation auf Datenträger oder als Download
Teilnahmezertifikat:	ja, selbstverständlich
Verpflegung:	Kalt- / Warmgetränke, Mittagessen (wahlweise vegetarisch)
Support:	3 Anrufe im Seminarpreis enthalten
Barrierefreier Zugang:	an den meisten Standorten verfügbar
	Weitere Informationen unter + 49 (221) 74740055

Seminartermine

Nach oben