Black Duck veröffentlicht BSIMM16: KI und regulatorische Anforderungen verändern die Prozesse der Anwendungssicherheit
Die größte Anwendungssicherheitsstudie der Branche zeigt, wie Organisationen sich an KI-generierten Code, staatliche Vorgaben und sich weiterentwickelnde Schulungsmethoden anpassen.
Am 4. Februar 2026 wurde die 16. Ausgabe des Building Security In Maturity Model (BSIMM) veröffentlicht, die aufzeigt, wie Organisationen weltweit ihre Software-Sicherheitsinitiativen (SSIs) transformieren, um die Risiken zu managen, die durch die Einführung von KI, zunehmenden regulatorischen Druck und die Notwendigkeit agilerer Sicherheitsansätze entstehen.
Hauptrisiken und Herausforderungen
Erstmals in der 16-jährigen Geschichte von BSIMM hat KI alle anderen Faktoren überholt, die die Sicherheitsprioritäten beeinflussen. Die umfassende Studie basiert auf Bewertungen von 111 Organisationen aus verschiedenen Branchen, darunter Finanzdienstleistungen, Gesundheitswesen, Technologie und unabhängige Softwareanbieter (ISVs). Der Bericht bietet beispiellose Einblicke in die realen Praktiken der Anwendungssicherheit, die etwa 91.200 Anwendungen schützen, die von 223.700 Entwicklern erstellt wurden.
Wichtige Trends und Erkenntnisse
Die BSIMM16-Studie zeigt mehrere Schlüsselerkenntnisse:
- KI als zentrale Herausforderung: Organisationen sichern jetzt KI-gestützte Codierungsassistenten und verteidigen sich gleichzeitig gegen KI-unterstützte Angriffe. Der Bericht hebt drei wesentliche Veränderungen hervor: einen Anstieg von 10 % bei Teams, die Bedrohungsintelligenz nutzen, um aufkommende KI-Schwachstellen zu verfolgen; einen Anstieg von 12 % bei der Nutzung von Risikobewertungsmethoden zur Bestimmung, wo von LLM generierter Code sicher eingesetzt werden kann; und einen Anstieg von 10 % bei der Anwendung benutzerdefinierter Regeln für automatisierte Code-Überprüfungstools, um Probleme zu erkennen, die speziell für KI-generierten Code typisch sind.
- Regulatorische Anforderungen als Treiber: Globale Vorgaben zwingen Organisationen, die Anwendungssicherheit zu stärken, wobei der Schwerpunkt auf der Transparenz der Software-Lieferkette und der Sicherung der Entwicklungsumgebungen liegt. Fast 30 % mehr Organisationen erstellen jetzt SBOMs (Software Bill of Materials), um den Transparenzanforderungen gerecht zu werden. Der Bericht verzeichnet außerdem einen Anstieg von über 50 % bei der automatisierten Überprüfung der Infrastruktur-Sicherheit und mehr als 40 % beim effizienten Umgang mit verantwortungsvoller Schwachstellenoffenlegung, bedingt durch das EU-Cyber-Resilienz-Gesetz und sich entwickelnde Anforderungen der US-Regierung.
- Sicherheit der Software-Lieferkette: Organisationen erweitern ihren Fokus über intern entwickelte Codes hinaus, um das gesamte Ökosystem der Software-Lieferkette zu sichern. Neben dem deutlichen Anstieg der SBOM-Adoption für bereitgestellte Software zeigt die BSIMM16 einen Anstieg von über 40 % bei der Etablierung standardisierter Technologiestacks, was deutliche Anzeichen dafür sind, dass die Sicherheit der Lieferkette eine Kernpriorität wird.
- Schulungen zur Anwendungssicherheit: Traditionelle mehrtägige Sicherheitsschulungen werden durch zeitgerechte, in kleinen Portionen bereitgestellte Lerninhalte ersetzt, die in moderne Entwicklungsabläufe und Lernanforderungen passen. Der Bericht berichtet von einem Anstieg von 29 % bei Organisationen, die Expertise über offene Kollaborationskanäle bereitstellen, was den Teams sofortigen Zugang zu Sicherheitsrichtlinien ermöglicht. Bemerkenswert ist, dass nach Jahren des Rückgangs die traditionelle Bewusstseinsschulung wieder ansteigt.
Schlussfolgerung
Die realen Risiken von KI-generiertem Code sind nicht offensichtlich; es ist die Illusion der Korrektheit. Code, der poliert und professionell aussieht, kann ernsthafte Sicherheitsmängel verbergen. In der aktuellen Landschaft der KI-gestützten Entwicklung sind SBOMs entscheidend, da sie Organisationen die Transparenz bieten, um genau zu verstehen, was in ihrer Software enthalten ist, egal ob es von Menschen, KI oder Dritten geschrieben wurde. Mit dem Anstieg regulatorischer Vorgaben bewegen sich SBOMs über die reine Compliance hinaus und werden zu einer grundlegenden Infrastruktur für das Risikomanagement.
