Zusammenfassung

  • Barry O'Donovan unterschied auf der RIPE 93 zwischen einzelnen Codebeiträgen, dauerhaft unterstützten Open-Source-Projekten und Produkten, die ein Hersteller auf den Markt bringt. Der Cyber Resilience Act knüpft unterschiedliche Pflichten an diese Rollen.
  • Hersteller müssen seit dem 11. September 2026 bestimmte ausgenutzte Schwachstellen melden. Die entsprechende Meldepflicht für Open-Source-Software-Stewards beginnt am 11. Dezember 2027; ihre Pflicht zu einer dokumentierten Sicherheitsstrategie steht in Artikel 24.

Vom Gesetzestext zum Arbeitstag

Die Ankündigung seines RIPE-93-Vortrags versprach eine Brücke von NIS2 zur Softwarelieferkette. O'Donovan machte sie mit einer einfachen Abfolge greifbar: Ein Betreiber nutzt offene Software; jemand meldet eine Lücke; jemand anderes muss entscheiden, was im Code geändert und wann ein Update ausgeliefert wird. Die EU-Kommission nennt eine juristische Person, die ein bestimmtes offenes Produkt für kommerzielle Nutzung dauerhaft trägt, Steward. Ein Hersteller, der ein Produkt vermarktet, steht an einer anderen Stelle.

Ein öffentliches Repository oder eine Spende entscheidet die Einordnung nicht allein. Artikel 24 der Verordnung verlangt vom Steward eine nachprüfbar dokumentierte Strategie für Entwicklung und den Umgang mit Schwachstellen, einschließlich Erfassung und Behebung. O'Donovan berichtete im offiziellen Protokoll, seine Organisation habe acht Monate zuvor einen Entwickler eingestellt. Dessen Arbeit umfasse inzwischen auch Meldungen aus KI-gestützter Sicherheitsforschung. Das ist seine Beschreibung einer konkreten Stelle; sie zeigt, wo die Last ankommt.

Der Zeitplan der Kommission beginnt für Hersteller im September 2026 und für Stewards im Dezember 2027. Eine zentrale Plattform verteilt Meldungen an den zuständigen nationalen CSIRT und ENISA. Doch ein Formular schließt keine Sicherheitslücke. Die operative Frage lautet, wer eine Meldung bewertet und einen Patch verantwortet, während die rechtliche Frist noch läuft.

Maria Matejka fragte in der Diskussion, wer die Grenze zwischen Steward und Hersteller ziehen werde. O'Donovan rechnete mit Gerichtsverfahren. Im Raum wurde keine Organisation verbindlich eingestuft. Gerade deshalb sollte der Netzbetreiber seine Abhängigkeiten nicht nur mit Lizenz und Version erfassen, sondern mit Sicherheitskontakt, Wartungsverantwortung und Updateweg. Wenn diese drei Felder leer sind, ist die Versorgungskette an ihrer empfindlichsten Stelle anonym.

Quellen: RIPE-93-Vortrag; Protokoll; EU-Verordnung; Kommission zu Open Source; Meldezeitplan.