Paketkennung: v0.7.4. Vorbereitung und Veröffentlichungsgrenze. Die Release-Seite und der externe Archivnachweis belegen die Veröffentlichung, nicht dieser Vorbereitungsstand. Frühere Versionsnachweise unten bleiben historisch.
Package identity: v0.7.4. The release page and external archive evidence prove publication, not this preparation snapshot. Earlier version records below remain historical.
Release-Abschluss und Verbesserungsprofil / Publication closeout and improvement profile.
Der unten verlinkte Basispaket-Nachweis bleibt historisch; dieses Paket nimmt die Quellenkorrekturen als neue Version auf.
The linked base-package evidence remains historical; this package includes the source corrections as a new version.
Leserpfad / Reader path: Deutsch: Einstieg, Begriffe und Fehlerhilfe · English: start, terms and troubleshooting.
Historisches Basispaket v0.7.3. Der Release-Stand wird getrennt geprüft; ein Commit auf main ist noch keine Veröffentlichung oder Installation.
Historical base package v0.7.3. The release page records actual publication separately; a main-branch commit is not publication or installation.
Patch 0.7.3 liefert die verbesserte zweisprachige Einstiegs- und Kompositionsdokumentation. Verhalten und Berechtigungsgrenzen bleiben erhalten. Release-Nachweis / Release record.
Patch 0.7.3 packages the improved bilingual getting-started and composition guide. Behavior and authority boundaries remain unchanged.
Version: 0.7.4
Status: Veröffentlichung über die Release-Seite prüfen / verify publication on the release page
Priority: 10
Requires: Spec-Kit >=0.8.0 (uses the wrap and append composition
strategies introduced in 0.8.x).
Beginne im initialisierten Ziel-Repository mit Installation und Prüfung.
Danach beschreibe das Feature und seine Risiken. Das Manifest
bindet Architektur-unabhängige Security-Anweisungen über wrap an
Specify/Plan/Tasks und über append an deren Dokumentvorlagen und Constitution.
Dies ergänzt Anweisungen, führt aber keine Scanner oder Reviews aus.
Eigenständige Evidence-Starter und das Agent-Guidance-Addendum werden nur
bereitgestellt; ihre Registrierung belegt weder Verwendung noch ausgefüllte
Nachweise. Nenne Starter und konkrete Zielpfade ausdrücklich.
Start in an initialized target repository with installation and verification, then describe the feature and risks. The manifest wraps Specify/Plan/Tasks and appends security guidance to their document templates and the constitution. This integrates instructions, not scanner or review execution. Standalone evidence starters and the agent-guidance addendum are available separately; registration proves neither use nor completed evidence. Explicitly name relevant starters and output paths.
Beispiel: Für eine neue HTTP-API verwende standard-applicability-template
als Einstieg, asvs-verification-template für den vereinbarten Prüf-Scope
und security-checklist-template für sprachbezogene Prüfungen. Plane
docs/security/asvs-verification.md und konkrete Test-/Review-Tasks.
Regulatorische Fragen werden getrennt im
regulatory-applicability-template erfasst, nicht aus einem ASVS-Ergebnis
abgeleitet. Das ist ein Ablaufvorschlag, kein bestandenes Assessment.
Example: for a new HTTP API, start with standard-applicability-template,
use asvs-verification-template for the agreed verification scope and
security-checklist-template for language-specific review. Plan
docs/security/asvs-verification.md and concrete test/review tasks. Record
regulatory questions separately through regulatory-applicability-template;
an ASVS result does not decide them. This is a workflow example, not a pass.
Specify nennt Scope und Anwendbarkeit; Plan benennt Nachweise und Prüfungen;
Tasks benennt verbleibende Arbeit und konkrete Evidence-Dateien. Erst die
beauftragte Umsetzung und Prüfung erzeugt belastbare Ergebnisse. Bestehende
Evidence sichten und gezielt aktualisieren. Applicable bedeutet nicht
„bestanden“; N/A braucht Begründung, Open Owner und Folgeaktion.
Specify records scope/applicability, Plan names evidence/verification, and Tasks identifies remaining work and evidence files. Authorized execution and review produce actual results. Inspect and update existing evidence rather than duplicating it. Applicable is not passed; justify N/A and assign an owner and follow-up to Open.
