Kundenportal für Produkt-Compliance-Dokumente

Aus Gesprächen mit mehr als 50 Herstellern erkennen wir eine klare Präferenz. Teams holen mehr Compliance-Arbeit ins eigene Haus. Sie wollen weniger Anbieter zwischen ihren Produktteams und ihren Nachweisen.

Das Kundenportal ist der kundenseitige Bereich unserer SaaS-Plattform für die Dokumentenfreigabe. Benannte Kunden erhalten direkten Zugriff auf freigegebene Produktdateien, während Ihr Team Produkte, Versionen, Dokumente und den Zugriffszeitraum steuert.

Hersteller wollen weniger Übergaben

Compliance-Arbeit verteilt sich oft über mehrere Unternehmen.

Ein Komponentenlieferant liefert eine SBOM. Ein Prüflabor erstellt einen Bericht. Ein Berater hilft bei der Vorbereitung der technischen Dokumentation. Ein Softwareanbieter speichert einen Teil der Unterlagen.

Externe Unterstützung ist nützlich. Das Problem beginnt, wenn der Hersteller die Kontrolle über die Nachweise verliert.

Der Hersteller muss weiterhin Kundenfragen beantworten. Er muss die Produktunterlagen auch dann pflegen, wenn sich der Anbieter ändert.

Deshalb wollen immer mehr Teams die Arbeitsunterlagen im eigenen Haus führen. Sie kaufen weiterhin Fachhilfe ein, doch die Nachweise kehren in den eigenen Prozess zurück.

Das bevorzugte Modell ist einfach.

Lieferanten steuern Nachweise bei. Hersteller besitzen die finalen Produktunterlagen. Kunden erhalten einen freigegebenen Teil dieser Unterlagen.

Ein Anbieter wird zum Risiko, wenn Nachweise nicht weitergegeben werden können

In diesen Gesprächen beginnen Probleme mit Anbietern oft bei unklaren Lieferbedingungen.

Ein Lieferant sendet zu Projektbeginn eine SBOM. Der Hersteller erwartet für jede Komponentenversion eine aktualisierte Datei.

Ein Labor sendet ein PDF ohne klare Produktversion. Der Bericht lässt sich dann in einer Freigabeprüfung nur schwer verwenden.

Ein Berater führt die technische Dokumentation im eigenen Arbeitsbereich. Beim Vertragsende hat der Hersteller keinen sauberen Export zur Verfügung.

Die Arbeit wurde erledigt, aber die Nachweise lassen sich nicht weitergeben.

Daraus entstehen vier typische Probleme:

1. Versionsverwirrung: Niemand kann bestätigen, welche Datei zu welcher Version gehört
2. Langsame Kundenantworten: Wiederholte Anfragen starten die Such- und Freigabekette erneut
3. Anbieterabhängigkeit: Ein externes Konto wird zum einzigen Zugang zu den Unterlagen
4. Schwache Änderungshistorie: Korrigierte Dateien ersetzen ältere Fassungen ohne nachvollziehbare Spur

Legen Sie die Lieferregeln fest, bevor die Arbeit beginnt.

Benennen Sie Datei, Format, Produktversion, Auslöser für die Aktualisierung und Liefertermin. Ergänzen Sie einen Exportschritt für das Ende der Zusammenarbeit.

Definieren Sie für Softwarekomponenten das erwartete Ergebnis mit dem SBOM-Erstellungsleitfaden. Vereinbaren Sie für den Schwachstellenstatus, wann der Lieferant ein VEX-Dokument bereitstellt.

Lieferanten-Input und Kundenfreigabe erfüllen unterschiedliche Zwecke

Lieferantennachweise fließen in die Unterlagen des Herstellers. Kundennachweise fließen aus ihnen heraus.

Der Hersteller steht zwischen beiden Prozessen.

Die Trennung schützt den internen Arbeitsbereich.

Kunden sehen keine Lieferantenanfragen. Sie sehen keine internen Prüfnotizen. Sie sehen keine Nachweise für nicht betroffene Produkte.

Lieferanten erhalten keinen Zugriff auf Kundenbereiche.

