Springe zum Hauptinhalt

OCCTET-Ergebnisse

OCCTET erstellt eine Reihe von Ergebnissen, um KMU beim Verständnis und der Einhaltung des Cyber Resilience Act (CRA) zu unterstützen.

Nachfolgend finden Sie alle verfügbaren Projektergebnisse.

Arbeitspaket 1: Projektmanagement und Koordination

D1.1 - Handbuch für das Projektmanagement

Version 1.1

Das Handbuch für das Projektmanagement beschreibt die Governance-Struktur, die Managementverfahren und die Koordinationsmechanismen des OCCTET-Projekts.

Es legt die Regeln und Verfahren für das 24-monatige, EU-finanzierte OCCTET-Projekt fest, das darauf abzielt, Open-Source-Werkzeuge zu entwickeln, um die Einhaltung des Cyber Resilience Act (CRA) für KMU zu vereinfachen, die FOSS nutzen.

Das Projekt wird von der Eclipse Foundation (ECL) koordiniert und durch eine Organisationsstruktur einschließlich des Executive Board geregelt. Das Handbuch definiert wesentliche Managementwerkzeuge (GitLab für das Tracking, Matrix für die Kommunikation) und beschreibt Protokolle für:

PDF herunterladen

D1.2 - Plan zur Wirkungsbewertung

Version 1.1

Dieses Ergebnis beschreibt die Methodik und den Rahmen zur Bewertung der Wirkung der OCCTET-Aktivitäten auf KMU und das Open-Source-Ökosystem.

Der Plan nutzt das RE-AIM-Rahmenwerk (Reach, Effectiveness, Adoption, Implementation, Maintenance), um eine ganzheitliche Bewertung sowohl der internen Umsetzung als auch der realen Wirkung sicherzustellen. Wichtige Ziele und ihre entsprechenden Leistungsindikatoren (KPIs) werden über diese fünf Dimensionen definiert:

PDF herunterladen

D1.3 - Bericht zum Management von Ethik, Daten und Rechten des geistigen Eigentums

Version 1.1

Dieser Bericht beschreibt die ethischen Überlegungen, die Verfahren zum Datenmanagement und den Rahmen für die Rechte des geistigen Eigentums des OCCTET-Projekts.

Der Rahmen beruht auf vier Kernsäulen: der Wahrung hoher ethischer Standards, der Verwendung von Open-Source-Lizenzen für die Projektergebnisse (IPR), der Sicherstellung einer sicheren und DSGVO-konformen Datenverarbeitung (Daten) und der Umsetzung von Privacy-by-Design (Datenschutz). Das Projekt bindet teilnehmende KMU in drei Phasen ein, um Ausgangs-, laufende und abschließende Daten zu erheben, die auf CRA-Compliance-Kennzahlen ausgerichtet sind.

PDF herunterladen

Arbeitspaket 2: Anforderungsanalyse und Selbstbewertungswerkzeuge

D2.1 - CRA-Anforderungen für KMU und Selbstbewertungs-Checklisten

Version 1.3

Dieses Ergebnis liefert eine detaillierte Anforderungsanalyse für KMU im Rahmen des CRA sowie praktische Selbstbewertungs-Checklisten, die Organisationen helfen, ihre Compliance-Bereitschaft zu bewerten.

Ziel dieses Dokuments ist es, die regulatorischen Verpflichtungen aus dem Cyber Resilience Act (CRA) zu konsolidieren und sie in strukturierte Compliance-Anforderungen zu übersetzen, die auf kleine und mittlere Unternehmen (KMU) und das Ökosystem der freien und quelloffenen Software (FOSS) zugeschnitten sind.

Der Rahmen beruht auf einem strukturierten methodischen Ansatz, der regulatorische Analyse, Einbindung von Interessengruppen, Umfrageergebnisse von KMU und FOSS-Mitwirkenden, Sekundär- forschung und Expertenkonsultation innerhalb des Konsortiums kombiniert. Die Umfrageinstrumente wurden an der Struktur des CRA ausgerichtet und ermöglichten so eine direkte Zuordnung zwischen den Realitäten der Interessengruppen und den regulatorischen Bereichen, einschließlich der wesentlichen Cybersicherheitsanforderungen, rollenbasierter Verantwortlichkeiten, des Umgangs mit Schwachstellen, des Lebenszyklusmanagements und der Wege zur Konformitätsbewertung.

PDF herunterladen

D2.2 - Modell und Umfrage zur CRA-Selbstbewertung für KMU

Version 1.1

Dieses Dokument stellt das Selbstbewertungsmodell und das Umfragewerkzeug vor, die KMU helfen sollen, ihre aktuelle Cybersicherheitslage und ihr CRA-Compliance-Niveau zu bewerten.

