Seminar OSS – Governance-Richtlinien erstellen

Eine OSS-Richtlinie muss Entscheidungen beschleunigen, nicht nur Verbote sammeln. Das Seminar entwickelt ein praxistaugliches Regelwerk für Auswahl, Nutzung, Beiträge, Betrieb, Sicherheit, Beschaffung und Exit mit klaren Rollen und Ausnahmen.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Geltungsbereich und Risikoklassen einer OSS-Governance festlegen
• Entscheidungs-, Freigabe- und Ausnahmeprozesse verständlich beschreiben
• Rollen von Fachbereich, Entwicklung, Betrieb, Einkauf, Recht und Sicherheit verbinden
• Kennzahlen, Kontrollen und Pflege der Richtlinie dauerhaft organisieren

Zielgruppe

OSS-Verantwortliche, Rechtsabteilung, Einkauf, Informationssicherheit, Architektur, Entwicklung, Betrieb, Compliance und interne Revision.

Voraussetzungen

Grundkenntnisse der eigenen Softwareentwicklung, IT-Beschaffung und Compliance-Strukturen. Vorhandene Richtlinien können als Arbeitsmaterial genutzt werden.

Seminarinhalte

1. Schritt 1: Zweck und Geltungsbereich festlegen

   Organisationseinheiten, Softwarearten, Entwicklungsmodelle, Cloud-Services, eingebettete Komponenten und Ausnahmen werden eindeutig abgegrenzt.

2. Schritt 2: Risikoklassen definieren

   Interne Werkzeuge, ausgelieferte Produkte, kritische Plattformen, personenbezogene Daten und sicherheitsrelevante Komponenten werden nach abgestuften Anforderungen behandelt.

3. Schritt 3: Rollen und Gremien bestimmen

   Policy Owner, OSPO, Einkauf, Legal, Security, Architektur, Produktverantwortung, Betrieb und Freigabegremium erhalten klare Aufgaben und Entscheidungsrechte.

4. Schritt 4: Auswahlregeln formulieren

   Funktion, Reifegrad, Community, Lizenz, Sicherheit, Wartbarkeit, Alternativen, TCO und Exit-Fähigkeit werden vor der Einführung geprüft.

5. Schritt 5: Nutzungs- und Beitragsregeln festlegen

   Interne Nutzung, Distribution, Modifikation, SaaS-Bereitstellung, Upstream-Beiträge, Contributor Agreements und Freigaben werden differenziert geregelt.

6. Schritt 6: Beschaffungsanforderungen integrieren

   SBOM, Support, Patch-Prozess, Unterauftragnehmer, Audit, SLA, Datenportabilität, Wissensübergabe und Exit-Leistungen werden als Mindestanforderungen definiert.

7. Schritt 7: Betriebsregeln ergänzen

   Inventar, Schwachstellenbehandlung, Updates, Monitoring, Backup, Notfallvorsorge, Lebenszyklus und Abkündigung werden verbindlich organisiert.

8. Schritt 8: Ausnahmen gestalten

   Antrag, Begründung, Risikoanalyse, Kompensationsmaßnahmen, Befristung, Genehmigung und erneute Prüfung werden transparent dokumentiert.

9. Schritt 9: Kontrollen und Kennzahlen festlegen

   Abdeckungsgrad, überfällige Prüfungen, ungeklärte Lizenzen, kritische Schwachstellen, Ausnahmealter und Exit-Readiness werden messbar gemacht.

10. Schritt 10: Einführung und Pflege planen

    Kommunikation, Schulung, Werkzeuge, Pilotierung, Verantwortungsübergabe und jährliche Aktualisierung sichern die Wirksamkeit der Richtlinie.

Praxisübungen

• Erstellung einer Policy-Struktur
• Formulierung von Muss- und Kann-Regeln
• Entwurf eines Ausnahmeverfahrens
• Aufbau eines Governance-Kennzahlensets

Methodik

Fachinput, moderierte Analyse, Gruppenarbeit und realitätsnahe Fallstudien wechseln sich ab. Jeder Themenblock endet mit einer überprüfbaren Arbeitsunterlage für den betrieblichen Einsatz.