Das EU-finanzierte Projekt OCCTET stellt Open-Source-Tools bereit, mit denen Unternehmen Softwarekomponenten identifizieren, Schwachstellen beheben und vor Ablauf der ersten CRA-Meldefrist Compliance-Unterlagen erstellen können
BRÜSSEL – 10. September 2026 – Die Eclipse Foundation, eine der weltweit größten Open-Source-Software-Stiftungen, gibt heute die Verfügbarkeit eines kostenlosen Open-Source-Toolkits bekannt, das im Rahmen des von der EU finanzierten OCCTET-Projekts entwickelt wurde, um kleine und mittlere Unternehmen (KMU) sowie Open-Source-Projekte bei der Vorbereitung auf den Cyber Resilience Act (CRA) der Europäischen Union zu unterstützen.
Das Toolkit übersetzt komplexe regulatorische Anforderungen in praktische Schritte, die Organisationen in ihre Softwareentwicklungs- und Sicherheitsprozesse integrieren können. Es hilft ihnen dabei, den aktuellen Stand ihrer Vorbereitung zu bewerten, zu ermitteln, welche Open-Source-Komponenten in ihren Produkten verwendet werden, Schwachstellen zu verwalten und zu dokumentieren, wie Sicherheitsrisiken behoben werden.
Die Veröffentlichung erfolgt zeitgleich mit dem Inkrafttreten der ersten Verpflichtungen des CRA. Ab dem 11. September 2026 gelten neue Meldepflichten für Hersteller. Sie müssen ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei digitalen Produkten, die in der EU angeboten werden, aktiv melden. Die weitergehenden Anforderungen des CRA gelten ab dem 11. Dezember 2027.
Die bisherige Nutzung der OCCTET-Plattform zur Selbstbewertung hat eine häufige Herausforderung aufgezeigt: Viele KMU verfügen zwar über Sicherheitsmaßnahmen, es mangelt ihnen jedoch an der Transparenz, der Dokumentation und einheitlichen Prozessen, die erforderlich sind, um nachzuweisen, wie mit Software-Risiken umgegangen wird.
„Für Organisationen mit begrenzten Compliance-Ressourcen ist die Vorbereitung auf den CRA ein großes Unterfangen“, sagte Mike Milinkovich, Geschäftsführer der Eclipse Foundation. „OCCTET macht diese Arbeit überschaubarer, indem es Tools zusammenführt, die ihnen helfen, ihre Verpflichtungen zu verstehen, Schwachstellen zu identifizieren und zu beheben sowie die für die Einhaltung der Vorschriften erforderliche Dokumentation zu führen.“
Ein praktischer Weg von der Bewertung zum Handeln
Das OCCTET-Toolkit vereint mehrere Dienste, die Organisationen von der ersten Bewertung über das Schwachstellenmanagement bis hin zur Dokumentation unterstützen.
KMU und Open-Source-Projekte können nun auf die folgenden Dienste zugreifen und diese testen:
- Vorbereitungsstand prüfen: Das CRA-Selbstbewertungsportal hilft KMU dabei, zu verstehen, inwiefern der CRA für sie gilt, ihren aktuellen Stand zu bewerten und Bereiche zu identifizieren, die Aufmerksamkeit erfordern. Die kostenlose, angeleitete Bewertung setzt die CRA-Bestimmungen in strukturierte Fragen, Bewertungen und praktische Empfehlungen um.
- Softwarekomponenten identifizieren: Eclipse Apoapsis (OCCTET-Instanz) identifiziert Open-Source-Komponenten, Abhängigkeiten und Lizenzen auf der Grundlage des OSS Review Toolkits und bekannter Schwachstellen. Es kann zudem eine Reihe von CRA-konformen Berichten und Compliance-Artefakten erstellen, darunter Software-Stücklisten (SBOMs), die eine standardisierte Bestandsaufnahme der in einem Produkt enthaltenen Softwarekomponenten liefern.
- Ergebnisse überprüfen und Maßnahmen ergreifen: Bitsea Curator (OCCTET-Instanz) kombiniert automatisierte Analyse mit menschlicher Überprüfung, um Anwendern dabei zu helfen, Softwareinformationen zu verifizieren, zu beurteilen, ob Schwachstellen ihre Produkte betreffen, Probleme zu priorisieren und Entscheidungen zu dokumentieren. Es unterstützt zudem die Erstellung von Vulnerability Exploitability eXchange (VEX)-Berichten, die festhalten, ob ein Produkt von einer bekannten Schwachstelle betroffen ist.
- Gemeinsam genutzte Softwareinformationen wiederverwenden: Die „Federated OSS Assessment Database“, vulnerablecode.io, bietet Informationen zu Open-Source-Paketen, einschließlich ihrer Herkunft, Lizenzen, Sicherheitshinweise, Schwachstellen und Referenz-SBOMs. Der öffentliche PurlDB-Demonstrator unterstützt die Erstellung von Referenz-SBOMs für mehr als 20 Millionen Pakete, während die VulnerableCode-Integration Schwachstelleninformationen mit den betroffenen Softwarepaketen verknüpft.
