Cyber Resilience Act: Entwarnung für Open Source, Pflichtenheft für Hersteller

Ein neuer EU-Leitfaden schafft Klarheit bei Updates, Haftung und Supportfristen. Wer für Code kassiert, muss liefern. Viele Open-Source-Entwickler können aufatmen.

Herstellern, Entwicklern und Unternehmen hat die EU-Kommission am Montag eine Orientierungshilfe für die praktische Umsetzung des Cyber Resilience Act (CRA) an die Hand gegeben. Die Brüsseler Regierungsinstitution hat ihren offiziellen Leitfaden nebst detailliertem Anhang vorgelegt, um Wirtschaftsakteure auf die bevorstehenden Pflichten zur IT-Sicherheit und Meldewesen vorzubereiten. Das Regelwerk, das prinzipiel bereits seit Dezember 2024 in Kraft ist, stellt erstmals EU-weit einheitliche Mindeststandards für die Cybersicherheit digitaler Produkte über deren gesamten Lebenszyklus hinweg auf.

Mit der Veröffentlichung der Orientierungshilfe beantwortet die Kommission nach eigener Darstellung zentrale Fragen der Industrie und widmet sich der Reduzierung bürokratischer Hürden. Das Dokument erläutert demnach praxisnah, welche Erzeugnisse konkret unter den Anwendungsbereich fallen, wie wesentliche Produktveränderungen einzustufen sind, nach welchen Maßstäben Supportzeiträume bemessen werden und wie Risikoanalysen sowie gesetzliche Berichtspflichten im Arbeitsalltag umzusetzen sind.

Ein Schwerpunkt liegt auf der Entlastung von Startups sowie kleinen und mittleren Unternehmen, für die komplexe Compliance-Anforderungen oft eine besondere Herausforderung darstellen. Anschauliche Fallbeispiele und Anwendungsszenarien sollen Rechtssicherheit schaffen, ohne unnötigen Verwaltungsaufwand zu erzeugen.

Besondere Aufmerksamkeit widmet die Handreichung der Abgrenzung bei Open-Source-Software. Die Kommission stellt klar, dass die reine Bereitstellung von freier Software ohne kommerzielle Monetarisierung nicht als Inverkehrbringen gilt. Erst wenn Entwickler oder Organisationen für solche Programme Entgelte verlangen, damit verbundene Dienstleistungen monetarisieren oder personenbezogene Daten zu Werbezwecken verarbeiten, greifen die strengen Pflichten für Hersteller.

Für nicht-kommerzielle Open-Source-Akteure hat der EU-Gesetzgeber die spezifische Rolle der Stewards geschaffen, deren Pflichtenpaket deutlich zielgerichteter ausfällt und sich primär auf die Gewährleistung der dauerhaften Verlässlichkeit der Software beschränkt.

Ebenfalls präzisiert wird der Begriff der wesentlichen Änderung bei Software-Updates. Wer reine Sicherheitsaktualisierungen bereitstellt, um Schwachstellen zu schließen oder das Risikoniveau zu senken, nimmt in der Regel keine wesentliche Veränderung vor und muss folglich kein neues Konformitätsbewertungsverfahren durchlaufen. Erst wenn funktionale Erweiterungen das ursprüngliche Risikoprofil signifikant verändern oder neue Bedrohungsvektoren eröffnen, gilt das Produkt als neu auf dem Markt platziert. Bei physischen Reparaturen und Ersatzteilen gilt: Baugleiche Komponenten, die zur Reparatur geliefert werden, sind vom Anwendungsbereich ausgenommen.

„Dieser Leitfaden ist Teil unserer Vereinfachungsagenda", erklärte Henna Virkkunen, Vizepräsidentin der Kommission für Tech-Souveränität. Er helfe Firmen, ihre Pflichten unter dem CRA pünktlich zu erfüllen. „Ein cybersicheres Europa und ein unternehmensfreundliches Europa gehen Hand in Hand: Die heutigen Leitlinien tragen dazu bei, dass Produkte auf unserem Markt vor Cyberbedrohungen geschützt sind, während unnötige Belastungen und Rechtsunsicherheiten für Unternehmen vermieden werden.“

Die Dringlichkeit einer präzisen Umsetzung hat sich zuletzt durch Entwicklungen im Bereich der KI-Modelle der nächsten Generation mit ausgeprägten Cybersicherheitsfähigkeiten verschärft. Der zeitliche Fahrplan steht fest: Die ersten verbindlichen Berichterstattungspflichten gemäß Kapitel IV werden am 11. September 2026 wirksam. Die vollständige Anwendung aller Vorgaben folgt zum 11. Dezember 2027. Bis dahin soll der Leitfaden Betroffenen eine Richtschnur bieten, um die Umstellungsphase effizient und rechtskonform zu gestalten.

Stefan Krempl