Seminar SBOM: Lizenzen, Lieferanten und CRA

Software-Stücklisten verbinden technische Bestandsdaten mit Entscheidungen über Beschaffung, Freigabe und Pflege eines Produkts. Dieses Seminar entwickelt dafür einen überschaubaren organisatorischen Rahmen. Behandelt werden vereinbarte Lieferumfänge, die Qualität eingehender SBOMs, Lizenzinformationen, Zuständigkeiten und Nachweisführung. Eine durchgehende Fallstudie zeigt, wie Einkauf, Entwicklung, Informationssicherheit und Produktverantwortliche mit denselben Daten arbeiten können.

Der Cyber Resilience Act wird aus Sicht des technischen SBOM-Prozesses behandelt: Anwendungsbereich und Rollen werden eingeordnet, Erfassungs- und Aktualisierungsprozesse geplant und Nachweise einem Produktstand zugeordnet. Eine vorhandene SBOM wird dabei nicht mit vollständiger Produktkonformität gleichgesetzt. Ebenso ersetzt ein erkannter Lizenzname keine Prüfung des konkreten Nutzungsszenarios. Das Seminar konzentriert sich auf prüfbare Abläufe und nachvollziehbare Übergaben zwischen den beteiligten Fachbereichen.

Inhaltsübersicht

• Verantwortlichkeiten und Prozessmodell
• Lizenzinformationen fachlich bewerten
• Lieferantenanforderungen und Annahme
• SBOM im Kontext des CRA
• Aufbewahrung, Weitergabe und Kontrolle
• Freigaben und Abweichungen
• Praxisübungen
• Arbeitsumgebung

Seminarinhalte

Verantwortlichkeiten und Prozessmodell

• Produktersteller, Zulieferer, Einkauf, Betrieb und Sicherheitsbearbeitung mit konkreten Aufgaben versehen.
• SBOM-Erstellung, Annahme, Bewertung, Freigabe und Aktualisierung in vorhandene Arbeitsabläufe einordnen.
• Erfasste Produkte, Versionen und Lebenszyklusereignisse mit einem eindeutigen Verantwortungsmodell verbinden.

Lizenzinformationen fachlich bewerten

• Deklarierte und ermittelte Lizenzangaben unterscheiden und fehlende oder widersprüchliche Werte bearbeiten.
• SPDX-Lizenzausdrücke mit AND, OR und WITH anhand vorbereiteter Komponentenbeispiele lesen.
• Nutzung, Veränderung und Weitergabe als fachliche Prüffragen formulieren und an zuständige Stellen übergeben.

Lieferantenanforderungen und Annahme

• Produktbezug, Formatversion, Identifikatoren, Abhängigkeiten und Erfassungsgrenzen in einem Anforderungsprofil festlegen.
• Lieferzeitpunkt, Änderungsanlässe, VEX-Zusammenhang und Korrekturwege mit einem Musterlieferanten abstimmen.
• Eingehende SBOMs anhand objektiver Kriterien prüfen und Abweichungen nachvollziehbar zurückmelden.

SBOM im Kontext des CRA

• Die technische Rolle der SBOM in Produktdokumentation und Schwachstellenbearbeitung einordnen.
• Anwendungsbereich, Rollen und jeweils geltende Umsetzungsanforderungen am Produktfall als Prüfpunkte behandeln.
• Maschinenlesbare Bestandsangaben, Produktversionen und dokumentierte Pflegeprozesse zu einem Nachweisbestand verbinden.

Aufbewahrung, Weitergabe und Kontrolle

• Interne vollständige Bestände und vereinbarte Weitergabepakete anhand des konkreten Informationsbedarfs gestalten.
• Zugriffsschutz, vertrauliche Produktinformationen, Aufbewahrung und nachvollziehbare Änderungen berücksichtigen.
• Qualitätskennzahlen wie Produktabdeckung, Aktualität und offene Annahmefehler sinnvoll definieren.

