Open Source im Cyber Resilience Act
Stand: 1. August 2026
Wann Open-Source-Software unter den CRA fällt, was die Open-Source-Steward-Rolle bedeutet und welche Pflichten Hersteller für eingebundene Komponenten tragen.
Die Ausnahme für nicht-kommerzielle Open Source
Open-Source-Software, die ohne Gewinnerzielungsabsicht entwickelt und bereitgestellt wird, fällt nicht unter den CRA. Entscheidend ist das Geschäftsmodell, nicht die Lizenz: Sobald für die Software selbst, für Support oder für eine gehostete Variante gezahlt wird, ist die Ausnahme fraglich.
Auch Sponsorings und Spenden gefährden die Ausnahme nicht automatisch. Entscheidend ist, ob die Entwicklung der Software gegen Entgelt erfolgt.
Die Rolle des Open-Source-Stewards
Der CRA führt mit dem Open-Source-Steward eine eigene Rolle für Organisationen ein, die die Entwicklung freier Software systematisch unterstützen, etwa Stiftungen. Stewards müssen eine Sicherheitsrichtlinie vorhalten und mit den Behörden zusammenarbeiten, unterliegen aber nicht den vollen Herstellerpflichten.
Hersteller haften für eingebundene Komponenten
Wer eine Open-Source-Bibliothek in sein kommerzielles Produkt einbindet, übernimmt dafür die volle Verantwortung als Hersteller. Das betrifft die Stückliste der Software-Bestandteile ebenso wie die Meldepflicht: Eine aktiv ausgenutzte Schwachstelle in einer eingebundenen Bibliothek ist eine Schwachstelle Ihres Produkts.
Praktisch heißt das: Ohne aktuelle SBOM wissen Sie bei der nächsten weitverbreiteten Bibliotheks-Schwachstelle nicht, welche Ihrer Produkte betroffen sind. Die 24-Stunden-Frist können Sie dann nicht einhalten.
Häufige Fragen
Gilt der CRA für Open-Source-Projekte?
Nicht für Software, die ohne Gewinnerzielungsabsicht entwickelt und bereitgestellt wird. Kommerzielle Angebote rund um die Software können die Ausnahme entfallen lassen.
Was ist ein Open-Source-Steward im CRA?
Eine Organisation, die die Entwicklung freier Open-Source-Software systematisch unterstützt. Stewards brauchen eine dokumentierte Sicherheitsrichtlinie, unterliegen aber nicht den Herstellerpflichten.
Wer ist verantwortlich, wenn eine eingebundene OSS-Bibliothek eine Schwachstelle hat?
Der Hersteller des kommerziellen Produkts. Er muss die Komponente in seiner Stückliste führen, die Schwachstelle bewerten und gegebenenfalls melden.
Quelle
Verordnung (EU) 2024/2847 im Volltext auf eur-lex.europa.eu
Verbindlich ist ausschließlich der Verordnungstext in seiner jeweils geltenden Fassung.