Mobile-Menu

Cyber Resilience Act

OSBA fordert Nachbesserungen bei CRA-Durchführungsgesetz

< zurück

Seite: 2/2

Anbieter zum Thema

OSB Alliance Open Source Business Alliance e.V.
The Quality Group GmbH
SysEleven GmbH
mgm technology partners GmbH

Rechtsschutz für Betroffene stärken

Die zweite Forderung betrifft den vorgesehenen § 65 Abs. 4 BSIG-E, wonach Widerspruch und Klage gegen Entscheidungen der Marktüberwachungsbehörde keine aufschiebende Wirkung haben sollen. In der Praxis wären BSI-Entscheidungen damit unmittelbar vollziehbar – etwa, wenn das BSI einen Open Source Software Steward als Hersteller im Sinne des CRA einstuft, mit allen daraus folgenden Pflichten wie der CE-Kennzeichnung.

Die OSBA fordert die ersatzlose Streichung dieses Absatzes. Die Regelung belaste betroffene Wirtschaftsakteure in „nicht erforderlicher Weise“. Der bestehende § 80 Abs. 2 Nr. 4 der Verwaltungsgerichtsordnung ermögliche es dem BSI bereits, in begründeten Einzelfällen – etwa bei einem konkreten signifikanten Cybersicherheitsrisiko – die sofortige Vollziehung anzuordnen. Ein pauschaler Ausschluss der aufschiebenden Wirkung zwinge Betroffene hingegen dazu, den Rechtsschutz neben dem Hauptverfahren gesondert prozessual durchzusetzen.

Digitale Souveränität statt US-Cloud

Dritter Kritikpunkt ist die technische Infrastruktur, auf der das BSI seine neuen Aufgaben umsetzt. Der Referentenentwurf sieht unter anderem eine Beschwerdestelle für Verbraucher vor, über die mutmaßliche CRA-Verstöße gemeldet werden können. Die OSBA fordert, dass das BSI dafür auf digital souveräne Open-Source-Lösungen setzt – und nicht den Fehler des NIS-2-Meldeportals wiederholt.

Dieses war am 6. Januar 2026 auf einer Cloud-Infrastruktur von Amazon Web Services (AWS) gestartet worden, obwohl dort sensible Daten von rund 30.000 registrierungspflichtigen Unternehmen und Behörden verarbeitet werden. Laut Datenschutzerklärung des Portals könne es dabei „zu einer Übermittlung der IP-Adresse in die USA kommen“. Die OSBA warnt, dass Unternehmen und Bürger unter solchen Umständen davon absehen könnten, Melde- oder Beschwerdewege zu nutzen. Die Nutzung proprietärer US-Cloud-Dienste, die der Jurisdiktion des CLOUD Act unterliegen, widerspreche zudem den Zielen des Koalitionsvertrags. Dort heißt es: „Digitalpolitik ist Machtpolitik. Wir wollen ein digital souveränes Deutschland.“

Als Alternative verweist die OSBA auf den Sovereign Cloud Stack, der von verschiedenen Anbietern in Deutschland betrieben werden kann und im kürzlich vom IT-Planungsrat beschlossenen Deutschland-Stack als zu nutzender Standard aufgeführt wird.

Branche unter Zeitdruck

Erste CRA-Regelungen – darunter Vorgaben zur Notifizierung von Konformitätsbewertungsstellen – greifen bereits ab dem 11. Juni 2026. Ab September 2026 folgen Meldepflichten für aktiv ausgenutzte Schwachstellen, die vollständigen Herstellerpflichten gelten ab Dezember 2027. Der Zeitdruck für eine sorgfältige nationale Umsetzung ist entsprechend hoch. Neben der OSBA hat auch der Bundesverband IT-Sicherheit TeleTrusT eine Stellungnahme eingereicht, die unter anderem eine bessere personelle und finanzielle Ausstattung des BSI für seine neuen Aufgaben anmahnt. Wie das Durchführungsgesetz am Ende ausgestaltet wird, dürfte nicht nur die Open-Source-Branche betreffen, sondern alle Akteure, die Produkte mit digitalen Elementen in der EU auf den Markt bringen.

(ID:50807897)

Jetzt Newsletter abonnieren

Wöchentlich die wichtigsten Infos zur Digitalisierung in der Verwaltung

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte