Cyber Resilience Act: EU-Kommission schafft mehr Klarheit für Open Source

Orientierungshilfe für eine komplexe Regulierung

Mit dem Inkrafttreten des Cyber Resilience Act (CRA) im Dezember 2024 hat die Europäische Union einen neuen Standard für die Cybersicherheit digitaler Produkte gesetzt. Um Herstellern, Entwicklern und Unternehmen den Übergang in diese neue regulatorische Ära zu erleichtern, hat die EU-Kommission nun einen umfassenden Leitfaden veröffentlicht. Auf über 80 Seiten konkretisiert das Dokument, wie die Anforderungen an die Sicherheit digitaler Produkte über deren gesamten Lebenszyklus hinweg in der Praxis auszulegen sind.

Die Handreichung dient als wichtige Interpretationshilfe für zentrale Aspekte wie die Abgrenzung betroffener Produkte, die Definition wesentlicher Software-Updates und die Festlegung von Support-Zeiträumen. Ziel ist es, den Verwaltungsaufwand insbesondere für Startups sowie kleine und mittlere Unternehmen (KMU) durch praxisnahe Szenarien zu minimieren.

Open Source: Schutz vor Überregulierung

Ein wesentlicher Schwerpunkt des Leitfadens liegt auf der Einordnung von Open-Source-Software. Während der Verhandlungen zum CRA äußerten Entwickler und Stiftungen die Sorge, dass die neuen Haftungs- und Dokumentationspflichten ehrenamtliche Projekte gefährden könnten. Die EU-Kommission stellt nun klar: Frei verfügbare Open-Source-Software ist grundsätzlich vom Anwendungsbereich des CRA ausgenommen, sofern sie nicht im Rahmen einer kommerziellen Tätigkeit vertrieben wird.

Wann greift der CRA bei Open Source?

Die Kommission definiert präzise, unter welchen Bedingungen eine kommerzielle Tätigkeit vorliegt, die eine Einstufung als Hersteller im Sinne der Verordnung rechtfertigt:

* **Verkauf von Software:** Direkter Vertrieb oder das Angebot kostenpflichtiger Enterprise-Versionen.

* **Monetarisierung:** Nutzung der Software als Basis für andere kostenpflichtige Dienste.

* **Datenabfrage:** Wenn Nutzer zur Bereitstellung personenbezogener Daten verpflichtet werden, die über Sicherheits- oder Interoperabilitätszwecke hinausgehen.

* **Spenden als Zugangsvoraussetzung:** Wenn finanzielle Zuwendungen faktisch die Bedingung für den Erhalt der Software oder essenzieller Updates darstellen.

Kostenfreie Beratungsangebote, Schulungen oder rein freiwillige Spenden führen hingegen nicht automatisch dazu, dass ein Projekt unter den CRA fällt.

Rollenverteilung: Wer trägt die Verantwortung?

Ein weiterer wichtiger Punkt ist die Unterscheidung zwischen einfachen Mitwirkenden und den Verantwortlichen für ein Projekt. Wer lediglich Fehler behebt oder neue Funktionen einreicht, unterliegt nach den Erläuterungen der Kommission nicht den Pflichten des CRA. Die Verantwortung liegt bei den Akteuren, die die Kontrolle über Releases, Fahrpläne und die Steuerung des Projekts ausüben.

Zudem wird die Rolle der sogenannten „Stewards“ – etwa Stiftungen oder Organisationen, die Projekte technisch oder organisatorisch unterstützen – präzisiert. Deren Pflichten skalieren mit dem Grad ihrer Einbindung. Während rein administrative Unterstützung kaum Verpflichtungen nach sich zieht, können Organisationen, die Infrastruktur betreiben oder aktiv das Sicherheitsmanagement steuern, in die Pflicht genommen werden, etwa bei der Meldung von Sicherheitsvorfällen.

Wesentliche Änderungen und Update-Zyklen

Der Leitfaden schafft zudem Klarheit darüber, welche Software-Updates als „wesentlich“ einzustufen sind. Updates, die primär dazu dienen, Schwachstellen zu schließen oder das Sicherheitsniveau aufrechtzuerhalten, lösen in der Regel kein neues Konformitätsbewertungsverfahren aus. Anders verhält es sich bei Funktionserweiterungen, die das Risikoprofil des Produkts verändern oder neue Angriffsflächen eröffnen könnten. Auch bei Reparaturen gibt es Entwarnung: Die Lieferung identischer Ersatzteile gilt nicht als erneutes Inverkehrbringen.

Zeitplan und Ausblick

Obwohl der Leitfaden rechtlich nicht bindend ist, wird er für Unternehmen und nationale Marktaufsichtsbehörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) zur maßgeblichen Richtschnur für die Auslegung der Verordnung. Die EU-Kommission betont, dass die Handreichung Teil einer Entlastungsagenda ist, um ein cybersicheres Europa zu fördern, ohne die Innovationskraft der Wirtschaft zu schwächen.

Angesichts der rasanten Entwicklung leistungsfähiger KI-Modelle mit Cyberfähigkeiten gewinnt die Umsetzung des CRA an Dringlichkeit. Die ersten Meldepflichten werden ab dem 11. September 2026 wirksam, während die vollständige Einhaltung aller Vorgaben für Hersteller ab dem 11. Dezember 2027 verpflichtend ist.