Kunden starten mit den für sie freigegebenen Produkten

Nach Eingabe ihres Zugriffstokens sehen Kunden ihre verfügbaren Produkte.

Jede Karte zeigt Produktname, Beschreibung, Anzahl freigegebener Versionen und die neueste freigegebene Version. Der Kunde kann direkt vom Katalog zum relevanten Produkt wechseln.

Jedes Produkt hält seine freigegebenen Versionen zusammen

Kunden wählen ein freigegebenes Produkt aus dem Katalog. Die Produktseite listet jede Version auf, die in ihrem Zugriffsbereich enthalten ist.

Die neueste freigegebene Version erscheint zuerst. Ältere freigegebene Versionen bleiben darunter verfügbar.

Der Kunde öffnet die Version, die er in seiner eigenen Umgebung einsetzt. So bleiben aktuelle und ältere Produktnachweise auf einer Seite vereint.

Jede Version hat ihre eigenen veröffentlichten Dateien

Produktnachweise ändern sich häufig zwischen Versionen.

Ein Testbericht für Version 3.4.1 beschreibt nicht Version 3.2.0. Dieselbe Regel gilt für Risikobewertungen, Architekturdokumente, SBOMs und den Schwachstellenstatus.

Das Kundenportal hält diese Versionsgrenze sichtbar.

Kunden öffnen die Version, die sie einsetzen. Sie können eine einzelne Datei oder das verfügbare Paket herunterladen.

Diese Ansicht hält die Dateien an ihr Produkt und ihre Version gebunden.

Der Produktname ist eindeutig. Die Versionsnummer ist eindeutig. Die verfügbaren Dateien sind unter dieser Version gruppiert.

Sie wählen, wie Versionen in das Portal gelangen

Jedes Produkt hat zwei Freigabeoptionen.

Ausgewählte Versionen veröffentlichen

Wählen Sie einzelne Versionen, wenn jede Version eine abschließende Prüfung benötigt.

Das eignet sich gut für sensible Produkte. Es passt auch zu Verträgen, die eine genaue unterstützte Version festlegen.

Ihr Team wählt die Version, nachdem es die verfügbaren Nachweise geprüft hat.

Aktuelle und künftige berechtigte Versionen einschließen

Wählen Sie die automatische Einbeziehung, wenn dieselbe Freigaberegel für alle Versionen gilt.

Neue berechtigte Versionen gelangen ohne weiteren Auswahlschritt in den Freigabebereich des Unternehmens. Dateien durchlaufen weiterhin ihren normalen Prüf- und Veröffentlichungsstatus.

Beide Optionen kombinieren

Ein Unternehmen kann beide Modelle einsetzen.

Ein Industrieprodukt kann ausgewählte Versionen nutzen. Ein Standard-Softwareprodukt kann die automatische Einbeziehung nutzen.

Sie brauchen nicht für jede Produktlinie dieselbe Freigaberegel.

Der Unternehmensbereich setzt die Freigabeobergrenze

Der Freigabebereich des Unternehmens ist der größte Nachweissatz, der über Kundenbereiche verfügbar ist.

Jeder Kunde übernimmt diesen Bereich oder erhält einen engeren. Ein Kunde erhält nie mehr, als das Unternehmen freigegeben hat.

Eine Änderung bei einem Kunden ändert nichts bei einem anderen Kunden.

Das unterstützt unterschiedliche Geschäftsbeziehungen:

Ein engerer Kundenbereich verringert außerdem das Risiko einer versehentlichen Überfreigabe.

Einkaufsteams brauchen keine internen Notizen. Kunden brauchen keine Nachweise für unveröffentlichte Produkte.

Veröffentlichen Sie die Dateien, die zur Kundenbeziehung passen

Der verfügbare Veröffentlichungssatz deckt gängige Produktnachweise ab.

Sie können freigeben:

• SBOM-Dateien, die mit der veröffentlichten Version verknüpft sind
• VEX-Dokumente, die den Schwachstellenstatus festhalten
• CSAF-Sicherheitshinweise
• generierte EU-Konformitätserklärungen
• generierte Benutzerinformationen und Anleitungen
• Versionspakete
• einzeln ausgewählte freigegebene Dokumente

Hardware-Stücklisten sind nicht Teil des aktuellen Veröffentlichungssatzes des Kundenportals.