Ziel dieses Ergebnisses ist es, einen strukturierten, rechtlich fundierten und operativ praktischen Rahmen bereitzustellen, der es kleinen und mittleren Unternehmen (KMU) ermöglicht, ihren Grad der Ausrichtung an den Anforderungen des Cyber Resilience Act (CRA) zu bewerten.

Das Modell übersetzt die Verpflichtungen aus den Artikeln und Anhängen des CRA in strukturierte Bewertungs- fragen, unterstützt durch eine Bewertungslogik, erläuternde Hinweise und Nachweisindikatoren. Die Methodik gewährleistet die Nachvollziehbarkeit zwischen rechtlichen Bestimmungen und Fragebogenpunkten. Das Ergebnis beschreibt:

Das Modell trägt zum Ziel von OCCTET bei, die Fähigkeit der KMU zur CRA-Compliance zu stärken, indem es eine kostenlose, strukturierte und offene Methodik bietet, die auf die EU-Rechtsvorschriften abgestimmt ist.

PDF herunterladen

D2.3 - Bewährte Verfahren zur CRA-Übernahme

Version 1.1

Dieses Dokument leitet kleine und mittlere Unternehmen (KMU) zur Einhaltung des Cyber Resilience Act (CRA) an, wenn sie freie und quelloffene Software (FOSS) verwenden.

Es betont den risikobasierten Ansatz des CRA, bei dem das Risiko vom Kontext, der Kritikalität und der Nutzung der FOSS-Komponente abhängt. Der Leitfaden fördert eine verhältnismäßige, risikobasierte Philosophie für FOSS-Entwickler und konzentriert sich auf:

Das Dokument klärt außerdem die Rollen der Open Source Stewards in Bezug auf die Attestierungen nach Artikel 25 des CRA und bietet spezifische CRA-Compliance-Richtlinien für KMU, einschließlich Ratschlägen zur Sorgfaltspflicht bei der Nutzung von FOSS und zu Sicherheitsattestierungen.

PDF herunterladen

Arbeitspaket 3: Technische Umsetzung

D3.1 - FedDB Beta

Version 1.1

Das Ergebnis beschreibt die Implementierung der föderierten Datenbank zur Verwaltung und gemeinsamen Nutzung von Cybersicherheitsinformationen im gesamten OCCTET-Ökosystem.

FedDB-Beta-Del ist die erste Demonstrator-Version einer föderierten Referenzplattform für Software-Metadaten im Rahmen des OCCTET-Projekts. Sie schafft die Grundlage für ein offenes, widerstandsfähiges und kollaboratives Basissystem zum Austausch wesentlicher Metadaten freier und quelloffener Software (FOSS) (Herkunft, Lizenzen, Schwachstellen) und ermöglicht effizientere Prozesse zur Einhaltung des Cyber Resilience Act (CRA) für KMU.

Um die Engpässe zentralisierter Systeme zu überwinden, setzt OCCTET auf einen dezentralen Ansatz, der auf bewährten Open-Source-Technologien und -Designs von AboutCode aufbaut. Dieser erste Demonstrator konzentriert sich auf die Bereitstellung dezentralen Zugangs zu kuratierten, quelloffenen Schwachstellendaten mit zentralen Funktionen wie:

Dieser Demonstrator bestätigt, dass die Kern-Datenkomponenten verfügbar sind und genutzt werden können, sei es über direkten, per PURL indexierten Zugriff, in großen Mengen oder über die öffentlichen APIs. Die Übernahme von PURL bestätigt zudem unseren Ansatz als Grundlage für die nächsten Ergebnisse in einer Welt, in der FOSS-Softwarepakete (und PURL) die zentralen Entitäten der Software-Lieferkette sind.

PDF herunterladen

D3.2 - BasicChain

Version 1.1

Dieses Ergebnis stellt die BasicChain-Implementierung vor, die eine blockchain-basierte Lösung für die sichere und transparente Nachverfolgung von Compliance-Aktivitäten bietet.

Diese Initiative geht auf den kritischen Bedarf an Compliance-Werkzeugen für kleine und mittlere Unternehmen (KMU) infolge des EU-Cyber-Resilience-Act (CRA) ein, der „Security by Design“, das Management von Schwachstellen und die Dokumentation (wie SBOM und VEX) vorschreibt.