Freigaben und Abweichungen

• Ungeklärte Lizenzen, fehlende Lieferantendaten und verspätete Aktualisierungen in einem Entscheidungsprozess behandeln.
• Ausnahmen mit Begründung, Verantwortlichem, Bedingungen und überprüfbarem Endtermin festhalten.
• Eine Stichprobe vom ausgelieferten Produkt über die SBOM bis zu Bewertung und Freigabe nachvollziehen.

Praxisübungen

1. Für ein Musterprodukt Verantwortlichkeiten und Übergabepunkte zwischen Einkauf, Entwicklung und Betrieb festlegen.
2. Ein Lieferantenprofil mit maschinell und fachlich prüfbaren SBOM-Annahmekriterien formulieren.
3. Mehrere Lizenzangaben und eine unvollständige Lieferanten-SBOM untersuchen und offene Fachfragen dokumentieren.
4. Einen technischen Nachweisbestand aus Release-Zuordnung, SBOM, Bewertung und Freigabe strukturieren.
5. Einen Produktwechsel und eine befristete Ausnahme durchspielen und die dazugehörigen Aktualisierungspflichten im Prozess zuordnen.

Arbeitsumgebung

Die Fallstudie verwendet vorbereitete Produktbeschreibungen, SBOM-Dateien, Lizenzangaben und bearbeitbare Prozessvorlagen. Maßgeblich ist die technische und organisatorische Umsetzung; individuelle Vertragsgestaltung wird nicht als Laborleistung vorausgesetzt.

Fachbereichsleiter / Leiter der Trainer / Ihre Ansprechpartner

Seminardetails

Dauer:	2 Tage, ca. 6 h/Tag (12 Unterrichtsstunden à 60 Minuten insgesamt, ohne Pausen); Beginn 1. Tag: 10:00 Uhr, weitere Tage: 09:00 Uhr
Preis:	Öffentlich oder Live Stream: € 1.198 zzgl. MwSt. Inhaus: € 3.400 zzgl. MwSt.
Teilnehmeranzahl:	min. 2 - max. 8
Teilnehmer:	Produktverantwortliche, technischer Einkauf, Compliance- und Open-Source-Verantwortliche, Informationssicherheitsbeauftragte sowie Entwicklungs- und Qualitätsleitung
Voraussetzungen:	SBOM-Grundlagen; Verständnis der eigenen Beschaffungs- oder Softwarefreigabeprozesse; keine Programmierkenntnisse erforderlich
Standorte:	Stream Live, Inhaus/Firmenseminar, Berlin, Bremen, Darmstadt, Dresden, Erfurt, Essen, Flensburg, Frankfurt, Freiburg, Friedrichshafen, Hamburg, Hamm, Hannover, Jena, Kassel, Köln, Konstanz, Leipzig, Luxemburg, Magdeburg, Mainz, München, Münster, Nürnberg, Paderborn, Potsdam, Regensburg, Rostock, Stuttgart, Trier, Ulm, Wuppertal, Würzburg
Methoden:	Vortrag, Demonstrationen, praktische Übungen am System
Seminararten:	Öffentlich, Webinar, Inhaus, Workshop - Alle Seminare mit Trainer vor Ort, Webinar nur wenn ausdrücklich gewünscht
Durchführungsgarantie:	ja, ab 2 Teilnehmern
Sprache:	Deutsch - bei Firmenseminaren ist auch Englisch möglich
Seminarunterlage:	Dokumentation auf Datenträger oder als Download
Teilnahmezertifikat:	ja, selbstverständlich
Verpflegung:	Kalt- / Warmgetränke, Mittagessen (wahlweise vegetarisch)
Support:	3 Anrufe im Seminarpreis enthalten
Barrierefreier Zugang:	an den meisten Standorten verfügbar
	Weitere Informationen unter + 49 (221) 74740055

Seminartermine

Nach oben