Priorität ist Auflösungsrang, keine Ausführungsreihenfolge: kleinere Zahl
bedeutet höhere Priorität. append ergänzt, wrap verschachtelt und
replace kann gleichnamige Beiträge verdrängen; Projekt-Overrides können
Preset-Inhalte ersetzen. Eigene Reihenfolgen und Drittanbieter-Kombinationen
sind nicht pauschal geprüft. Prüfe die Kompositionskette mit
specify preset resolve plan-template und die erzeugten Agentenflächen.
specify check prüft Werkzeuge, nicht die Wahrheit der Security-Evidence.
Priority is resolution precedence, not execution order: lower numbers win precedence. Append adds, wrap nests, and replace can hide same-name layers; project overrides can replace preset content. Custom ordering and third-party combinations are not universally tested. Inspect plan-template resolution and generated agent instructions. Specify check checks tools, not security evidence.
Leserpfad / Reader path: Installation → Evidenzvorlagen / Evidence Templates → Prüfung / Verification → Fehlersuche / Troubleshooting.
Dieses Standard-Preset bringt sichere Code-Erzeugung, Secure-SDLC-Nachweise,
MSL-Governance, Supply-Chain-Transparenz und regulatorische
Anwendbarkeitsprüfung in Spec-Kit-Workflows. Es bleibt bewusst auf Code,
Abhängigkeiten, Build-Integrität und Entwicklungsprozess fokussiert;
architektonische Sicherheitstiefe liegt im Preset architecture-governance.
This standard preset injects secure code generation, Secure SDLC evidence,
MSL governance, supply-chain transparency, and regulatory applicability
screening into Spec-Kit workflows. It deliberately stays focused on code,
dependencies, build integrity, and development process; secure-architecture
depth belongs to the architecture-governance preset.
Das Qualitätsziel ist überprüfbare Security-Governance pro Spec-Kit-Lauf:
akzeptierte Anforderungen, nachvollziehbare Anwendbarkeit, konkrete
Sprachregeln, dokumentierte N/A-Entscheidungen und auditierbare Evidence.
The quality goal is reviewable security governance per Spec-Kit run: accepted
requirements, traceable applicability, concrete language rules, documented
N/A decisions, and auditable evidence.
Dieses Preset eignet sich, wenn:
- Projekte Web-, API-, Release-, Dependency- oder Build-Risiken haben;
- Teams sichere Code-Erzeugung in
spec.md,plan.mdundtasks.mdsichtbar machen wollen; - Organisationen wiederverwendbare Evidence-Stubs für Secure SDLC, SBOM, AI-SBOM, ASVS, CRA und Regulatorik brauchen;
- Lern- und Referenzprojekte Security-Entscheidungen nachvollziehbar und CEFR-B2-lesbar dokumentieren sollen.
Use this preset when projects have web, API, release, dependency, or build risk; when teams want secure-code prompts visible in specs, plans, and tasks; when organizations need reusable evidence stubs for Secure SDLC, SBOM, AI-SBOM, ASVS, CRA, and regulation; or when learning projects should document security decisions in a traceable, CEFR-B2-friendly way.
- Addenda für Constitution, Spec, Plan, Tasks und Agent-Guidance
- Wrapper für
speckit.specify,speckit.planundspeckit.tasks - Secure-Coding-Sprachprofile für C, C#/.NET, Rust, Go, Swift, Java/Kotlin, Python, TypeScript/JavaScript, SQL, Bash und PowerShell
- Evidence-Vorlagen für Standards, MSL, Secure Coding, Checklisten, Dependency Audit, ASVS, Supply Chain, CRA und Regulatorik
- auditfähige Spec-Kit-Run-Evidence-Felder für Anwendbarkeit,
N/A-Begründung, Reviewer, Evidence-Pfad, Restrisiko und Follow-up
The preset provides addenda for the main Spec-Kit artifacts and agent guidance, wraps the normal Specify/Plan/Tasks flow, supplies language-specific secure-coding profiles, and includes evidence templates for standards, MSL, secure coding, dependency audits, ASVS, supply chain, CRA, and regulatory screening.
Das Preset führt keine SAST-Scans, Dependency-Audits, SBOM-Erzeugung,
Regulierungsbewertung oder Remote-Prüfung selbst aus. Es ersetzt keine
Rechtsberatung und trifft keine Projektentscheidung für Applicable oder
N/A. Es erteilt keine Repository-, Merge-, Bypass-, Deployment-, Secret-
oder Provider-Administrationsrechte.
The preset does not run SAST, dependency audits, SBOM tooling, regulatory assessments, or remote checks by itself. It does not replace legal advice and does not make project applicability decisions. It grants no repository, merge, bypass, deployment, secret, or provider-administration authority.
