Vor dem Greifen erster Meldepflichten des Cyber Resilience Act (CRA) gibt die EU-Kommission Herstellern, Entwicklern und Firmen eine Orientierungshilfe an die Hand. Der am Montag veröffentlichte Leitfaden erläutert auf gut 80 Seiten, wie die Cybersicherheitsverordnung auszulegen ist. Das reicht von der Abgrenzung betroffener Produkte über wesentliche Software-Updates bis zu Regeln für Open Source. Der CRA selbst ist bereits seit Dezember 2024 in Kraft und schreibt EU-weit einheitliche Mindestanforderungen an die Cybersicherheit digitaler Produkte über deren gesamten Lebenszyklus vor.

Nach Angaben der Kommission beantwortet die Handreichung zentrale Fragen aus der Industrie. Sie soll Betroffenen helfen, die Vorgaben rechtssicher umzusetzen. Der Leitfaden erläutert etwa, welche Produkte überhaupt unter den CRA fallen, wie entscheidende Überarbeitungen von Programmen einzuordnen und nach welchen Maßstäben Support-Zeiträume zu bestimmen sind.

Dazu kommen Hinweise, wie Risikoanalysen sowie Meldepflichten praktisch erfüllt werden können. Besonderes Augenmerk legt die EU-Kommission auf Startups sowie kleine und mittlere Unternehmen. Zahlreiche Praxisbeispiele und Anwendungsszenarien sollen Unklarheiten beseitigen und unnötigen Verwaltungsaufwand vermeiden.

Open Source soll nicht ausgebremst werden

Großen Raum widmet die Kommission freier und quelloffener Software. Während der Verhandlungen über den CRA warnten Entwickler und Open-Source-Stiftungen, dass ehrenamtliche Projekte durch neue Haftungs- und Dokumentationspflichten abgeschreckt werden könnten.

Die Kommission versucht, diese Befürchtungen auszuräumen. Frei verfügbare Open-Source-Software fällt demnach grundsätzlich nicht unter den CRA, solange sie nicht im Rahmen einer kommerziellen Tätigkeit auf den Markt gebracht wird. Sie erläutert nun, wann eine solche vorliegt. Wer Open-Source-Software verkauft, kostenpflichtige Enterprise-Versionen anbietet oder über ein Programm andere Dienste monetarisiert, gilt als Hersteller im CRA-Sinne.

Ähnlich sieht es aus, wenn Nutzer personenbezogene Daten zu anderen Zwecken als für Sicherheit oder Interoperabilität bereitstellen müssen oder Spenden faktisch Voraussetzung für den Zugang zur Software oder zu essenziellen Updates sind. Umgekehrt sollen freiwillige Zuwendungen, öffentliche Förder- oder Sponsorengelder allein noch keine kommerzielle Tätigkeit begründen. Auch kostenpflichtige Beratungs-, Schulungs- oder Supportangebote führen nicht automatisch dazu, dass ein Open-Source-Projekt unter den CRA fällt – sofern die Software selbst frei verfügbar bleibt.

Was genau sind Open-Source-Stewards?

Für viele Entwickler dürfte eine weitere Klarstellung wichtig sein. Die Kommission unterscheidet ausdrücklich zwischen Projektzuständigen und Zulieferern. Wer lediglich Fehler behebt oder neue Funktionen einreicht, trägt demnach grundsätzlich keine Verantwortung nach dem CRA. Anders ist es bei Personen oder Organisationen, die ein Projekt veröffentlichen und die Kontrolle über Releases, Fahrpläne und die Steuerung ausüben. Allein Schreibrechte im Quellcode-Repository reichen dafür nicht aus.

Auch die Rolle der „Stewards“ wird klarer. Dazu können etwa Stiftungen oder andere Organisationen gehören, die Open-Source-Projekte dauerhaft organisatorisch oder technisch unterstützen, ohne sie selbst zu vermarkten. Deren Pflichten hängen davon ab, wie intensiv sie eingebunden sind: Wer lediglich Community-Arbeit übernimmt, hat deutlich geringere Verpflichtungen als Organisationen, die Infrastruktur betreiben oder aktiv an Entwicklung und Sicherheitsmanagement mitwirken. Je nach Art der Unterstützung können für Stewards auch Meldepflichten für Sicherheitsvorfälle oder ausgenutzte Schwachstellen gelten.

Ferner erläutert die Kommission, wann eine Änderung an einem Produkt als „wesentlich“ gilt. Updates, die ausschließlich Schwachstellen schließen oder das bestehende Sicherheitsniveau erhalten beziehungsweise verbessern, lösen demnach in der Regel kein neues Konformitätsbewertungsverfahren aus. Anders kann es aussehen, wenn neue Funktionen das Risikoprofil eines Produkts verändern oder zusätzliche Angriffsflächen schaffen. Auch für Reparaturen schafft der Leitfaden Klarheit: Werden nur identische Ersatzteile geliefert, gilt dies nicht als erneutes Inverkehrbringen des Produkts.

Die Uhr tickt

Die Orientierungshilfe konkretisiert zudem Anforderungen, etwa an Risikoanalysen und die künftigen Meldepflichten. Zwar ist der Leitfaden rechtlich nicht bindend. Er dürfte aber für Hersteller und nationale Marktaufsichtsbehörden maßgeblich dafür werden, wie die Verordnung in der Praxis ausgelegt wird. Die Bundesregierung hat dafür das Bundesamt für Sicherheit in der Informationstechnik (BSI) vorgesehen.

EU-Kommissionsvizepräsidentin Henna Virkkunen bezeichnete die Handreichung als Teil der Brüsseler Entlastungsagenda. Sie solle Unternehmen helfen, ihre neuen Pflichten fristgerecht und rechtssicher umzusetzen. Ein cybersicheres und ein unternehmensfreundliches Europa gingen Hand in Hand. Nach Ansicht der Kommission gewinnt der CRA durch die Fortschritte leistungsfähiger KI-Modelle mit Cyberfähigkeiten an Bedeutung. Die ersten Meldepflichten werden am 11. September 2026 wirksam. Hersteller müssen der Verordnung ab 11. Dezember 2027 vollständig nachkommen.

(wpl)