Open Source im Cyber Resilience Act
2026-08-01
Wann Open-Source-Software unter den CRA fällt, was die Open-Source-Steward-Rolle bedeutet und welche Pflichten Hersteller für eingebundene Komponenten tragen.
Die Ausnahme für nicht-kommerzielle Open Source
Open-Source-Software, die ohne Gewinnerzielungsabsicht entwickelt und bereitgestellt wird, fällt nicht unter den CRA. Entscheidend ist das Geschäftsmodell, nicht die Lizenz: Sobald für die Software selbst, für Support oder für eine gehostete Variante gezahlt wird, ist die Ausnahme fraglich.
Auch Sponsorings und Spenden gefährden die Ausnahme nicht automatisch — entscheidend ist, ob die Entwicklung der Software gegen Entgelt erfolgt.
Die Rolle des Open-Source-Stewards
Der CRA führt mit dem Open-Source-Steward eine eigene Rolle für Organisationen ein, die die Entwicklung freier Software systematisch unterstützen — etwa Stiftungen. Stewards müssen eine Sicherheitsrichtlinie vorhalten und mit den Behörden zusammenarbeiten, unterliegen aber nicht den vollen Herstellerpflichten.
Hersteller haften für eingebundene Komponenten
Wer eine Open-Source-Bibliothek in sein kommerzielles Produkt einbindet, übernimmt dafür die volle Verantwortung als Hersteller. Das betrifft die Stückliste der Software-Bestandteile ebenso wie die Meldepflicht: Eine aktiv ausgenutzte Schwachstelle in einer eingebundenen Bibliothek ist eine Schwachstelle Ihres Produkts.
Praktisch heißt das: Ohne aktuelle SBOM wissen Sie bei der nächsten weitverbreiteten Bibliotheks-Schwachstelle nicht, welche Ihrer Produkte betroffen sind — und können die 24-Stunden-Frist nicht einhalten.
Häufige Fragen
Gilt der CRA für Open-Source-Projekte?
Nicht für Software, die ohne Gewinnerzielungsabsicht entwickelt und bereitgestellt wird. Kommerzielle Angebote rund um die Software können die Ausnahme entfallen lassen.
Was ist ein Open-Source-Steward im CRA?
Eine Organisation, die die Entwicklung freier Open-Source-Software systematisch unterstützt. Stewards brauchen eine dokumentierte Sicherheitsrichtlinie, unterliegen aber nicht den Herstellerpflichten.
Wer ist verantwortlich, wenn eine eingebundene OSS-Bibliothek eine Schwachstelle hat?
Der Hersteller des kommerziellen Produkts. Er muss die Komponente in seiner Stückliste führen, die Schwachstelle bewerten und gegebenenfalls melden.