Kommentar zum Cyber Resilience Act Galgenfrist für Open Source?

Anbieter zum Thema

Nortal AG

mgm technology partners GmbH

In den letzten Monaten hat die EU verschiedene Gesetzesvorlagen auf den Weg gebracht, die Anwender von Hard- und Software besser schützen sollen. Konkret geht es dabei um den AI Act, die Product Liability Directive sowie den Cyber Resilience Act (CRA). Vor allem Letzterer birgt aber auch große Gefahren für die Open-Source-Community und Europa.

Die EU hat in der Vergangenheit schon einige Gesetze eingeführt, um die Cybersicherheit zu stärken – darunter etwa NIS-2 oder den Cybersecurity Act. Nun kommt der Cyber Resilience Act hinzu. Und dieser ist im Kern auch eine gute Sache. Hersteller, Vertreiber und Importeure müssten für den gesamten Lebenszyklus und alle Verwendungen einer Software Sicherheitsrichtlinien erfüllen und beispielsweise Sicherheitsupdates bereitstellen. Oder anders ausgedrückt: Der CRA ist ein CE-Logo für Software, das für jeden stabilen Release aktualisiert werden muss. Einen großen Haken hat die Sache aber doch.

Zwar schließt der Entwurf Open-Source-Software explizit aus, jedoch nur, wenn diese nicht für kommerzielle Aktivitäten eingesetzt wird. Aufgrund der schwammigen Formulierung gibt es hier einen großen Interpretationsspielraum, der für Unmut in der Open-Source-Branche gesorgt hat. Organisationen wie die Open Source Business Alliance, Bitkom oder die Eclipse Foundation haben ihre Bedenken geäußert und Verbesserungen vorgeschlagen. Das Projekt FileZilla hat aus Protest zuletzt sogar für einen Tag sämtliche Downloads deaktiviert.

Die Szene schaut zu Recht mit Sorgenfalten auf die Entwicklungen in Brüssel. Unternehmen, die gegen die Vorgaben des CRA verstoßen, müssen mit Strafen in Millionenhöhe rechnen. Und generell hätte der CRA in seiner ursprünglichen Form verheerende Folgen: Softwarehersteller würden dem maximalen Risiko unterliegen, weil sie zwar Kunden mit bestehenden Verträgen kontrollieren können, aber nicht diejenigen, die die Open-Source-Software frei herunterladen und weiterverwenden. Zudem könnten Juristen Schadensszenarien konstruieren und damit kleinere Hersteller durch Abmahnungen vom Markt drängen. Die Konsequenz wäre, dass Unternehmen sämtliche Open-Source-Aktivitäten stoppen und zu proprietärer, also geschlossener Software umsteigen würden.

Und das wäre – kurzgesagt – der Todesstoß für Open Source in Europa sowie eine erhebliche Schwächung für kleine und mittelständische Unternehmen. Open-Source-Projekte tragen jährlich zwischen 65 und 95 Milliarden Euro zur EU-Wirtschaft bei, hier würde also ein gigantisches Loch entstehen. Die Vielfalt in der europäischen Softwareindustrie wäre gefährdet, die IT-Giganten sind die Nutznießer und erhalten noch mehr Marktdominanz. Das, was wir uns über Jahre hinweg mühsam mit Förder- und Steuergeldern aufgebaut haben, könnte mit einem Schlag verlorengehen. Wenn wir es nicht schaffen, eine eigenständige IT-Infrastruktur zu bewahren, ist auch der Traum der digitalen Souveränität auf unserem Kontinent ausgeträumt. In diesem Fall wäre es sogar ratsam, die USA als Vorbild zu nehmen. In der aktuellen ‚National Cybersecurity Strategy‘ heißt es dort ausdrücklich, dass Open-Source-Entwickler auch bei kommerziellen Produkten nicht haftbar gemacht werden.

Auf der nächsten Seite: Welche Möglichkeiten zukünftig für den Public Sector offenstehen.

(ID:49643716)