Wegen des CRA trägt die meiste open source software keinen CE mark

Wegen des CRA trägt die meiste open source software keinen CE mark, wodurch DNS-Betreiber und andere Organisationen sich beim Nachweis der Sicherheit ihrer Lieferketten nur begrenzt auf diese Kennzeichnung stützen können. Laut NLnet Labs lässt das EU-Gesetz Beiträge von Einzelpersonen weitgehend außerhalb seines Geltungsbereichs, während es kommerziellen Manufacturers und gemeinnützigen Open-Source Software Stewards unterschiedliche Verantwortlichkeiten auferlegt.

Der Cyber Resilience Act (CRA) ist ein EU-Gesetz für Hardware und Software, die auf dem europäischen Markt bereitgestellt werden. In einem auf den 20. Oktober 2026 datierten Artikel erklärte NLnet Labs, dass die erste Gruppe von Meldepflichten etwas mehr als einen Monat zuvor für Manufacturers in Kraft getreten sei. Dies ist der im Gesetz verwendete Begriff für kommerzielle Hersteller von Hardware und Software. Ab dem 12. Dezember 2027 werden alle erfassten Produkte reguliert, die für den EU-Markt bestimmt sind.

Das endgültige Gesetz wurde von den EU-Mitgliedstaaten im Rat und dem Europäischen Parlament auf Grundlage eines Vorschlags der Europäischen Kommission ausgehandelt. NLnet Labs erklärte, nach der Veröffentlichung des Vorschlags im Jahr 2022 mit allen drei Institutionen zusammengearbeitet zu haben. Dabei konzentrierte sich die Organisation darauf, wie die Gesetzgebung open source software behandeln würde, also Software, deren Code gemäß ihrer Lizenz eingesehen, verändert und weitergegeben werden kann.

Nach Angaben der Organisation verpflichtet der ausgehandelte Text Manufacturers, die Software in ihre Produkte integrieren, dazu, Sicherheitskorrekturen upstream weiterzugeben, also zurück an die Projekte und die Personen, von denen die Software ursprünglich stammt. Außerdem wurden genauere Grenzen für free and open source software festgelegt. Manufacturers, die open source software in der CRA-Produktklasse „important“ verkaufen, dürfen ihre Konformität selbst bewerten, statt eine Bewertung durch eine unabhängige dritte Stelle einzuholen.

Für Mitwirkende ist die Auslegung von NLnet Labs eindeutig: Die meiste open source software fällt nicht in den Geltungsbereich des CRA. Personen, die Code zu den Projekten der Organisation beitragen, übernehmen allein dadurch keine Pflichten nach dem CRA. Das gilt auch, wenn der Beitrag im Rahmen ihrer Beschäftigung geleistet wird. Wer die rechtlichen Einzelheiten benötigt, sollte nach Empfehlung der Organisation zunächst die Leitlinien der Europäischen Kommission zum CRA für open source software lesen. Insbesondere verweist sie auf das Ablaufdiagramm am Ende von Abschnitt 3, bevor die 14 Seiten dieses Abschnitts durchgearbeitet werden.

Anders ist die Lage, wenn ein Unternehmen open source software in ein kommerzielles Produkt integriert, das in der EU verkauft wird. Der CRA verpflichtet diesen Manufacturer zur due diligence, sodass er relevante Risiken untersuchen und handhaben muss. Die Aufgabe wird anspruchsvoller, wenn eine open source component eine tragende betriebliche Rolle übernimmt oder eine sicherheitskritische Funktion erfüllt, statt lediglich eine kleinere Dependency zu sein, die allein durch automatisierte Prüfungen kontrolliert werden kann.

NLnet Labs zufolge wird seine Software häufig in solchen wichtigen Rollen eingesetzt. Die Organisation bietet professionellen Support an, um integrierende Unternehmen bei ihrer due diligence zu unterstützen. Die daraus erzielten Einnahmen tragen zur langfristigen Pflege bei. Dies beschreibt das eigene Supportmodell der Organisation und stellt keine Befreiung von den gesetzlichen Verantwortlichkeiten des Manufacturer dar.

