SecureChain für Open-Source-Software

Das Wichtigste im Überblick: Eine transitive Abhängigkeit ist ein Paket, das Sie erhalten, weil etwas, von dem Sie abhängig sind, dieses benötigt. Ein einziges npm-Paket kann Hunderte von transitiven Abhängigkeiten nach sich ziehen, von denen jede in der Lage ist, ...

Das Wichtigste auf einen Blick: CRA, FedRAMP, NIS 2 und PCI DSS stellen in Bezug auf Ihre Open-Source-Komponenten immer dieselben zwei Fragen: Was liefern Sie aus, und was passiert, wenn eine Sicherheitslücke auftritt? ...

Wichtige Erkenntnisse: Gemäß den FedRAMP-Vorschriften für 2026 reichen die empfohlenen Fristen für die Behebung von Sicherheitslücken von 12 Stunden bis zu 192 Tagen, gerechnet ab dem Zeitpunkt der Bewertung der Sicherheitslücke durch den Anbieter. Neue Antragsteller müssen die FedRAMP-Vorschriften für 2026 befolgen...

Wichtigste Erkenntnisse: Artikel 21 der NIS2-Richtlinie schreibt die Sicherheit der Lieferkette als Mindestanforderung vor und verpflichtet Unternehmen dazu, die Schwachstellen jedes einzelnen direkten Lieferanten zu bewerten. Die ENISA, die EU-Agentur für Cybersicherheit, erklärt in ihren unverbindlichen Leitlinien für Krankenhäuser...

Das Wichtigste auf einen Blick: Ohne eine Bewertung durch einen Dritten unterzeichnet der Vorstandsvorsitzende oder ein vom Unternehmen bevollmächtigter Mitarbeiter das Formular. Der Unterzeichner versichert nach bestem Wissen und Gewissen, dass...

Wichtige Erkenntnisse: Das Playbook des Federal Risk and Authorization Management Program (FedRAMP), Revision 5 (Rev5), schreibt vor, dass Anbieter monatlich einen aktualisierten Aktionsplan und Meilensteine hochladen müssen. Die konsolidierten Regeln von FedRAMP für...

Wichtige Erkenntnisse: Das „Secure Software Development Framework“ (SSDF) des NIST (National Institute of Standards and Technology) fordert Sie dazu auf, Komponenten von Drittanbietern – einschließlich Open-Source-Komponenten – kontinuierlich anhand Ihrer eigenen Anforderungen zu überprüfen....

Wichtige Erkenntnisse: Eine „Vulnerability Exploitability eXchange“ (VEX)-Erklärung gibt den Status einer Sicherheitslücke für ein oder mehrere Produkte an. Eine VEX-Erklärung stellt die Aussage ihres Verfassers dar, daher prüft ein Prüfer…

Das Wichtigste auf einen Blick: Das Informationsregister von DORA listet Verträge für laufend erbrachte Technologiedienstleistungen auf, sodass eine Bibliothek, die Sie ohne Vertrag herunterladen, in der Regel nicht darin enthalten ist. Verbindliche technische...

Das Wichtigste auf einen Blick: Seit dem 13. Juli 2026 dürfen Ausschreibungen im Verteidigungsbereich lediglich Selbstbewertungen der Stufen 1 oder 2 verlangen, während Phase 2 weiterhin ausgesetzt bleibt. In keiner der 110 Anforderungen der Stufe 2 wird erwähnt, dass...

Wichtige Erkenntnisse: Gemäß dem Cyber Resilience Act müssen Sie Schwachstellen in Ihrem Produkt, einschließlich derer in dessen Abhängigkeiten, mindestens fünf Jahre lang beheben, es sei denn, es ist zu erwarten, dass…