Regelwerk
NIST SSDF und OWASP SAMM
Ihre Kunden fragen, wie sicher Sie Software entwickeln, und der Cyber Resilience Act verlangt es bald für jedes Produkt mit digitalen Elementen? Complass führt Sie durch die 42 Aufgaben des NIST SSDF, zeigt Ihren Reifegrad nach OWASP SAMM und verbindet beides mit CRA und IEC 62443-4-1.
Was ist NIST SSDF?
Das Secure Software Development Framework (SSDF) ist ein freiwilliges Rahmenwerk des US-amerikanischen National Institute of Standards and Technology (NIST SP 800-218). Es beschreibt in vier Gruppen und 42 Aufgaben, wie Hersteller Software sicher entwickeln und auf Schwachstellen reagieren. OWASP SAMM ist ein offenes Reifegradmodell für Softwaresicherheit mit 15 Praktiken und den Stufen 0 bis 3. Zertifikate gibt es für beide nicht.
Complass steht in keiner Verbindung zum NIST oder zur OWASP Foundation. Die englischen Aufgabentexte stammen aus NIST SP 800-218, einem frei verwendbaren Werk der US-Bundesregierung. OWASP SAMM (owaspsamm.org) steht unter der Lizenz CC BY-SA 4.0; Complass nennt nur die Namen der Praktiken und beschreibt die Stufen in eigenen Worten.
Stand der Inhalte:
Bin ich betroffen?
Das SSDF betrifft Hersteller und Entwickler von Software, auch von Firmware und Software in Maschinen und Geräten: Unternehmen, deren Kunden sichere Entwicklung nachgewiesen haben wollen, Lieferanten US-amerikanischer Behörden und alle, die die Entwicklungsanforderungen des Cyber Resilience Act praktisch umsetzen wollen.
Das SSDF ist nicht verpflichtend und ersetzt weder den CRA noch IEC 62443-4-1. Es ergänzt sie als praxisnahe Aufgabenliste; viele Aufgaben haben Sie bereits umgesetzt, wenn Sie nach IEC 62443-4-1 entwickeln.
Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.
Grundlagen
- NIST SP 800-218Secure Software Development Framework (SSDF) Version 1.1, Februar 2022; Version 1.2 als Entwurf seit Dezember 2025
- OWASP SAMM v2Software Assurance Maturity Model, Lizenz CC BY-SA 4.0
Wichtige Fristen
Gesetzliche Fristen gibt es für das SSDF nicht. Wer Produkte mit digitalen Elementen in der EU anbietet, sollte die Fristen des Cyber Resilience Act im Blick haben; das SSDF hilft, die Anforderungen an Entwicklung und Schwachstellenbehandlung rechtzeitig umzusetzen. Wir empfehlen, die SAMM-Bewertung jährlich zu wiederholen.
Wie Complass hilft
- 5Phasen
- 10geführte Schritte
- 3Dokumentvorlagen
- 42Anforderungen im Katalog
Geführt in fünf Phasen
Geltungsbereich, Organisation vorbereiten, Software schützen und sicher herstellen, auf Schwachstellen reagieren, Reifegrad bewerten.
42 Aufgaben mit Umsetzungshilfe
Jede Aufgabe mit offizieller Kennung, NIST-Formulierung im Original, Schritten, Mindestumfang, typischen Nachweisen und Stufen nach OWASP SAMM.
Vorlagen
Richtlinie sichere Softwareentwicklung, SAMM-Reifegradbewertung und Verbesserungsplan.
Einmal umsetzen, mehrfach nachweisen
Bewertungen und Nachweise aus CRA, IEC 62443-4-1 und ISO 27001 schlägt Complass für das SSDF zur Übernahme vor.
Die Phasen im Modul
- Ausgangslage und Geltungsbereich
- Organisation vorbereiten (PO)
- Software schützen und sicher herstellen (PS, PW)
- Auf Schwachstellen reagieren (RV)
- Reifegrad mit OWASP SAMM bewerten
Katalog: NIST SSDF 1.1 – 42 Aufgaben
Passende Bausteine
Compliance-Management
Regelwerke geführt umsetzen: Phasen, Vorlagen, Dokumentenpyramide, Kataloge, Gap-Analyse, Ziele und Maßnahmenplan bis zur Prüfung im Prüferportal.
Mehr erfahrenRisk-Management
Risikoregister mit qualitativer oder quantitativer Bewertung, Risikoappetit und Behandlungsplan, verzahnt mit Assets, Schwachstellen und Vorfällen.
Mehr erfahrenAsset-Management
IT- und OT-Assets an einem Ort, agentless erfasst, mit SBOM, Herstellerhinweisen, Support-Ende, Lizenzabgleich, Identitäten, Zusammenhängen und Zonen nach IEC 62443-3-2.
Mehr erfahrenHäufige Fragen
Gibt es ein SSDF-Zertifikat?
Nein. Weder das SSDF noch OWASP SAMM sind zertifizierbar. Complass hilft Ihnen, Ihren Umsetzungsstand und Reifegrad zu beschreiben und zu belegen.
Erfüllen wir mit dem SSDF den Cyber Resilience Act?
Nicht automatisch. Das SSDF deckt viele Anforderungen an Entwicklung und Schwachstellenbehandlung ab, und Complass zeigt die Zuordnung zu Anhang I. Die Konformitätsbewertung nach dem CRA bleibt eine eigene Aufgabe.
Wozu SAMM, wenn wir das SSDF haben?
Das SSDF sagt, was zu tun ist; SAMM zeigt, wie gefestigt es ist. Mit den Stufen 0 bis 3 können Sie Fortschritt messen und Ziele setzen.
Wir entwickeln schon nach IEC 62443-4-1. Müssen wir alles neu erfassen?
Nein. Über die gemeinsamen Maßnahmen schlägt Complass vor, Bewertungen und Nachweise zu übernehmen. Sie prüfen jeden Vorschlag, bevor Sie ihn bestätigen.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.