Cyberresilienzgesetz – Open Source

Wie spricht die CRA freie und quelloffene Software an?

Die Ratingagentur erkennt an, dass zur Förderung der Entwicklung und des Einsatzes freier und quelloffener Software der Art der verschiedenen Entwicklungsmodelle von Software, die unter Lizenzen für freie und quelloffene Software vertrieben und entwickelt wird, besondere Aufmerksamkeit gewidmet werden sollte.  

Aus diesem Grund fällt nur freie und quelloffene Software, die auf dem Markt bereitgestellt und daher für den Vertrieb oder die Verwendung im Rahmen einer kommerziellen Tätigkeit bereitgestellt wird, in den Anwendungsbereich des Cyberresilienzgesetzes. Insbesondere sollte die Bereitstellung von Produkten mit digitalen Elementen, die als freie und quelloffene Software gelten und von ihren Herstellern nicht monetarisiert werden, nicht als kommerzielle Tätigkeit betrachtet werden. Darüber hinaus gilt die CRA nicht für Entwickler, die mit Quellcode zu freier und quelloffener Software beitragen, für die sie nicht verantwortlich sind.

Darüber hinaus wird in Anerkennung der Bedeutung vieler Produkte mit digitalen Elementen, die als freie und quelloffene Software gelten und im Sinne der Ratingagentur veröffentlicht, aber nicht auf dem Markt bereitgestellt werden, für die Cybersicherheit die neue rechtliche Kategorie der Verwalter quelloffener Software eingeführt. Dabei handelt es sich um juristische Personen, die die Entwicklung solcher Produkte, die für kommerzielle Tätigkeiten bestimmt sind, nachhaltig unterstützen und die eine Hauptrolle bei der Gewährleistung ihrer Lebensfähigkeit spielen, und die einem einfachen und maßgeschneiderten Regulierungssystem unterliegen.

Abschnitt 3 der Leitlinien der Kommission zur Ratingagentur enthält weitere Erläuterungen zur Anwendung der Ratingagentur auf freie und quelloffene Software.

Was sind die wichtigsten Verpflichtungen?  

Wenn ein Hersteller ein Produkt mit digitalen Elementen in Verkehr bringt, bei dem es sich um eine freie und quelloffene Software handelt, unterliegt er den Pflichten der Hersteller.

Wenn eine juristische Person sie nicht in Verkehr bringt, sondern die Entwicklung bestimmter Produkte mit digitalen Elementen, die als freie und quelloffene Software gelten und für kommerzielle Tätigkeiten bestimmt sind, systematisch und nachhaltig unterstützt und die Lebensfähigkeit dieser Produkte sicherstellt, unterliegt sie den Verpflichtungen von Verwaltern quelloffener Software.

quelloffene Software-Verwalter unterliegen den in Artikel 24 festgelegten Verpflichtungen, insbesondere der Einführung einer Cybersicherheitspolitik, um die sichere Entwicklung und den sicheren Umgang mit Schwachstellen zu fördern; Zusammenarbeit mit den Marktüberwachungsbehörden; Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle, die sich auf die Sicherheit von Produkten mit digitalen Elementen auswirken. Gemäß Artikel 64 Absatz 10 werden quelloffene Softwareverwalter bei Verstößen gegen die Ratingagentur nicht mit Geldbußen belegt.

Einschlägige Kooperationsgremien

Vertreter von freier und quelloffener Software sind Mitglieder der Expertengruppe zur Cybersicherheit von Produkten mit digitalen Elementen (CRA-Expertengruppe).

Referenzdokumente und Links

Häufig gestellte Fragen zur Umsetzung der Ratingagentur

Leitlinien der Kommission zur Ratingagentur

Private Ressourcen in der Open-Source-Community zur Unterstützung der CRA-Implementierung

Open-Source-Communities haben eine Reihe frei zugänglicher Ressourcen auf der CRA entwickelt. Dies sind private Initiativen und werden im Folgenden nur zu Informationszwecken aufgeführt. Die Kommission unterstützt oder empfiehlt keine spezifische Initiative und überprüft nicht die Richtigkeit der in solchen externen Links bereitgestellten Informationen. Eine nicht erschöpfende Liste enthält:

• OpenChain CRA Compliance Anforderungen & Checkliste
• Die Open Regulatory Compliance Working Group (ORC AG) zur Ratingagentur
• Die Open Source Initiative arbeitet an harmonisierten Normen
• Der OpenSSF-Kurs zur CRA

Die Kommission ist nicht verantwortlich für die Richtigkeit der unter den oben genannten Links bereitgestellten Informationen; Sie werden gebeten, sich mit uns in Verbindung zu setzen, wenn Sie Initiativen oder Ressourcen in der Ratingagentur auflisten möchten.