close notice
Die beiden gemeinnützigen Stiftungen Eclipse und Open Worldwide Application Security Project (OWASP) haben angekündigt gemeinsam die Sicherheit von Open Source und der zugehörigen Industrie zu stärken – insbesondere in Hinblick auf den Cyber Resilience Act (CRA) der EU, der am 11. September wirksam wird.
Weiterlesen nach der Anzeige
Die Dringlichkeit in Hinblick auf den näher rückenden Termin hebt auch Mike Milinkovich, Executive Director von Eclipse, hervor: „Die ersten CRA-Auflagen treten wenigen Wochen in Kraft, der Bedarf an praktischen, koordinierten Aktionen wird stetig dringender.“ Insbesondere, da laut der Ankündigung, 96 Prozent der kommerziellen Software Open-Source-Komponenten enthält.
Die beiden Organisationen planen daher, Ressourcen zu entwickeln, die Open-Source-Maintainer, Funktionäre, Hersteller und Softwareteams dabei unterstützen, ihre Sicherheitspraktiken zu verbessern, um auf die regulatorischen Anforderungen zu reagieren. Dazu markieren sie fünf Bereiche:
CRA-Readiness für das Open-Source-ÖkosystemGemeinsame Ausrichtung und Interoperabilität zwischen Sicherheitspraktiken und -rahmenwerkenGemeinsames Engagement bei Bildung und in der CommunityUnterstützung der Open-Source-Maintainer und -VerantwortlicheAufklärung über Richtlinien und Vorschriften
Webinare und Ausbildung für OS-Maintainer
Priorität bei den Maßnahmen haben Hinweise, Webinare und Round Tables für Open-Source-Verantwortliche. Im Zentrum stehen Fragen wie die Einführung von Software Bills of Material oder Lieferkettensicherheit.
Neue Sicherheits-Rahmenwerke wollen die Organisationen nicht schaffen, sondern vorhandene verknüpfen und OS-Projekte bei der Einbindung unterstützen. Eclipse ist laut eigener Angaben die größte Open-Source-Stiftung und vereinigt über 400 bekannte Projekte unter ihrem Dach wie Eclipse IDE, Jakarta EE, OpenVSX oder Mosquitto. Außerdem bringt sie Erfahrung in Open-Source-Verwaltung und Industriekooperationen mit. Das OWASP gibt als allseits anerkannte Sicherheitsorganisation insbesondere die Top-Ten-Listen an Sicherheitslücken (aktuell 2025) heraus.
Weiterlesen nach der Anzeige
OS-Projekte sind zwar nicht so stark vom CRA betroffen wie kommerzielle Anbieter, aber die Regeln greifen in manchen Fällen. Die EU hat vor einigen Tagen einen entsprechenden Leitfaden dazu veröffentlicht.
(who)
Dieser Link ist leider nicht mehr gültig.
Links zu verschenkten Artikeln werden ungültig,
wenn diese älter als 7 Tage sind oder zu oft aufgerufen wurden.
Sie benötigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen – ohne Verpflichtung!
Quelle:
www.heise.de