Das OCCTET-Projekt liefert eine ganzheitliche, integrierte Open-Source-Lösung, die Folgendes umfasst:

PDF herunterladen

D3.3 - Toolkit-Demo

Version 1.1

Dieses Ergebnis stellt den Demonstrator des OCCTET-Toolkits vor und berichtet über die Fortschritte bei der Integration von Open-Source-Werkzeugen zur Unterstützung von Compliance-Workflows für den Cyber Resilience Act (CRA) für KMU und Open-Source-Software-Ökosysteme.

Das Ergebnis zeigt, wie die OCCTET-Toolchain die praktische Analyse der Software-Lieferkette, das Management von Schwachstellen, die SBOM-Erzeugung und die Vorbereitung von Compliance-Nachweisen unterstützen kann. Es vereint mehrere ergänzende Komponenten:

Der Toolkit-Demonstrator bestätigt die Fähigkeit der OCCTET-Toolchain, komplexe Abhängigkeitsstrukturen zu analysieren, Schwachstellen zu erkennen und zu priorisieren, die Kuration von Schwachstellen zu unterstützen und sich entwickelnde Sicherheitsprobleme über die Zeit kontinuierlich zu überwachen.

PDF herunterladen

D3.4 - Föderierte Datenbank final

Version 1.0

Dieses Ergebnis stellt den finalen Demonstrator der föderierten und gemeinsam genutzten Software-Metadatenplattform von OCCTET vor. Es baut auf der FedDB-Beta-Version von D3.1 auf und erweitert sie von einem anfänglichen, auf Schwachstellen ausgerichteten Demonstrator zu einer stärker operativen Plattform für den Austausch von Paket-Metadaten, Sicherheitshinweisen und SBOMs.

Die Plattform ist um die Package URL (PURL) als gemeinsamen Identifikator für Daten der Software-Lieferkette herum konzipiert. Dies ermöglicht, dass Software-Metadaten über Werkzeuge und Ökosysteme hinweg entdeckt, geteilt, wiederverwendet und föderiert werden.

Der finale Demonstrator umfasst mehrere wesentliche Verbesserungen:

Indem sie KMU und Softwareteams ermöglicht, vertrauenswürdige Herkunfts-, Lizenz-, Schwachstellen- und SBOM-Metadaten wiederzuverwenden, anstatt sie unabhängig neu zu berechnen, unterstützt D3.4 direkt das Ziel von OCCTET, den Aufwand für die CRA-Compliance durch offene, föderierte und wiederverwendbare Daten der Software-Lieferkette zu reduzieren.

PDF herunterladen

Arbeitspaket 5: Kommunikation und Verbreitung

D5.1 - Strategie für Kommunikation, Verbreitung und Öffentlichkeitsarbeit

Version 1.1

Dieses Strategiedokument beschreibt die geplanten Kommunikations- und Verbreitungsaktivitäten, um die Wirkung und Reichweite der Ergebnisse von OCCTET für die KMU-Gemeinschaft und weitere Interessengruppen zu maximieren.

Das Kernziel besteht darin, das Bewusstsein zu schärfen und die Übernahme des Toolkits voranzutreiben, mit dem Ziel von mindestens 1.000 aktiven Nutzern innerhalb der 24-monatigen Projektlaufzeit. Die Strategie wird in drei Phasen umgesetzt:

  1. Vor dem Start (M1–M8): Branding, Aufbau von Vorfreude und Workshops zur Bedarfs- analyse.
  2. Nach dem Start (M9–M20): Aktive Promotion durch Webinare, Schulungen, soziale Medien und Branchenveranstaltungen.
  3. Nachhaltigkeit (M20–M24): Sicherstellung langfristiger Nutzung und Wartung durch Wissens- transfer.

Zu den wichtigsten Zielgruppen gehören KMU, Open-Source-Entwickler, Regulierungsbehörden und europäische Digital Innovation Hubs (EDIHs). Die Kommunikation nutzt einen Mehrkanalansatz (Website, LinkedIn, GitHub, Veranstaltungen), zugeschnitten mit Kernbotschaften zur „Vereinfachung der CRA-Compliance“ und „Open-Source-Sicherheit“.

PDF herunterladen

Über die OCCTET-Ergebnisse

Alle Ergebnisse werden im Rahmen des OCCTET-Projekts erstellt, das von der Europäischen Union finanziert wird. Diese Dokumente werden im Verlauf des Projekts regelmäßig aktualisiert. Die neuesten Versionen finden Sie, indem Sie diese Seite regelmäßig besuchen oder unseren Newsletter abonnieren.

Bei Fragen zu einem Ergebnis kontaktieren Sie uns bitte.

Zurück nach oben