Vor der Installation sollten vorhanden sein:
- eine kompatible GitHub Spec-Kit CLI;
- eine gültige Spec-Kit-Integration im Ziel-Repository;
- versionierte Constitution und Agent-Guidance;
- ein geklärter Ort für Security-Evidence, standardmäßig
docs/security/; - ein Projektverständnis für Runtime, Release-Form und regulatorische Rolle.
Before installation, use a compatible GitHub Spec-Kit CLI, a valid Spec-Kit integration, versioned constitution and agent guidance, a clear evidence location, and a basic understanding of runtime, release shape, and regulatory role.
v0.7.1 bindet den Installationsbefehl direkt auswertbar auf einer Zeile an das aktuelle Tag-ZIP. Der regulatorische Inhalt bleibt gegenueber v0.7.0 unveraendert. Historische Tags und Archive bleiben unveraendert; Release- und Integrationsnachweise sind getrennt. Siehe Patch-Nachweis. v0.7.1 binds the one-line installation command to its exact tag archive. Regulatory content is unchanged from v0.7.0. Historical tags and archives remain immutable; release and consumer integration evidence remain separate.
specify preset add --from https://github.com/hindermath/spec-kit-preset-security-governance/archive/refs/tags/v0.7.4.zip --priority 10
specify preset info security-governancespecify preset add --dev /path/to/security-governance --priority 10
specify preset info security-governanceDieses Preset ist die erste Stufe der normalen Governance-Matrix:
| Priority | Preset |
|---|---|
| 10 | security-governance |
| 20 | architecture-governance |
| 30 | isaqb-architecture-governance |
| 40 | a11y-governance |
| 50 | cross-platform-governance |
| 60 | agent-parity-governance |
Priority 10 gives this preset high resolution precedence in the recommended composition, not an execution schedule. Other presets can add architecture, accessibility, cross-platform and parity guidance; inspect the effective composition to ensure security requirements remain present.
XI. Memory-Safe Languages (MSL) Preference for Level-2 ProjectsXII. Secure Code Generation- security-related applicability rules from
XIV XV. Secure SDLC & Verification StandardsXVI. Supply-Chain Transparency & Build IntegrityXIX. EU Cyber Resilience Act (CRA) & Regulatory Applicability Awareness
MSL preferenceNIST SSDF(SP 800-218)CWE Top 25OWASP ASVSwith explicit Level 1/2/3 selectionSBOMandVEXAI-SBOM/ G7 SBOM for AI minimum elementsSLSAOpenSSF ScorecardEU CRA(Regulation (EU) 2024/2847)NIS2,EU AI Act, andDORAas applicability screening topicsGDPR/ DS-GVO with independent privacy and DPIA-threshold evidence
MSL-Best-Practices entstehen aus zwei Regeln: XI steuert die Sprachwahl,
XII steuert die sichere Nutzung der gewählten Sprache. Eine MSL ist deshalb
kein Ersatz für konkrete API-, I/O-, Auth-, SQL-, Crypto-, Logging- oder
Dependency-Prüfung.
MSL best practice is the combination of two rules: XI governs language
choice and XII governs secure use of the selected language. A memory-safe
language does not replace concrete API, I/O, auth, SQL, crypto, logging, or
dependency review.
- Security-Abschnitte an
constitution-template,spec-template,plan-templateundtasks-templateanhängen - ein eigenständiges Agent-Guidance-Addendum bereitstellen
speckit.specify,speckit.planundspeckit.tasksmit einem gemeinsamen Security-Workflow umhüllen- konkrete Evidence-Vorlagen für sichere Entwicklung, CRA/Regulatorik, Supply Chain und sprachspezifische Secure-Coding-Regeln liefern
standard-applicability-templatemsl-applicability-templatesecure-coding-language-rules-templatesecurity-checklist-templatedependency-audit-templateasvs-verification-templatesupply-chain-evidence-templatecra-applicability-templateregulatory-applicability-templategdpr-applicability-templateai-act-applicability-templatenis2-applicability-templatedora-applicability-template
Default evidence location: docs/security/. MSL justification may live in the
feature spec, local constitution, or another governance document, but should
be referenced from planning artifacts.
- AI-SBOM for the released product may be
N/Awhen AI is only development tooling; GDPR and AI Act tool-operation screening remain independent. - AI models, AI services, training or embedding datasets, inference infrastructure, or AI runtime components in the released or operated system trigger AI-SBOM evidence.