Die Freigabe bleibt eine Entscheidung des Herstellers. Das Portal veröffentlicht nicht standardmäßig jede interne Datei.

Beginnen Sie mit den Dokumenten, die Kunden bereits anfragen. Ergänzen Sie neue Dateitypen, wenn die Geschäftsbeziehung sie erfordert.

Nutzen Sie für die SBOM-Planung den Leitfaden zu den CRA-SBOM-Anforderungen.

Tokens halten Kundenbereiche getrennt

Kundenbereiche erfordern ein Zugriffstoken. Sie sind keine anonymen öffentlichen Seiten.

Ihr Team erstellt das Token für einen benannten Kunden. Das Token im Klartext erscheint einmalig bei der Erstellung. Die Plattform speichert dessen Hash und nicht den Klartextwert.

Sie können ein Ablaufdatum festlegen. Sie können das Token rotieren, wenn sich ein Ansprechpartner ändert. Sie können es widerrufen, wenn die Beziehung endet.

Das schafft einen klaren Zugriffsprozess, ohne Kundennutzer in den internen Arbeitsbereich des Herstellers aufzunehmen.

Kunden durchsuchen den Katalog in ihrem Browser. Sie können auch ein maschinenlesbares Manifest in einem internen Workflow nutzen.

Der Download-Verlauf unterstützt Nachfragen

Das Portal erfasst Kundenaktivität und Downloads.

Dieser Verlauf hilft, praktische Fragen zu beantworten:

• Welcher Kunde hat auf den Bereich zugegriffen
• Welche Datei oder welches Paket wurde heruntergeladen
• Wann der Download stattgefunden hat
• Welches Token den Kunden repräsentierte

Der Verlauf zeigt die Auslieferung, er beweist nicht, dass der Kunde ein Dokument gelesen oder akzeptiert hat.

Halten Sie Abnahmebedingungen im Kundenvertrag fest. Nutzen Sie den Portalverlauf als Nachweis der Auslieferung.

Kontrollierter Self-Service erspart wiederholte E-Mail-Arbeit

Die erste Nachweisanfrage eines Kunden wirkt oft klein.

Jemand sucht die Dateien. Jemand prüft die Version. Jemand gibt die E-Mail frei. Jemand versendet den Anhang.

Dieselbe Arbeit wiederholt sich beim nächsten Kunden.

Das Kundenportal verlagert diesen Aufwand auf den Veröffentlichungsschritt. Nach der Freigabe rufen Kunden die verfügbaren Nachweise selbst ab.

Der Hersteller steuert weiterhin jedes freigegebene Produkt und jede Version.

Dieses Modell eignet sich für:

• Nachweispakete für die Beschaffung
• Prüfungen zur Produktintegration
• Sicherheitsbewertungen durch Kunden
• versionsbezogene Dokumentenlieferung
• fortlaufenden Zugriff während eines Supportvertrags

Ein einfacher Einstieg beginnt mit einem Kunden

Beginnen Sie nicht damit, das gesamte Portfolio zu veröffentlichen.

Wählen Sie ein Produkt und einen Kunden.

Ermitteln Sie zunächst die Dateien, die dieser Kunde bereits anfragt. Verknüpfen Sie jede Datei mit der richtigen Produktversion.

Legen Sie anschließend den Freigabebereich des Unternehmens für dieses Produkt fest. Wählen Sie ausgewählte Versionen oder die automatische Einbeziehung.

Erstellen Sie dann den Kundenbereich. Nutzen Sie einen engeren Kundenbereich, wenn der Vertrag es erfordert.

Öffnen Sie abschließend den Bereich mit dem ausgestellten Token. Prüfen Sie Produktkatalog, Versionsseite, Dateinamen und Paket.

Wiederholen Sie das Muster, sobald der erste Bereich korrekt eingerichtet ist.

Nutzen Sie für die umfassenderen internen Unterlagen den Leitfaden zur technischen Dokumentation.

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische Compliance-Hinweise wenden Sie sich an qualifizierte Rechtsberater mit Erfahrung im EU-Produktrecht.