Cyber Resilience Act: was Hersteller zu Open Source wissen sollten.
Stand: · ALVPHA Tech GmbH
Die Fristen
- 10. Dezember 2024: Inkrafttreten der Verordnung
- 11. Juni 2026: Vorschriften zu Konformitätsbewertungsstellen (Kapitel IV)
- 11. September 2026: Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (Art. 14)
- 11. Dezember 2027: volle Anwendung aller Anforderungen
Was Hersteller zu Schwachstellen und Komponenten tun müssen
- Komponenten ermitteln und dokumentieren, unter anderem mit einer SBOM in einem gängigen maschinenlesbaren Format, die zumindest die obersten Abhängigkeiten abdeckt (Anhang I Teil II Nr. 1)
- Schwachstellen unverzüglich behandeln und beheben, unter anderem durch Sicherheitsaktualisierungen
- die gebotene Sorgfalt bei der Integration von Komponenten Dritter walten lassen, ausdrücklich auch bei freier und quelloffener Software (Art. 13 Abs. 5)
- aktiv ausgenutzte Schwachstellen melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur (Art. 14 Abs. 2)
Und die Open-Source-Projekte selbst?
Freie und quelloffene Software, die nicht im Rahmen einer Geschäftstätigkeit bereitgestellt wird, fällt grundsätzlich nicht unter die Herstellerpflichten. Für Organisationen, die solche Software für kommerzielle Zwecke systematisch unterstützen, führt der CRA die Rolle des Verwalters quelloffener Software (Open-Source Steward) mit leichteren Pflichten ein. Die Verantwortung für ein Produkt bleibt beim Hersteller, der die Komponenten integriert.
Womit Teams sinnvoll beginnen
- Releasebezogene SBOM für die wichtigsten Produkte erzeugen
- Triage-Prozess mit Zuständigkeiten und Fristen festlegen
- Meldeweg für aktiv ausgenutzte Schwachstellen vorbereiten
- Prüfstand und offene Risiken für Kunden und Behörden nachvollziehbar dokumentieren
Häufige Fragen
Gilt der CRA auch für reine Software?
Ja, sofern sie als Produkt mit digitalen Elementen in der EU bereitgestellt wird. Ob und wie ein konkretes Produkt erfasst ist, sollte im Einzelfall rechtlich geprüft werden.
Müssen wir für jede Open-Source-Komponente haften?
Der Hersteller verantwortet die Cybersicherheit seines Produkts einschließlich integrierter Komponenten und muss dabei die gebotene Sorgfalt walten lassen. Die Projekte selbst werden dadurch nicht zu Lieferanten im vertraglichen Sinn.
QUELLEN
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex
- BSI TR-03183-2: Software Bill of Materials (SBOM)
Dieser Artikel dient der fachlichen Orientierung und ist keine Rechtsberatung. Maßgeblich sind die verlinkten Primärquellen in ihrer jeweils geltenden Fassung.
Wo steht Ihr Team?
Der kostenlose Trust Check ordnet Ihre Selbstauskunft in sieben Dimensionen ein, von Komponentenbestand bis Nachweisfähigkeit. Für konkrete Fälle vereinbaren wir ein Erstgespräch.
Passende Leistung: Schwachstellenbearbeitung