- NIS2, CRA, EU AI Act, DORA, sector-specific rules, and customer or
supply-chain obligations are screened through
regulatory-applicability-template. - Training/reference projects require separately justified decisions for product, development tooling and operating organisation; no blanket N/A.
specify preset list
specify preset info security-governance
specify preset resolve regulatory-applicability-template
specify checkPrüfe zusätzlich, ob die Security-Evidence-Orte im Projekt existieren oder im Plan ausdrücklich als zu erzeugende Artefakte stehen.
Also verify that the project either already contains the security evidence locations or explicitly plans their creation.
Prüfe mit specify preset list den Installationsbestand und mit
specify preset resolve plan-template die Kompositionskette. Prüfe zusätzlich,
ob lokale Templates denselben Abschnitt bereits enthalten.
Ergänze eine kurze Begründung mit Evidence-Pfad, Reviewer und Follow-up. Ein
leeres N/A ist keine prüffähige Entscheidung.
Nutze architecture-governance zusätzlich, wenn Trust Boundaries,
Threat-Modeling, Zero Trust, S-ADRs oder Cloud-Assurance über die Code- und
SDLC-Ebene hinausgehen.
v0.6.2 veröffentlicht den agentenneutralen model-routing.json-Vertrag für
die Komposition mit Model Routing Governance; Sicherheitsregeln bleiben
unverändert.
v0.6.2 publishes the agent-neutral model-routing.json contract for
composition with Model Routing Governance; security rules are unchanged.
v0.6.1 trennt technische Security-Gates von Null-Schritt-Provider- oder
Billing-Ablehnungen, begrenzt N/A-Ausnahmen und stellt klar, dass ein
Admin-Bypass weder Exact-Head-Evidence noch Sicherheitsprüfung ersetzt.
v0.6.1 separates technical security gates from zero-step provider or
billing refusals, bounds N/A exceptions, and clarifies that administrator
bypass replaces neither exact-head evidence nor security validation.
v0.6.0 ergänzt auditfähige Spec-Kit-Run-Evidence-Felder, damit generierte
Markdown-Dokumente und Checklisten Anwendbarkeit, N/A-Begründung, Reviewer,
Evidence-Pfad, Restrisiko und Follow-up pro standardsrelevantem Spec-Kit-Lauf
aufzeichnen können.
v0.6.0 adds audit-ready Spec-Kit run evidence fields so generated Markdown
documents and checklists can record applicability, N/A rationale, reviewer,
evidence path, residual risk, and follow-up per standards-relevant Spec-Kit
run.
- kompatibel mit Spec-Kit
>=0.8.0 - priorisiert als Stufe
10 - kombinierbar mit den übrigen Governance-Presets
- keine automatischen Remote-, Merge-, Scan- oder Provider-Aktionen
- alle Standards- und Regulierungsentscheidungen bleiben projektbezogene Evidence
MIT. See LICENSE.
DE: DS-GVO, KI-VO, CRA, NIS2 und DORA getrennt fuer Beispielprogramm, Entwicklungswerkzeuge und nutzende Organisation pruefen. Rechtliche Rollen, Land, datierte Rechtsquelle und Anwendungszeitpunkt nennen; direkte Pflichten von vertraglichen Kunden-/Lieferkettenanforderungen trennen. Unbekannt bleibt Open mit Owner, Aktion und Frist. N/A braucht Begruendung und Trigger. AI-SBOM: N/A entscheidet nicht ueber DS-GVO oder KI-VO. Ausbildung ist keine allgemeine Ausnahme. Security fuehrt die Anwendbarkeit; Architecture referenziert diese Entscheidung fuer Datenfluesse, Schutz und Resilienz. Technische Pruefung ist keine Rechtsfreigabe. Historische Evidence erhalten. EN: Assess GDPR, AI Act, CRA, NIS2 and DORA separately for the sample product, development tooling and operating organisation. Record roles, jurisdiction, dated legal source and application date; separate direct and contractual duties. Unknown remains Open with owner, action and due date; N/A needs rationale and trigger. AI-SBOM: N/A does not decide GDPR/AI Act applicability. Education is not a blanket exemption. Security owns applicability; Architecture links decisions to data flows, safeguards and resilience. Technical validation grants no legal approval; preserve historical evidence.
Use regulatory-applicability-template as the index and link gdpr-applicability-template, ai-act-applicability-template, cra-applicability-template, nis2-applicability-template and dora-applicability-template where relevant. An unfilled record is not evidence.
DE: v0.7.0 liefert vier neue portable Vorlagen fuer Datenschutz, KI-VO, NIS2 und DORA und praezisiert CRA. Bestehende Schnittstellen bleiben erhalten. EN: v0.7.0 adds four portable records and precise CRA screening without changing existing commands or granting compliance approval.