Seminar OSS – Lizenz- und Compliance-Prüfung in der Beschaffung

Lizenz- und Compliance-Risiken müssen vor Vertragsabschluss, während der Lieferung und bei Änderungen beherrscht werden. Das Seminar verbindet rechtliche Bewertung, technische Inventarisierung und vertragliche Nachweise zu einem durchgängigen Beschaffungsprozess.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• OSS-Lizenzpflichten im konkreten Nutzungs- und Vertriebsmodell erkennen
• Komponenten, Abhängigkeiten und Herkunft mit SBOM und Nachweisen prüfen
• Lieferantenpflichten zu Freigaben, Notices, Quellcode und Änderungen formulieren
• Abweichungen risikobasiert behandeln und revisionsfähig dokumentieren

Zielgruppe

Einkauf, Rechtsabteilung, Compliance, Produktmanagement, Entwicklung, Informationssicherheit, Architektur und interne Revision.

Voraussetzungen

Grundkenntnisse der Softwarebeschaffung. Juristische Vorkenntnisse sind hilfreich, aber nicht zwingend; das Seminar ersetzt keine Rechtsberatung im Einzelfall.

Seminarinhalte

1. Schritt 1: Nutzungsszenario beschreiben

   Interne Nutzung, Weitergabe, Geräteeinbettung, Container, Bibliothek, Modifikation, Netzwerkdienst und Kundenauslieferung werden technisch und organisatorisch abgegrenzt.

2. Schritt 2: Komponentenbestand erfassen

   Direkte und transitive Abhängigkeiten, Betriebssystempakete, Container-Layer, Build-Werkzeuge, kopierter Code und generierte Artefakte werden inventarisiert.

3. Schritt 3: Lizenzinformationen validieren

   Lizenzbezeichnung, Version, Copyright, Herkunft, Änderungsstatus und widersprüchliche Metadaten werden gegen Quellpakete und Repository-Nachweise geprüft.

4. Schritt 4: Pflichten ableiten

   Hinweise, Lizenztexte, Quellcodeangebot, Bereitstellung korrespondierenden Quellcodes, Änderungskennzeichnung und Weitergabebedingungen werden je Szenario dokumentiert.

5. Schritt 5: Kompatibilität bewerten

   Kombination, Verlinkung, Prozessgrenzen, Plugin-Architektur, Datenkopplung und Distributionsform werden auf kollidierende Bedingungen untersucht.

6. Schritt 6: Lieferantenprozess prüfen

   Freigaben, Scanning, manuelle Reviews, Ausnahmeentscheidungen, SBOM-Erzeugung, Notice-Erstellung und Release-Gates werden bewertet.

7. Schritt 7: Vertragsanforderungen formulieren

   Vollständige SBOM, korrekte Notices, Quellcode-Lieferung, Änderungsmeldung, Nachbesserung, Audit und Haftungsverteilung werden geregelt.

8. Schritt 8: Lieferung kontrollieren

   SBOM, Binärdateien, Quellpakete, Notices, Build-Informationen und vertraglich zugesicherte Nachweise werden auf Konsistenz und Vollständigkeit geprüft.

9. Schritt 9: Abweichungen behandeln

   Fehlende Lizenz, unklare Herkunft, verbotene Komponente, unvollständiger Quellcode und verspätete Meldung werden nach Risiko und Behebbarkeit entschieden.

10. Schritt 10: Lebenszyklus integrieren

    Updates, neue Abhängigkeiten, Sicherheitsfixes, Produktänderungen und Exit werden durch wiederkehrende Prüfungen und Nachweisaufbewahrung abgesichert.

Praxisübungen

• Analyse eines Softwarelieferumfangs
• Ableitung von Lizenzpflichten aus mehreren Nutzungsszenarien
• Prüfung einer SBOM gegen Notices und Quellpakete
• Formulierung von Vertrags- und Abnahmekriterien

Methodik

Fachinput, vertiefende Fallstudien, Gruppenarbeit, Reviews und umfangreiche Praxisaufgaben werden zu einem durchgängigen Anwendungsszenario verbunden. Zwischenergebnisse werden schrittweise konsolidiert.