Cyber Resilience Act Schutz für das Open-Source-Ökosystem

Anbieter zum Thema

OSB Alliance Open Source Business Alliance e.V.

FTAPI Software GmbH

Nach erfolgreichen Trilogverhandlungen haben sich die Europäische Kommission, das Europäische Parlament und der Rat der Europäischen Union nun auf den finalen Text zum Cyber Resilience Act (CRA) geeinigt. Die aktualisierte Version des CRA berücksichtigt auch die Bedenken aus der Open-Source-Community bezüglich einer drohenden Überregulierung.

Die abschließenden Trilogverhandlungen am 30. November waren erfolgreich und die Europäische Kommission, das Europäische Parlament sowie der Rat der Europäischen Union wurden sich beim finalen Text für den Cyber Resilience Act einig. Bereits vor den Verhandlungen klangen von Seiten der Open-Source-Community, wie etwa der Open Source Business Alliance, Stimmen, die Kritik an dem Entwurf äußerten und betonten, dass durch diesen nicht nur eine Überregulierung drohe, sondern er zudem zur Rechtsunsicherheit im deutschen und europäischen Open-Source-Ökosystem führe. Die finale Version des CRA berücksichtigt nun jedoch die speziellen Anforderungen der Open-Source-Branche und will durch präzisere Formulierungen die Probleme umgehen.

Präzise Regelungen für mehr Klarheit

Im Gegensatz zur vorherigen Version definiert der finale Text genau, was mit „kommerzieller Aktivität“ gemeint ist. Zuvor hatte die Open-Source-Community moniert, dass durch die vage Definition des Begriffs auch ehrenamtlich engagierte Einzelpersonen, Projekte, Stiftungen, NGOs, Hochschulen oder öffentliche Verwaltungen unter die Regulierung des CRA fallen könnten. Der finale Text klärt nun deutlich, dass das reine Verfügbarmachen von Open-Source-Software nicht reguliert wird, solange die Anbieter damit keinen Gewinn erzielen möchten.

Berücksichtigung der Entwicklungskomplexität

Auch in Recital 10 des CRA wurden präzisierende Formulierungen eingeführt. Diese sollen klar abgrenzen, welche Aktivitäten im Zusammenhang mit der Verbreitung von Open-Source-Software unter die Sicherheitsanforderungen und Dokumentationspflichten des Cyber Resilience Act fallen werden. Ausgenommen sind so etwa Softwareprodukte, die von öffentlichen Verwaltungen ausschließlich für die eigene Verwendung entwickelt werden.

Ob ein Softwareprodukt im Rahmen einer „commercial activity“ reguliert wird, wird über dessen Einführung in den Markt, nicht aber über die Entwicklungsphase entschieden. So berücksichtigt der Text, dass kommerzielle Open-Source-Lösungen oftmals aus zahlreichen Komponenten bestehen, die auf unterschiedliche Weise entwickelt wurden und die Entwicklungsmodelle vielseitig und komplex sind. Ebenfalls ausgenommen von der Regulierung sind Einzelpersonen, die Quellcode zu Open-Source-Produkten beitragen, für die sie nicht die Gesamtverantwortung tragen. Deshalb wird Software auch nicht automatisch als kommerziell eingeordnet, wenn sich im Rahmen der Entwicklung professionelle Hersteller finanziell oder inhaltlich an der Entwicklung der Software beteiligen.

Durch diese Änderungen im Text wird der CRA den Erwartungen der OSB Alliance gerecht. Diese hatte gefordert, dass nicht die (ehrenamtlichen) Entwicklerinnen und Entwickler einer Open-Source-Software in die Pflicht genommen werden, sondern die „In-Verkehr-Bringer“, die auf dem fertigen Produkt ein Geschäftsmodell aufbauen.

Ein neues Konzept: Open-Source-Software-Stewards

Ebenfalls neu ist das Konzept der Open-Source-Software-Stewards. Dies betrifft Akteure, die zwar keine Softwarehersteller sind, trotzdem aber regelmäßig Support für die Weiterentwicklung von Open-Source-Software bieten. Gemeint sind hier insbesondere Stiftungen und Nonprofit-Organisationen, die zwar am kommerziellen Vertrieb von Open-Source-Software beteiligt sind, jedoch keine Gewinne erzielen. Ihnen kommt eine verantwortungsvolle Rolle bei der Qualitätssicherung der entsprechenden Software zu, deshalb unterliegen sie einer passgenaueren und milderen Regulierung im Vergleich zu klassischen kommerziellen Herstellern, behalten aber dennoch die Verantwortung für die Einrichtung einer Cybersicherheitsstrategie in ihrer Organisation, können Sicherheitslücken melden und mit den Marktüberwachungseinrichtungen kooperieren.

Die Open-Source-Software-Stewards stellen so also einen Kompromiss dar, die Akteure und Organisationen, die sich vorher nicht eindeutig den kommerziellen oder den nicht-kommerziellen Akteuren zuordnen ließen, zu differenzieren. So besteht keine Gefahr, dass Einrichtungen wie etwa Stiftungen oder Non-profit-Organisationen strenge Anforderungen auferlegt bekommen, die aufgrund von Faktoren wie beispielsweise Ressourcenmangel für sie nicht erfüllbar sind.

Positive Resonanz der Open Source Business Alliance

Peter Ganten, Vorstandsvorsitzender der Open Source Business Alliance, äußerte sich positiv zum Trilogergebnis. Er betonte: „Die in unserem Verband organisierten kommerziellen Open-Source-Unternehmen sehen sich in der Verantwortung, sichere Software anzubieten und der Cyber Resilience Act wird mit den jetzt beschlossenen Sicherheitsanforderungen dazu beitragen, die allgemeine Qualität und Sicherheit von digitalen Produkten zu verbessern.“ Die Berücksichtigung der Bedenken und des Feedbacks im nicht-kommerziellen Open-Source-Bereich zeigten außerdem, so Ganten, das Bemühen, die Komplexität des Open-Source-Ökosystems zu verstehen.

Dennoch merkte er auch an: „Natürlich besteht immer die Gefahr, dass es am Ende Spezialfälle oder Grauzonen gibt, die im Text nicht final gelöst wurden oder die erst im Nachgang ins Auge fallen. Insgesamt ist das Trilogergebnis aber ein wichtiger und begrüßenswerter Schritt hin zu mehr Cybersicherheit auf dem europäischen Binnenmarkt.“

(ID:49845171)