Wie ein Prozessstandard Shift Left, Kollaboration und Traceability ermöglichte

📌 Konferenz-Tipp: TACON 2026 in Leipzig (16.–17. September). Ich war letztes Jahr als Keynote dort und fand den Austausch richtig gut 👉 https://swt.fm/tacon

„Wenn beim Pull-Request viele Issues aufgetreten sind, dann hat ein Entwickler gar nicht getestet, ob das noch läuft." - Holger Santelmann

In dieser Episode spreche ich mit Holger Santelmann darüber, wie sein Team die Norm IEC 62443-4-1 für sichere Softwareentwicklung nicht nur umgesetzt, sondern tatsächlich lieben gelernt hat. Holger zeigt, wie sie aus einem gefürchteten Papier-Monster einen lebendigen Prozess gemacht haben, der die Zusammenarbeit zwischen Entwicklung und Software Testing verbessert statt behindert. Besonders spannend: Statt trockene Compliance-Übungen haben sie Trainings entwickelt, die jedes Security-Requirement praktisch aufschlüsseln, Test Collaboration Meetings etabliert und die Independence of Testers kreativ über Kompetenz-Center gelöst.

Holger Santelmann ist Dipl.-Medieninformatiker (FH) und verfügt über mehr als 20 Jahre Erfahrung in der Softwareentwicklung. Er hat als Senior Software Developer bei der Firma M&M Software GmbH angefangen und sich in den letzten Jahren immer mehr auf das Thema Release- bzw. Testmanagement spezialisiert. Als Leiter des Competence Centers Quality Engineering treibt er das Thema Qualitätssicherung innerhalb der Firma M&M Software GmbH weiter voran und unterstützt den Softwareentwicklungsprozess.

Highlights:

Die IEC 62443-4-1 deckt als Prozessstandard einen Großteil der Anforderungen des Cyber Resilience Act ab, der ab Dezember 2027 verpflichtend wird und Hersteller digitaler Produkte zur nachweisbaren Cybersicherheit zwingt.
Independence of Testers bedeutet konkret, dass Tester und Entwickler nicht an dieselbe Führungskraft berichten dürfen, was besonders in kleinen Unternehmen organisatorische Lösungen wie ein Kompetenzzentrum erfordert.
Eine Gap-Analyse des bestehenden Prozesses vor der Norm-Einführung spart erheblichen Aufwand, weil sie zeigt, wie groß das tatsächliche Delta ist, bevor man in Trainings und Zertifizierung investiert.
Test-Collaboration-Meetings, in denen Entwickler und QA-Ingenieure gemeinsam Teststrategien pro Backlog-Item festlegen, verhindern späte Überraschungen im Pull-Request und verschieben ungeklärte Fragen bewusst nach links im Prozess.
Prozess-Trainings dienen nicht nur der Norm-Erfüllung, sondern reaktivieren implizites Prozesswissen, das im Arbeitsalltag verloren gegangen ist, und schaffen Traceability-Bewusstsein quer durchs Team.

Weitere Links zur Episode:

Cyper- & Software-Security