Open Source Betrieb & Wartung

Das Problem

Ihr kritischer Pfad führt durch Open Source, für deren Pflege Sie niemanden beschäftigen. Das ist kein Vorwurf, sondern der Normalzustand einer modernen Plattform. Zum Problem wird es auf drei vorhersehbare Arten.

Eine CVE trifft eine Komponente, für die sich niemand verantwortlich fühlt, und der Fix dauert drei Wochen, weil niemand die Codebasis kennt. Ein Projekt, von dem Sie abhängen, wird still, und es gibt keinen Plan. Ihre Engineers schreiben einen Patch, tragen ihn als Fork mit, weil das Upstreaming Arbeit ist, für die niemand Zeit hat. Und zwei Jahre später ist dieser Fork technische Schuld, die jedes Upgrade blockiert.

Die Regulierung holt inzwischen alle drei ein. Cyber Resilience Act und NIS2 setzen beide voraus, dass Sie Fragen zu der Software beantworten können, die Sie ausliefern und betreiben.

Was Sie bekommen

• Benannte Komponentenabdeckung. Wir einigen uns auf die Komponenten, die für Sie zählen, und decken sie ab: Security Response, Upgrade-Unterstützung, Kompatibilitätsvalidierung und Deep-Dive-Hilfe, wenn etwas bricht.

• Upstream-Beiträge. Ihre Fixes und Features gehen upstream, durch uns, sauber. Ihre Fork-Anzahl sinkt und Ihr Upgrade-Pfad bleibt offen.

• Maintainerschaft dort, wo sie zählt. Für Komponenten, in denen wir Maintainer- oder Contributor-Status haben, bekommen Sie einen direkten Draht ins Projekt statt einer Warteschlange.

• Security Response. Advisory-Monitoring für Ihre abgedeckten Komponenten, Impact-Bewertung für Ihre konkrete Nutzung statt eines generischen Severity-Scores, und Unterstützung bei der Behebung.

• Lieferkettennachweise. SBOM-Erstellung und -Validierung, Provenance und Lizenzposition für Ihre abgedeckten Komponenten, in der Form, die Ihre Compliance-Funktion braucht.

• Long-Term-Support-Pfade. Wo ein Projekt sich schneller bewegt als Sie, oder langsamer, erarbeiten und pflegen wir die Antwort.

• Open-Source-Strategie. Governance, Contribution-Policy, Inner Source und Foundation-Engagement, für Organisationen, die mitgestalten und nicht nur konsumieren wollen.

Warum wir

Wir verkaufen nicht den Supportvertrag eines anderen weiter. Wir pflegen Projekte im Cloud-Native-Ökosystem und tragen zu ihnen bei, wir halten Governance-Rollen in den Foundations, die sie betreuen, und wir veröffentlichen eigenes Tooling. Wenn wir sagen, dass wir einen Fix upstream bekommen, dann weil wir das routinemäßig tun.

Wie es funktioniert

Eine jährliche, rollierende Vereinbarung mit definiertem Komponenten-Scope, einer Reaktionszusage und einem enthaltenen Kontingent für Upstream-Arbeit und Deep Dives. Quartalsweise überprüft, mit anpassbarem Komponenten-Scope, wenn sich Ihre Plattform verändert.

Für wen es gedacht ist

Organisationen, die geschäftskritische Workloads auf Open-Source-Infrastruktur betreiben, insbesondere in regulierten Branchen, in denen Cyber Resilience Act, NIS2 oder DORA die Frage „wer pflegt das eigentlich“ zu einer formalen machen.