// HEISE ONLINE — LINUX & OPEN SOURCE
Cyber Resilience Act: EU-Kommission schafft mehr Klarheit für Open Source
Ein Brüsseler Leitfaden konkretisiert die Cyberresilienz-Verordnung. Hersteller und Open-Source-Projekte erhalten Rechtsgewissheit vor Start der Meldepflichten.
Vor dem Greifen erster Meldepflichten des Cyber Resilience Act (CRA) gibt die EU-Kommission Herstellern, Entwicklern und Firmen eine Orientierungshilfe an die Hand. Der am Montag veröffentlichte Leitfaden erläutert auf gut 80 Seiten, wie die Cybersicherheitsverordnung auszulegen ist. Das reicht von der Abgrenzung betroffener Produkte über wesentliche Software-Updates bis zu Regeln für Open Source. Der CRA selbst ist bereits seit Dezember 2024 in Kraft und schreibt EU-weit einheitliche Mindestanforderungen an die Cybersicherheit digitaler Produkte über deren gesamten Lebenszyklus vor.
Nach Angaben der Kommission beantwortet die Handreichung zentrale Fragen aus der Industrie. Sie soll Betroffenen helfen, die Vorgaben rechtssicher umzusetzen. Der Leitfaden erläutert etwa, welche Produkte überhaupt unter den CRA fallen, wie entscheidende Überarbeitungen von Programmen einzuordnen und nach welchen Maßstäben Support-Zeiträume zu bestimmen sind.
Dazu kommen Hinweise, wie Risikoanalysen sowie Meldepflichten praktisch erfüllt werden können. Besonderes Augenmerk legt die EU-Kommission auf Startups sowie kleine und mittlere Unternehmen. Zahlreiche Praxisbeispiele und Anwendungsszenarien sollen Unklarheiten beseitigen und unnötigen Verwaltungsaufwand vermeiden.
Großen Raum widmet die Kommission freier und quelloffener Software. Während der Verhandlungen über den CRA warnten Entwickler und Open-Source-Stiftungen, dass ehrenamtliche Projekte durch neue Haftungs- und Dokumentationspflichten abgeschreckt werden könnten.
Die Kommission versucht, diese Befürchtungen auszuräumen. Frei verfügbare Open-Source-Software fällt demnach grundsätzlich nicht unter den CRA, solange sie nicht im Rahmen einer kommerziellen Tätigkeit auf den Markt gebracht wird. Sie erläutert nun, wann eine solche vorliegt. Wer Open-Source-Software verkauft, kostenpflichtige Enterprise-Versionen anbietet oder über ein Programm andere Dienste monetarisiert, gilt als Hersteller im CRA-Sinne.
Ähnlich sieht es aus, wenn Nutzer personenbezogene Daten zu anderen Zwecken als für Sicherheit oder Interoperabilität bereitstellen müssen oder Spenden faktisch Voraussetzung für den Zugang zur Software oder zu essenziellen Updates sind. Umgekehrt sollen freiwillige Zuwendungen, öffentliche Förder- oder Sponsorengelder allein noch keine kommerzielle Tätigkeit begründen. Auch kostenpflichtige Beratungs-, Schulungs- oder Supportangebote führen nicht automatisch dazu, dass ein Open-Source-Projekt unter den CRA fällt – sofern die Software selbst frei verfügbar bleibt.
Für viele Entwickler dürfte eine weitere Klarstellung wichtig sein. Die Kommission unterscheidet ausdrücklich zwischen Projektzuständigen und Zulieferern. Wer lediglich Fehler behebt oder neue Funktionen einreicht, trägt demnach grundsätzlich keine Verantwortung nach dem CRA. Anders ist es bei Personen oder Organisationen, die ein Projekt veröffentlichen und die Kontrolle über Releases, Fahrpläne und die Steuerung ausüben. Allein Schreibrechte im Quellcode-Repository reichen dafür nicht aus.
Auch die Rolle der „Stewards“ wird klarer. Dazu können etwa Stiftungen oder andere Organisationen gehören, die Open-Source-Projekte dauerhaft organisatorisch oder technisch unterstützen, ohne sie selbst zu vermarkten. Deren Pflichten hängen davon ab, wie intensiv sie eingebunden sind: Wer lediglich Community-Arbeit übernimmt, hat deutlich geringere Verpflichtungen als Organisationen, die Infrastruktur betreiben oder aktiv an Entwicklung und Sicherheitsmanagement mitwirken. Je nach Art der Unterstützung können für Stewards auch Meldepflichten für Sicherheitsvorfälle oder ausgenutzte Schwachstellen gelten.
Ferner erläutert die Kommission, wann eine Änderung an einem Produkt als „wesentlich“ gilt. Updates, die ausschließlich Schwachstellen schließen oder das bestehende Sicherhei