Verankerung in der Entwicklungsebene
Sicherheitsanforderungen in Entwicklungsprozess, Tools und Rollen übersetzen.
Sicherheitsmaßnahmen entfalten ihre Wirkung nur dann, wenn sie fest im Entwicklungsalltag verankert sind — nicht als gelegentliche Sonderaufgabe, sondern als integraler Bestandteil des Software Development Lifecycle (SDLC). Phase 5 überträgt die in Phase 4 definierten Maßnahmen in konkrete Prozesse, Werkzeuge und Rollenverantwortlichkeiten.
Im Mittelpunkt steht die Integration von Security-Gates in bestehende CI/CD-Pipelines: automatisierte statische Code-Analyse (SAST), Dependency-Scanning zur Erkennung bekannter Schwachstellen in Drittkomponenten, dynamische Testverfahren (DAST) für laufende Dienste und Infrastructure-as-Code-Scanning für Cloud-Deployments. Ziel ist es, Sicherheitsüberprüfungen vom manuellen Schritt zum automatisierten Qualitätsmerkmal zu machen.
Gleichzeitig werden Rollen und Verantwortlichkeiten geschärft: Wer ist zuständig für Security Reviews vor jedem Release? Wer führt die SBOM fort und stellt sicher, dass Drittkomponenten aktuell gehalten werden? Wer ist erster Ansprechpartner bei gemeldeten Schwachstellen? Die Einführung von Security Champions — Entwickler mit erweiterter Sicherheitsverantwortung — hat sich dabei als besonders wirksames Organisationsmodell erwiesen.
Schulungen und Awareness-Maßnahmen runden Phase 5 ab: Nicht jeder Entwickler muss ein Sicherheitsexperte sein, aber alle müssen die relevanten Risiken kennen, sichere Coding-Praktiken beherrschen und wissen, wann sie eskalieren müssen. Das CRA-Konformitätsziel erfordert, dass diese Fähigkeiten dokumentiert und regelmäßig aufgefrischt werden.
Typische Aktivitäten in Phase 5
- Integration von SAST, Dependency-Scanning und DAST in CI/CD-Pipelines
- Einführung oder Verbesserung des SBOM-Prozesses im Entwicklungsalltag
- Definition und Besetzung von Security-Rollen (z.B. Security Champions)
- Etablierung von Security Reviews als verpflichtenden Release-Gate
- Schulung von Entwicklungsteams zu sicheren Coding-Praktiken und CRA-Anforderungen
- Dokumentation des sicheren Entwicklungsprozesses für die Konformitätsbewertung
Typischerweise involvierte Rollen
Bereit für Phase 5?
Bearbeiten Sie diese Phase direkt im CRA Roadmap Workspace — inklusive Statusverfolgung, Notizen und automatisiertem PDF-Export.
Roadmap starten