Eclipse und OWASP wollen Open-Source-Projekte in Sicherheitsfragen fortbilden

Die Europäische Kommission hat ein detailliertes Leitfaden veröffentlicht, mit dem klargestellt werden soll, wie das Cyber Resilience Act (CRA) auf Open-Source-Software anwendbar ist. Der am Montag veröffentlichte Leitfaden bietet Herstellern, Entwicklern und Unternehmen einen umfassenden Überblick darüber, wie die im Dezember 2024 in Kraft getretene Cybersicherheitsverordnung interpretiert werden kann. Die CRA legt einheitliche Mindestsicherheitsanforderungen für digitale Produkte während ihres gesamten Lebenszyklus fest, die von der Produktgestaltung bis zum End-of-Life-Support alles betreffen. Die Leitlinien decken wichtige Aspekte des CRA ab, einschließlich der Produkte, die in ihren Anwendungsbereich fallen, wie wichtige Updates klassifiziert werden sollten und wie lange die Support-Perioden dauern müssen.

Das Dokument beschreibt auch praktische Schritte für die Durchführung von Risikobewertungen und die Erfüllung von Berichtspflichten. Das Dokument betont die Bedeutung der Klarheit für kleine und mittlere Unternehmen und bietet zahlreiche Beispiele und Szenarien, um den Nutzern zu helfen, komplexe Bestimmungen zu verstehen. Dies ist besonders wichtig, da die ersten obligatorischen Berichtspflichten im Rahmen der CRA bald in Kraft treten sollen. Die Leitlinien befassen sich auch mit den Bedenken, die von Open-Source-Communities während der Verhandlungen über die CRA geäußert wurden. Entwickler und Open-Source-Stiftungen hatten gewarnt, dass neue Haftungs- und Dokumentationsanforderungen freiwillige Beiträge abschrecken könnten.

Die Kommission erklärte daraufhin, dass frei verfügbare Open-Source-Software nicht unter die CRA fällt, es sei denn, sie wird kommerziell verbreitet. Das Dokument erklärt, wann eine solche kommerzielle Aktivität stattfindet, und stellt fest, dass der Verkauf von Open-Source-Software, die Bereitstellung von kostenpflichtigen Enterprise-Versionen oder die Monetarisierung anderer Dienste durch ein Open-Source-Projekt als kommerzielle Aktivität im Rahmen der CRA gilt. Die Kommission unterscheidet weiter zwischen Mitwirkenden und Wartenden innerhalb von Open-Source-Projekten. Diejenigen, die lediglich Fehler beheben oder Funktionen hinzufügen, tragen im Allgemeinen keine Verantwortung im Rahmen der CRA.

Jedoch unterliegen Personen oder Organisationen, die den Release-Zeitplan kontrollieren, Updates verwalten oder die Richtung eines Projekts überwachen, wie z.B. Projekt-Stewards, anderen Verpflichtungen.

Zum Beispiel haben diejenigen, die nur mit Community-Arbeiten befasst sind, weniger Verpflichtungen als diejenigen, die Infrastruktur verwalten oder aktiv am Entwicklungs- und Sicherheitsmanagement teilnehmen. Abhängig von der Art ihrer Unterstützung können Stewards auch Berichterstattungspflichten im Zusammenhang mit Sicherheitsvorfällen oder ausgenutzten Schwachstellen gegenüberstehen. Aktualisierungen, die ausschließlich bekannte Schwachstellen beheben oder bestehende Sicherheitsniveaus verbessern, stellen typischerweise keine wesentlichen Änderungen dar. Dies hilft zu klären, was ein signifikantes Update im Rahmen der CRA darstellt, wodurch sowohl für Entwickler als auch für Aufsichtsbehörden Unklarheiten entstehen.

Das Dokument soll sicherstellen, dass Open-Source-Projekte lebensfähig bleiben und gleichzeitig die von der CRA geforderten Standards für die Cybersicherheit erfüllen.