Das schrittweise Inkrafttreten des Cyber Resilience Act (CRA) verändert die Verpflichtungen des europäischen Open-Source-Ökosystems. Ab dem 11. September 2026 müssen Hersteller digitaler Produkte aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gemäß Artikel 14 der Verordnung melden. Die allgemeine Anwendung ist für den 11. Dezember 2027 vorgesehen, und nicht alle Open-Source-Projekte werden gleich behandelt.
CRA und Open-Source-Software: differenzierte Verpflichtungen zwischen Maintainers und Freiwilligen
Der CRA führt eine operationale Unterscheidung ein, die wir seit der Veröffentlichung des Textes erwartet haben. Die qualifizierten professionellen Maintainer (Stewards) der Open-Source-Software, die nachhaltig Projekte unterstützen, die in kommerzielle Produkte integriert sind, fallen in den regulatorischen Rahmen. Sie müssen ihre Prozesse zur Verwaltung von Schwachstellen dokumentieren und zur Compliance-Kette beitragen.
Individuelle freiwillige Mitwirkende bleiben außerhalb des Hauptrahmens. Diese Trennlinie basiert auf der kommerziellen oder nicht-kommerziellen Natur der Aktivität, nicht auf der verwendeten Lizenz. Ein Entwickler, der am Wochenende einen Patch veröffentlicht, hat nicht die gleichen Verpflichtungen wie eine Stiftung, die eine kritische Bibliothek pflegt, die in Tausenden von Produkten eingesetzt wird.
Für KMU und kleinere Open-Source-Projekte wurde im Rahmen des europäischen Projekts OCCTET, koordiniert von der Eclipse Foundation, ein kostenloses Tool zur Vorbereitung auf den CRA veröffentlicht. Es deckt die Inventarisierung von Abhängigkeiten, das Management von Schwachstellen, die Erstellung von SBOM (Software Bill of Materials) und die Compliance-Dokumentation ab. Ergänzende Ressourcen werden regelmäßig auf mondelibre.org referenziert, die die französischsprachigen Veröffentlichungen zu diesen regulatorischen Entwicklungen aggregiert.
Open-Source-Strategie der Europäischen Union: ein Rahmen, der den gesamten Lebenszyklus abdeckt
Die neue Open-Source-Strategie der EU beschränkt sich nicht mehr auf die Einführung von Open-Source-Software in den Verwaltungen. Sie umfasst nun den gesamten Lebenszyklus von Software, von der Entwicklung über die Wartung bis hin zur Governance der Beiträge. Wir beobachten einen Wandel in der Haltung: Open-Source-Software wird nicht mehr als ein Werkzeug zur Haushaltsersparnis betrachtet, sondern als ein Hebel für technologische Souveränität.
Dieser Ansatz ist Teil eines umfassenderen Pakets zur europäischen technologischen Souveränität. Er verbindet die Anforderungen des CRA mit den Politiken zur Interoperabilität und digitalen Sicherheit. Öffentliche Verwaltungen werden ermutigt, aktiv zu den Projekten beizutragen, die sie nutzen, und nicht nur, sie zu konsumieren.
OSPO und CRA-Compliance in Organisationen
Die Open Source Program Offices (OSPO) zentralisieren das Management von Open-Source-Abhängigkeiten, die Überwachung von Lizenzen und die Koordination von Beiträgen. Diese internen Strukturen, die in Frankreich noch selten sind, sind ein Vorteil für die Einhaltung des CRA. Ein funktionierendes OSPO bietet ein aktuelles Software-Inventar und bereits erprobte Prozesse zur Meldung von Schwachstellen.
Unternehmen, die keine entsprechende Struktur haben, müssen diese Prozesse bis Dezember 2027 von Grund auf neu aufbauen. Die organisatorischen Kosten übersteigen bei weitem die technischen Kosten.
Strategische Akquisitionen: Nvidia, Hugging Face und die Frage der Offenheit
Die Übernahme von Hugging Face durch Nvidia für 12,93 Milliarden Dollar stellt die bedeutendste Kapitalbewegung des Jahres im Open-Source-Ökosystem dar. Nvidia behauptet, die Offenheit der Plattform für verschiedene Modelle, Clouds und Beschleuniger bewahren zu wollen.
Dieses Versprechen verdient eine technische Prüfung. Hugging Face hostet Modelle, die auf unterschiedlichen Architekturen trainiert wurden (Nvidia-GPU, AMD, TPU-Beschleuniger). Die Hardware-Neutralität der Plattform ist ihr Hauptasset. Wenn Nvidia seine eigenen Beschleuniger bei der Modellbewertung oder den Inferenzwerkzeugen bevorzugen würde, würde die Community schnell migrieren.
AWS hat ebenfalls die Übernahme von DuckLabs angekündigt, mit einem ähnlichen Engagement zur Wahrung des Open-Source-Modells. Diese Vorgänge folgen einem wiederkehrenden Muster: Übernahme eines stark frequentierten Community-Projekts, Versprechen der Offenheit und dann schrittweise Monetarisierung durch verwaltete Dienste. Die Frage ist nicht, ob die Offenheit erhalten bleibt, sondern welcher genaue Umfang unter einer freien Lizenz verbleiben wird.
Sicherheit von Open-Source-Projekten und Software-Lieferkette
Die Sicherung der Open-Source-Software-Lieferkette wird zu einem zentralen Anliegen, da sich Open-Weight-Modelle ohne systematische Überprüfung verbreiten. Die Punkte, auf die Maintainer achten sollten, sind:
- Überprüfen der kryptografischen Herkunft der Artefakte, die in den Repositories veröffentlicht werden (npm, PyPI, crates.io), um sicherzustellen, dass ein Paket zwischen der Kompilierung und der Verteilung nicht verändert wurde
- Führen eines aktuellen SBOM für jede Veröffentlichung, einschließlich der oft in manuellen Audits ignorierten transitiven Abhängigkeiten
- Integration von Sicherheitsbewertungstools (wie Scorecard) in die CI/CD-Pipelines, um Sicherheitsrückschritte vor der Veröffentlichung zu erkennen
Die Open-Source-Compliance wird zu einem eigenen Markt, mit speziellen Lösungen, die entstehen, um den wachsenden Anforderungen regulierter Sektoren gerecht zu werden.
Offene Governance und Nachhaltigkeit von Community-Projekten
Das Modell der offenen Governance, bei dem technische Entscheidungen von einem von den Mitwirkenden gewählten Komitee getroffen werden, bleibt die Ausnahme und nicht die Regel. Die Mehrheit der kritischen Open-Source-Projekte hängt immer noch von ein oder zwei Hauptmaintainern ohne formalisierte Governance-Struktur ab.
Die Nachhaltigkeit der Paketregister stellt ein strukturelles Problem dar. Diese Infrastrukturen (npm, PyPI, Maven Central) fungieren als öffentliche Dienste der Softwareentwicklung, aber ihre Finanzierung beruht weitgehend auf freiwilliger Unterstützung durch Unternehmen. Ohne nachhaltiges Engagement der Industrieakteure steigt das Risiko einer Verschlechterung dieser Register, während die Anzahl der veröffentlichten Pakete zunimmt.
Der europäische regulatorische Rahmen, die Akquisitionsbewegungen und die schrittweise Strukturierung der Sicherheit konvergieren zu einer gemeinsamen Erkenntnis: Open Source tritt in eine Phase ein, in der Governance, Compliance und Finanzierung ebenso wichtig sind wie der Code selbst. Organisationen, die ihre Open-Source-Politik noch nicht formalisiert haben, haben noch etwas mehr als ein Jahr Zeit bis zur Frist des CRA.
