Open Source wird zur Chefsache. OTTRIA macht sie beherrschbar.
OTTRIA - die Open Source Trust, Threat and Risk Intelligence Alliance - ist der europäische Partner für Ihre Open-Source-Lieferkette. Neue EU-Gesetze verpflichten Geschäftsleitungen persönlich, ihre Software-Lieferkette abzusichern. Das betrifft auch jede Open-Source-Komponente in Ihrem Unternehmen. OTTRIA schließt diese Lücke - mit dokumentierten Prozessen, messbaren Ergebnissen und prüffähigen Nachweisen.
Fünf Gesetze, eine Verantwortung #
DORA nennt Open-Source-Analysen ausdrücklich als Testmethode für Finanzunternehmen (Art. 25 Abs. 1). Die Letztverantwortung liegt beim Leitungsorgan - persönlich und nicht delegierbar.
NIS2 betrifft 18 Sektoren kritischer Infrastruktur. Lieferkettensicherheit ist Pflicht (Art. 21 Abs. 2 lit. d). Bußgelder bis 10 Mio. Euro.
CRA fordert CE-Kennzeichen, eine SBOM und mindestens fünf Jahre Sicherheitsupdates für Produkte mit digitalen Elementen. Bußgelder bis 15 Mio. Euro.
Produkthaftung macht Software ausdrücklich zum Produkt. Keine Haftungsobergrenze - und wer angeforderte Beweismittel nicht offenlegt, trägt die Beweislast selbst.
DSGVO verlangt Sicherheit nach dem Stand der Technik, und zwar dauerhaft (Art. 32 Abs. 1). Ungepflegte Open-Source-Komponenten gefährden genau das - Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
Open Source steckt in nahezu jeder Unternehmens-Software. Die neuen Gesetze machen Sie verantwortlich - für jede einzelne Komponente.
Bin ich betroffen? Jetzt prüfen
Warum bestehende Lösungen nicht reichen #
Scanner sind ein guter erster Schritt. Katalog-Anbieter helfen bei ausgewählten Projekten. Aber eine typische Software-Stückliste enthält hunderte Einträge.
- SCA-Tools finden registrierte Schwachstellen - aber beheben keine einzige. Und sie übersehen Silent Fixes, die vier bis elf Mal häufiger vorkommen als registrierte CVEs. Solange niemand den Fix einspielt, bleibt Ihr System verwundbar - ohne dass Sie es wissen.
- Katalog-Anbieter betreuen ausgewählte Endprodukte - etwa ein End-of-Life-Framework oder eine alte Distribution. Aber nicht deren Abhängigkeiten. Die hunderte Bibliotheken, von denen diese Produkte selbst abhängen, bleiben unbeachtet - obwohl Sie auch für diese haften.
- Enterprise-Support bedient populäre Stacks - aber nicht die tausenden kleinen Bibliotheken, die Ihre Software zusammenhalten. Wenn eine davon ausfällt, steht Ihr Betrieb trotzdem still.
Scanner sind Layer 1: Sichtbarkeit. OTTRIA ist Layer 2 und 3: Eingriff und Governance.
Drei Säulen für Ihre Open-Source-Sicherheit #
Risk Intelligence Wir identifizieren Risiken, bevor sie öffentlich werden. Durch unsere aktive Mitarbeit in Open-Source-Projekten erkennen wir Schwachstellen, stille Fixes und Projektverfall frühzeitig - vor der öffentlichen CVE-Veröffentlichung.
Operational Support Wir lösen Probleme, statt sie nur anzuzeigen. Wenn eine Schwachstelle behoben werden muss, koordinieren wir den Fix mit dem Upstream-Projekt oder erstellen ihn selbst. Bei verwaisten Projekten stellen wir die Wartung sicher.
Compliance Enablement Wir liefern die Nachweise, die Ihr Auditor erwartet. Risikobewertungen, Maßnahmenhistorien, SBOMs mit Pflegestatus - auditfähig für DORA, NIS2 und CRA.
Finden Sie Ihren Einstieg #
Finanzsektor - DORA BaFin-Lizenz? Persönliche Geschäftsführerhaftung und die Pflicht zu Open-Source-Analysen betreffen Sie direkt. Zur DORA-Seite
Kritische Infrastruktur - NIS2 18 Sektoren, Bußgelder bis 10 Mio. Euro, persönliche Haftung der Geschäftsleitung. Zur NIS2-Seite
Softwarehersteller - CRA CE-Kennzeichen, mindestens fünf Jahre Sicherheits-Support, 24-Stunden-Frühwarnung bei ausgenutzten Schwachstellen. Zur CRA-Seite
Alle Softwareanbieter - Produkthaftung Software ist ausdrücklich ein Produkt. Keine Haftungsobergrenze - und wer angeforderte Beweismittel nicht offenlegt, trägt die Beweislast selbst. Zur Produkthaftungs-Seite
Software-Dienstleister und Agenturen Sie entwickeln Software für Kunden? Dann entscheidet Ihre Rolle über Ihre Pflichten aus CRA, Produkthaftung, DORA und NIS2 - und was Ihr Kunde vertraglich von Ihnen verlangen muss, trifft Sie in jedem Fall. Zur Dienstleister-Übersicht
Alle Unternehmen - DSGVO Personenbezogene Daten verarbeiten alle. Art. 32 verlangt Sicherheit nach dem Stand der Technik, und zwar dauerhaft - ungepflegte Open-Source-Komponenten gefährden genau das. Ihre dokumentierten Maßnahmen fließen nach Art. 83 Abs. 2 lit. d in die Bußgeldbemessung ein. Zur DSGVO-Seite