Gemeinnützige Organisationen, die open source software entwickeln und veröffentlichen, fallen unter einen anderen Teil des CRA. NLnet Labs bezeichnet sich selbst als Open-Source Software Steward und hat dokumentiert, welche Projekte es als unter seiner Stewardship stehend betrachtet und welche Pflichten damit verbunden sind. Dieser Status gilt nicht für die gesamte Arbeit der Organisation. Forschungsprojekte, die nie für eine kommerzielle Nutzung vorgesehen waren, und Projekte, die als end of life erklärt wurden, begründen für die Organisation keine beziehungsweise keine weiteren entsprechenden Pflichten.

Diese Unterscheidung ist für Organisationen wichtig, die unter NIS2 fallen. Dieses EU-Framework für Cybersicherheit verpflichtet unter anderem DNS-Betreiber, top-level domain (TLD) registries und Internet Exchanges zur Sicherheit ihrer Lieferketten. Ein TLD registry betreibt eine Domainendung, etwa eine Länderendung oder eine generische Endung. Ein Internet Exchange ist eine Infrastruktur, über die getrennte Netzwerke Datenverkehr austauschen. Der CRA soll solche Bewertungen erleichtern, indem ein CE mark Produkte, die die EU-Anforderungen an die Produktsicherheit erfüllen, von solchen unterscheiden kann, die diese Anforderungen nicht erfüllen.

NLnet Labs weist jedoch darauf hin, dass, abgesehen von Ausnahmen, die meiste open source software in der Lieferkette eines Betreibers keinen CE mark tragen wird. Von Einzelpersonen gepflegte Projekte liegen außerhalb des Geltungsbereichs des CRA, weshalb diese Personen den CE mark nicht anbringen können. Software, die von einem gemeinnützigen Open-Source Software Steward unterstützt wird, fällt zwar unter ein Regelwerk des CRA, doch auch der Steward kann sie nicht mit einem CE mark versehen. Nach Angaben der Organisation kann nur free and open source software (FOSS), die von einem Manufacturer verkauft wird, den CE mark tragen. Dieser Manufacturer ist möglicherweise nicht der upstream maintainer des Projekts, und solche Produkte machen wahrscheinlich nur einen Bruchteil der FOSS in der Lieferkette eines Betreibers aus.

Betreiber benötigen daher andere Nachweise dafür, dass sie ihre Dependencies verantwortungsvoll verwalten. NLnet Labs warnt davor, allein deshalb eine Alternative mit CE mark auszuwählen, weil die bevorzugte Software open source ist. Dies wäre insbesondere dann ein schlechtes Ergebnis, wenn dadurch bessere Software aufgegeben würde. Die Organisation argumentiert, dass das Stewardship-Modell des CRA Organisationen stattdessen dabei helfen könnte, eine verantwortungsvolle Pflege nachzuweisen, während sich die regulatorische Behandlung von NIS2 weiterentwickelt.

Dieses Modell bündelt Finanzmittel über Steward-Organisationen, die Maintainer unterstützen, statt von jedem Betreiber den Aufbau einer eigenen Beziehung zu verlangen. Open source ermöglicht es Betreibern außerdem, eigenes Fachwissen zur Diagnose von Problemen in der Lieferkette aufzubauen. Organisationen, die nicht intern darin investieren, können stattdessen spezialisierten Support beziehen. In Leitlinien der European Union Agency for Cybersecurity (ENISA) heißt es, dass Supportverträge den gesamten Lebenszyklus eines Systems abdecken sollten, einschließlich Obsoleszenzmanagement und des Datums, bis zu dem der Support fortgeführt wird.

Für Organisationen, die entscheiden müssen, wie sie diese Arbeit bewältigen, bietet AEU-I auf Sicherheit ausgerichtete IT, Infrastruktur und Beratung, eine relevante Option, wenn externe technische Unterstützung benötigt wird.

Die praktische Botschaft lautet, dass ein fehlender CE mark allein nicht bedeutet, dass eine open source component unsicher ist oder nicht unterstützt wird. DNS-Betreiber, Website-Unternehmen und IT-Teams müssen weiterhin feststellen, wer jede wichtige Komponente pflegt, dokumentieren, wie Korrekturen bereitgestellt werden, festlegen, wie lange der Support bestehen bleibt, und Nachweise darüber aufbewahren, dass ihre software supply chain aktiv verwaltet wird.