Open-Source-Gemeinschaften und -Stiftungen binden sich zwar bereits an branchenübliche Best Practices im Sicherheitsbereich, doch fehlt es den Ansätzen häufig an Abstimmung und Dokumentation. Der europäische CRA setzt die Stiftungen nun unter Zugzwang, hier nachzubessern.
Open-Source-Sicherheitsstandards sind schwierig zu entwickeln
Der CRA zieht zahlreiche Standardisierungsanforderungen der Europäischen Kommission an die Europäischen Standardisierungsorganisationen nach sich. Zu den europäischen Anforderungen dürften ähnliche aus den USA und anderen Regionen hinzukommen. Der CRA definiert eine neue Art von Wirtschaftsakteur: den Open Source Steward. Auch in diesem Zusammenhang möchten die Open Source Foundations gemeinsame Spezifikationen für eine sichere Softwareentwicklung definieren.
Verschärft wird die Herausforderung durch folgende Faktoren
• Die globale Software-Infrastruktur besteht zu über 80 Prozent aus Open Source. Der Software-Stack, der jedem Produkt mit digitalen Elementen zugrunde liegt, wird in der Regel mit Open-Source-Software erstellt. Wer also von der Software-Lieferkette spricht, bezieht sich zuerst auf Open Source, gleichwohl nicht ausschließlich.
• Normungsorganisationen haben in der Vergangenheit wenig mit Open-Source-Gemeinschaften und der breiteren Software-/IT-Branche zusammengearbeitet. Ihre Governance-Modelle bieten den Open-Source-Gemeinschaften derzeit keine Möglichkeiten zur Beteiligung.
• Open-Source-Gemeinschaften haben nur begrenzte Erfahrung im Umgang mit Normungsorganisationen. Zudem ist es für sie aufgrund ihrer begrenzten Ressourcen schwierig, sich einzubringen.
• Die Erarbeitung von Standards ist in der Regel ein langwieriger Prozess, und die Zeit drängt.
Unklar wie, aber es soll schnell gehen
Die neuen Cybersicherheitsstandards müssen zu den Anforderungen gängiger Open-Source-Entwicklungsprozesse und -Gemeinschaften passen. Unklar ist, wie das im vorgegebenen Zeitrahmen geschehen kann. Zumal die entstehenden Spezifikationen auch den Bedürfnissen der großen Softwareanbieter, vertikaler Branchen sowie kleiner und mittlerer Unternehmen entsprechen soll.
