Eclipse und OWASP wollen Open-Source-Projekte in Sicherheitsfragen fortbilden

Gemeinsame Initiative für mehr Sicherheit im Open-Source-Bereich

Die Eclipse Foundation und das Open Worldwide Application Security Project (OWASP) haben eine strategische Partnerschaft angekündigt. Ziel der Zusammenarbeit ist es, die Sicherheit von Open-Source-Software nachhaltig zu stärken und die Akteure in diesem Ökosystem auf die kommenden regulatorischen Anforderungen vorzubereiten. Angesichts der Tatsache, dass nahezu die gesamte kommerzielle Software – Schätzungen zufolge rund 96 Prozent – auf Open-Source-Komponenten basiert, gewinnt die Sicherheit dieser Projekte eine systemrelevante Bedeutung für die gesamte IT-Industrie.

Der Cyber Resilience Act als treibende Kraft

Ein zentraler Auslöser für diese Kooperation ist der Cyber Resilience Act (CRA) der Europäischen Union. Mit dem Wirksamwerden der ersten Auflagen ab dem 11. September wächst der Druck auf Softwareentwickler und Unternehmen, ihre Sicherheitskonzepte an die neuen gesetzlichen Vorgaben anzupassen. Mike Milinkovich, Executive Director der Eclipse Foundation, betont die Dringlichkeit der Situation: Angesichts der kurzen Zeitspanne bis zum Inkrafttreten der ersten CRA-Vorgaben sei ein koordiniertes Vorgehen unerlässlich, um die notwendige Sicherheit in der Software-Lieferkette zu gewährleisten.

Fokus auf praktische Unterstützung und Wissensvermittlung

Anstatt neue Sicherheitsstandards zu entwickeln, konzentrieren sich Eclipse und OWASP darauf, bestehende Rahmenwerke besser miteinander zu verknüpfen und deren Anwendung in der Praxis zu erleichtern. Die Initiative hat fünf Kernbereiche definiert, um die sogenannte „CRA-Readiness“ zu erreichen:

* **CRA-Readiness:** Vorbereitung des Open-Source-Ökosystems auf die regulatorischen Anforderungen.

* **Interoperabilität:** Harmonisierung von Sicherheitspraktiken und bestehenden Frameworks.

* **Bildungsarbeit:** Gemeinsames Engagement für Schulungen innerhalb der Community.

* **Unterstützung:** Gezielte Hilfe für Maintainer und Verantwortliche in Open-Source-Projekten.

* **Transparenz:** Aufklärung über aktuelle Richtlinien und gesetzliche Vorschriften.

Konkrete Maßnahmen für Maintainer

Im Zentrum der geplanten Aktivitäten stehen Webinare, Round-Table-Gespräche und praktische Hinweise für die Verantwortlichen in den Projekten. Ein besonderer Schwerpunkt liegt dabei auf der Einführung von Software Bills of Material (SBOM) sowie der allgemeinen Absicherung der Software-Lieferkette. Die Eclipse Foundation bringt hierbei ihre Expertise als eine der weltweit größten Open-Source-Stiftungen ein, unter deren Dach über 400 Projekte wie die Eclipse IDE, Jakarta EE oder Mosquitto verwaltet werden. Ergänzt wird dies durch die Sicherheitskompetenz von OWASP, das insbesondere für seine international anerkannten Listen zu Sicherheitslücken bekannt ist.

Einordnung der regulatorischen Lage

Obwohl der Cyber Resilience Act primär auf kommerzielle Anbieter zielt, sind auch Open-Source-Projekte in bestimmten Konstellationen von den neuen Regeln betroffen. Um hier Klarheit zu schaffen, hat die Europäische Union bereits einen entsprechenden Leitfaden veröffentlicht. Die Zusammenarbeit zwischen Eclipse und OWASP soll dazu beitragen, dass Open-Source-Maintainer die regulatorischen Hürden besser verstehen und die notwendigen Sicherheitsstandards ohne übermäßige bürokratische Belastung in ihre Arbeitsabläufe integrieren können. Die nächsten Schritte sehen eine verstärkte Kommunikation und die Bereitstellung von Ressourcen vor, die den Übergang in das neue regulatorische Umfeld erleichtern sollen.