EU-Cyberresilienz-Verordnung: Eine neue Herausforderung für Open-Source-Projekte

Der EU-Cyberresilienz-Act: Eine neue Herausforderung für Open-Source-Projekte wird von BTW Media profiliert, weil veröffentlichte Nachweise Verbindungen zur Internet-Infrastruktur, Governance, Betriebsabhängigkeiten oder Marktsichtbarkeit aufzeigen.

• Die EU-Cyberresilienz-Verordnung (CRA) steht kurz davor, die Art und Weise, wie digitale Produkte in der Europäischen Union reguliert werden, neu zu definieren.
• Bei der Präsentation der RIPE-Community desRIPE NCC, veröffentlicht am 12. Dezember 2024, erläuterte der Datenschutz- und Compliance-Experte August Bournique die Auswirkungen der CRA, insbesondere für Open-Source-Software.

Was passiert ist

DieCRA,die 2024 offiziell verabschiedet wurde, ist die neueste Initiative der EU zur Gewährleistung der Sicherheit und Transparenz digitaler Produkte mit Netzwerkkomponenten. Bis 2027 müssen alle betroffenen Produkte strenge Sicherheitsanforderungen erfüllen. Dieser Zeitplan umfasst mehrere Phasen, beginnend mit der obligatorischen Meldung von Sicherheitsverletzungen und Schwachstellen durch die Hersteller im Jahr 2026.

Ab 2027 müssen die Hersteller technische Dokumentationsstandards einhalten und Zertifizierungen für ihre Produkte erwerben. Die CRA führt auch eine für Verbraucher sichtbare Kennzeichnung ein, um die Konformität eines Produkts mit den EU-Normen anzuzeigen. Dies soll zwar die Sicherheit zwischen den Mitgliedstaaten harmonisieren, bringt jedoch Herausforderungen mit sich, insbesondere für kleine Einrichtungen wie Open-Source-Projekte.

Lesen Sie auch:Europäische Kommission veröffentlicht FAQ zu nachhaltiger Finanzierung
Lesen Sie auch:Virkkunen und Ribera leiten die EU-Telekomregulierung 2024

Bournique betonte, dass Open-Source-Projekte in der Regel von der CRA ausgenommen sind, es sei denn, sie haben eine kommerzielle Dimension. Die Bestimmung, was ein 'kommerzielles' Open-Source-Projekt ausmacht, bleibt jedoch unklar. Beispielsweise qualifizieren Spenden oder die Bereitstellung von Wartungsdiensten ein Projekt nicht unbedingt als kommerziell. Projekte, die explizit zur Integration in kommerzielle Produkte verkauft werden, könnten hingegen in den Anwendungsbereich der CRA fallen.

Das Gesetz stützt sich auch stark auf Selbstbewertung und Zertifizierung, was laut Bournique aufgrund der begrenzten Ressourcen für die Durchsetzung problematisch sein könnte. Die Europäische Agentur für Cybersicherheit, ENISA, und nationale Teams sollen die Einhaltung überwachen, aber mit nur etwa hundert Mitarbeitern in der Hauptregulierungsbehörde könnte die Last bei den Herstellern liegen, um sicherzustellen, dass sie die Anforderungen erfüllen.

Warum es wichtig ist

Die CRA zielt darauf ab, das Verbrauchervertrauen zu stärken und die Cybersicherheitsstandards zu vereinheitlichen, aber ihr breiter Anwendungsbereich könnte unbeabsichtigte Folgen haben. Open-Source-Entwickler, die oft außerhalb traditioneller kommerzieller Rahmen arbeiten, sind unsicher, ob und wie die CRA auf ihre Arbeit angewendet wird. Obwohl die meisten nicht-kommerziellen Projekte wahrscheinlich ausgenommen sind, könnten Projekte, die in kommerziellen Produkten verwendet werden, dennoch auf Compliance-Hürden stoßen.

Bournique erwähnte, dass selbst mit Ausnahmen kleine Organisationen mit rechtlichen Unklarheiten und potenziellen Kosten für die Einhaltung der Vorschriften zu kämpfen haben könnten. Für kommerzielle Open-Source-Projekte könnte die Navigation durch die CRA bedeuten, einen Rechtsberater zu engagieren oder Strafen zu riskieren. Es gibt jedoch Zugeständnisse für kleine Unternehmen, wie reduzierte Geldstrafen, und es laufen Bemühungen, industriespezifische Standards durch NGOs wie die Linux Foundation zu etablieren.

Die CRA signalisiert auch einen Wandel in der Art und Weise, wie Regulierungsbehörden die Sicherheit digitaler Produkte wahrnehmen. Indem sie der Cybersicherheit bereits in der Entwicklungsphase Priorität einräumt, hofft die EU, Sicherheitsverletzungen zu verhindern, anstatt nur darauf zu reagieren. Wie Bournique jedoch anmerkte, wird sich die Durchsetzung wahrscheinlich im Laufe der Zeit weiterentwickeln, wobei die Auslegungen des Gesetzes seine praktische Anwendung prägen werden.

Bourniques Präsentation auf der RIPE NCC-Veranstaltung war angesichts der Auswirkungen der CRA auf die Open-Source-Community besonders aktuell. Mit seiner Erfahrung in der Behandlung von Datenschutz- und Compliance-Fragen lieferte er wesentliche Einblicke, wie diese Verordnung die aktuellen Praktiken in Frage stellen könnte. Da das Open-Source-Ökosystem eine entscheidende Rolle bei der Entwicklung von Netzwerktechnologien spielt, stellt die CRA sowohl ein Hindernis als auch eine Gelegenheit dar, den Ansatz zur digitalen Sicherheit zu überdenken.

Da die Frist 2027 näher rückt, müssen Organisationen und Entwickler die Entwicklung dieser Vorschriften genau verfolgen, um sicherzustellen, dass ihre Arbeit in einer zunehmend regulierten digitalen Landschaft tragfähig bleibt.