ISO/IEC 18974 - Der Standard für Open-Source-Sicherheit

Die ISO/IEC 18974:2023 definiert Mindestanforderungen für ein Open-Source-Security-Assurance-Programm. Sie ist kein Gesetz, sondern ein freiwilliger internationaler Standard. Trotzdem sollten Sie ihn kennen: Er beschreibt in prüfbarer Form, wie ein Unternehmen Open-Source-Sicherheit systematisch betreibt - und damit genau das, wonach Auditoren und Aufsichtsbehörden fragen.

Warum ist ein freiwilliger Standard relevant? #

Die EU-Cybergesetze verlangen systematische Sicherheitsmaßnahmen:

DORA Art. 6 Abs. 2 fordert Strategien, Verfahren und Werkzeuge zum Schutz der Informations- und IKT-Assets - welche, überlässt die Verordnung Ihnen
NIS2 Art. 21 Abs. 1 fordert Maßnahmen "unter Berücksichtigung des Stands der Technik und gegebenenfalls der einschlägigen internationalen Normen"
CRA EWG 34 verweist auf Sorgfaltsmaßnahmen bei der Integration von Open-Source-Komponenten

Die ISO/IEC 18974 ist der spezialisierte Standard für Open-Source-Sicherheit. Wer sie erfüllt, legt strukturierte, nachprüfbare Prozesse vor, statt die Angemessenheit der eigenen Maßnahmen nur zu behaupten. Ob diese Maßnahmen im konkreten Fall ausreichen, entscheidet weiterhin Ihr Risikoprofil - aber Sie diskutieren dann über Ihr Risiko und nicht über Ihre Nachweislage.

Was fordert die ISO/IEC 18974? #

Zu den Anforderungen des Standards gehören:

Governance und Organisation:

Schriftliche Security-Assurance-Policy (4.1.1)
Definierte Kompetenzen und Rollen (4.1.2)
Bewusstsein für Policy, Ziele und Verantwortung (4.1.3)
Festgelegter Geltungsbereich, Messgrößen und regelmäßige Überprüfung (4.1.4)
Ausreichend Personal, Budget und Fachwissen (4.2.2)

Erkennung und Bewertung:

Bedrohungs-Identifikation in der OSS-Lieferkette (4.1.5 Nr. 1)
Methode zur Erkennung bekannter Schwachstellen (4.1.5 Nr. 2)
Follow-up identifizierter Schwachstellen (4.1.5 Nr. 3)
Kommunikation an Kunden (4.1.5 Nr. 4)
Post-Release-Monitoring für neue Schwachstellen (4.1.5 Nr. 5)
Kontinuierliche Security-Tests vor Release (4.1.5 Nr. 6)
Risiko-Verifizierung vor Release (4.1.5 Nr. 7)
Risiko-Export an Dritte (4.1.5 Nr. 8)

Schwachstellenmanagement:

Öffentlicher Vulnerability-Kanal (4.2.1)
SBOM-Erstellung und -Pflege als kontinuierlicher Prozess (4.3.1)
Vulnerability Detection pro Komponente (4.3.2 Nr. 1)
Risiko-Scoring pro Schwachstelle (4.3.2 Nr. 2)
Dokumentierte Remediation pro Schwachstelle (4.3.2 Nr. 3)
Falls erforderlich: Abstimmung der Abhilfe mit Kunden (4.3.2 Nr. 4)
Risikogerechte Maßnahmen, auch bei neuen Funden in bereits ausgelieferter Software (4.3.2 Nr. 5 und 6)
Post-Release-Monitoring für verteilte Software (4.3.2 Nr. 7)

SBOM-Anforderungen:

NTIA-Minimum-Elemente: Supplier, Name, Version, weitere eindeutige Kennungen, Abhängigkeiten, Autor der SBOM-Daten, Timestamp (3.1)

Für die Konformität zählt das Gesamtbild: Sämtliche Anforderungen müssen erfüllt und nachgewiesen sein, eine Auswahl genügt nicht (4.4.1). Das ist der Grund, warum punktuelle Scans und Einzelmaßnahmen hier nicht weit tragen.

Zertifizierung #

Die OpenChain-Konformität nach ISO 18974 gilt ab ihrer Bestätigung für 18 Monate und wird danach erneuert. Eine Zertifizierung durch Dritte verlangt die Norm nicht zwingend - eine Selbstbestätigung genügt. Entscheidend ist in beiden Fällen, dass Sie die Umsetzung jeder Anforderung belegen können. Genau diese Nachweise legen Sie Prüfern und Aufsichtsbehörden vor.

Wie deckt OTTRIA die ISO 18974 ab? #

Den technischen und operativen Teil übernimmt OTTRIA vollständig: Schwachstellenerkennung, SBOM-Auswertung, Risiko-Scoring, Remediation, Post-Release-Monitoring und Kommunikation. Bei der Erkennung bekannter Schwachstellen (4.1.5 Nr. 2) gehen wir über den Standard hinaus: Neben registrierten CVEs erkennen wir auch Silent Fixes, die in keiner öffentlichen Datenbank auftauchen.

Die organisatorischen Anforderungen - schriftliche Policy, Kompetenzen und Rollen, Awareness, Geltungsbereich und Ressourcen - beschreiben Ihre eigene Organisation und bleiben deshalb bei Ihnen im Haus. Vorlagen und Beratung dafür liefern wir mit, sodass Sie diesen Teil nicht bei null beginnen.

Was bedeutet das für Sie? #

Unabhängig davon, ob DORA, NIS2 oder der CRA für Sie gilt: Ein Auditor wird fragen, ob Sie den Stand der Technik einhalten - und wie Sie das belegen. Eine ISO-18974-konforme Umsetzung beantwortet das mit einer durchgehend geprüften Prozesskette. Sie ersetzt keine der gesetzlichen Pflichten. Sie zeigt aber in jedem einzelnen Punkt, dass Sie ihnen systematisch nachkommen.

Weiterlesen #

Sie möchten wissen, wie nah Sie an der ISO 18974 sind? Fordern Sie eine Erstbewertung an.