Cyber Resilience Act

Der Cyber Resilience Act behandelt Software und vernetzte Geräte wie andere Produkte auch: Wer sie in der EU auf den Markt bringt, haftet für ihre Sicherheitseigenschaften. Die Hauptpflichten greifen ab Dezember 2027, die Meldepflichten für aktiv ausgenutzte Schwachstellen bereits ab September 2026.

Was verlangt wird

Sicherheit muss in der Entwicklung berücksichtigt werden, nicht danach. Produkte müssen ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden. Sicherheitsupdates müssen über einen definierten Unterstützungszeitraum bereitstehen — in der Regel mindestens fünf Jahre. Und es braucht eine Stückliste der verwendeten Komponenten, die sogenannte SBOM.

Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle sind binnen 24 Stunden zu melden.

Warum das mit Souveränität zu tun hat

Zwei Punkte.

Erstens die Stückliste. Wer sie erstellt, sieht zum ersten Mal vollständig, aus wessen Code das eigene Produkt besteht — und aus welchen Ländern. Das ist dieselbe Übung wie die Lieferantenliste unter NIS2, nur eine Ebene tiefer. Siehe NIS2.

Zweitens der Unterstützungszeitraum. Er macht eine Zusage einklagbar, die vorher Verhandlungssache war: Wie lange bekommt ein Produkt noch Updates? Das ist die Frage, an der Abhängigkeit tatsächlich hängt — ein System ohne Updates ist ein System mit Ablaufdatum.

Der offene Streitpunkt

Für quelloffene Software gelten Ausnahmen, solange sie nicht im Rahmen einer kommerziellen Tätigkeit bereitgestellt wird; für „Open-Source-Software-Verwalter" gilt ein abgeschwächtes Regime. Wo genau die Grenze verläuft, wird gerade in der Praxis ausgehandelt.

Für Sie als Anwender ist die Wirkung dieselbe: Fragen Sie jeden Anbieter nach seinem Unterstützungszeitraum und nach seiner SBOM. Ab 2027 muss er antworten können.