Das Toolkit wurde anhand komplexer, praxisnaher Software-Abhängigkeitsszenarien in zehn verschiedenen Technologie-Ökosystemen validiert. Die Tests umfassten weit verbreitete Open-Source-Projekte, eine groß angelegte Analyse des gesamten Projektportfolios der Eclipse Foundation sowie eine wachsende Zahl praxisnaher Anwendungsfälle aus dem Mittelstand. Die umfassende Validierung belegt, dass sich das Toolkit für unterschiedliche Technologien, Projektgrößen und Software-Lieferketten eignet. Tests haben gezeigt, dass das Toolkit in der Lage ist, komplexe Abhängigkeitsstrukturen zu analysieren, Schwachstellen zu identifizieren, die manuelle Überprüfung zu unterstützen und Sicherheitsprobleme über einen längeren Zeitraum hinweg zu überwachen.
Erste Schritte mit OCCTET
Das Projekt „Open Source Compliance: Comprehensive Techniques and Essential Tools“ (OCCTET) bringt Branchenführer, Cybersicherheitsexperten, Vertreter von KMU und Open-Source-Organisationen zusammen, um Softwaresicherheit und die Vorbereitung auf den CRA zugänglicher, transparenter und kosteneffizienter zu gestalten.
KMU und Open-Source-Projekte können das Toolkit und die verfügbaren Ressourcen unter occtet.eu erkunden. Organisationen, die daran interessiert sind, die Dienste mit echten Produkten und Entwicklungsabläufen zu testen und Feedback zur Unterstützung der kontinuierlichen Verbesserung zu geben, können die Seite „OCCTET Get Engaged“ besuchen.
OCCTET ergänzt die umfassendere Arbeit der Eclipse Foundation, die Organisationen und Open-Source-Communities bei der Vorbereitung auf den CRA unterstützt. Im Rahmen der Arbeitsgruppe „Open Regulatory Compliance“ (ORC) entwickeln die Teilnehmer gemeinschaftsorientierte Spezifikationen, Leitfäden, Schulungen und andere Ressourcen, um die Umsetzung des CRA im gesamten Open-Source-Ökosystem zu fördern.
Zu diesen Ressourcen gehört der kostenlose „ORC Learning Hub“, der praktische, rollenspezifische Schulungen anbietet. Hier können Open-Source-Entwickler, Betreuer, Projektverantwortliche, Produktteams sowie Sicherheits- und Compliance-Experten lernen, wie sich der CRA auf ihre Arbeit auswirkt, und wie sie die Anforderungen in die Praxis umsetzen.
Die Community trifft sich zudem bei „Code & Compliance“, der wichtigsten ORC-Veranstaltung für Open-Source-Entwickler, Projektverantwortliche, Rechts- und Compliance-Experten, politische Entscheidungsträger und Branchenführer. Die nächste Veranstaltung findet am 27. Oktober 2026 in Brüssel statt und bietet ein Forum zum Erfahrungsaustausch, zur Weitergabe praktischer Leitlinien und zur Erörterung der Auswirkungen des CRA und anderer neuer digitaler Regularien auf das Open-Source-Ökosystem. Melden Sie sich jetzt an, um an der Diskussion teilzunehmen.
Über das OCCTET-Projekt
„Open Source Compliance: Comprehensive Techniques and Essential Tools“ (OCCTET) ist eine von der EU finanzierte Initiative, deren Ziel es ist, KMU und Open-Source-Projekte dabei zu unterstützen, die Anforderungen an Cybersicherheit und Compliance im Rahmen des Cyber Resilience Act zu erfüllen. Das von der Eclipse Foundation koordinierte Projekt entwickelt eine integrierte Suite kostenloser Open-Source-Tools für die Bereitschaftsbewertung, die Analyse von Softwareabhängigkeiten, das Schwachstellenmanagement, die Erstellung von SBOMs und die Dokumentation der Compliance.
Das OCCTET-Projekt wurde im Rahmen des Programms „Digitales Europa“ unter der Fördervereinbarung Nr. 101190474 finanziell unterstützt. Der Inhalt spiegelt nicht unbedingt die Ansichten der Europäischen Kommission wider. Die Europäische Kommission haftet nicht für die Verwendung der hierin enthaltenen Informationen.
Erfahren Sie mehr unter occtet.eu.
Über die Eclipse Foundation
Die Eclipse Foundation bietet einer globalen Gemeinschaft aus Einzelpersonen und Organisationen ein herstellerneutrales, unternehmensfreundliches Umfeld für Open-Source-Zusammenarbeit und Innovation. Wir betreuen Adoptium, die Eclipse-IDE, Jakarta EE, Open VSX, Eclipse SDV und mehr als 450 einflussreiche Open-Source-Projekte. Mit Hauptsitz in Brüssel, Belgien, sind wir ein internationaler gemeinnütziger Verein, der von über 300 Mitgliedern unterstützt wird. Unsere Veranstaltungen, darunter die Open Community Experience (OCX), bringen Entwickler, Branchenführer und Forscher aus aller Welt zusammen. Um mehr zu erfahren, folgen Sie uns auf X und LinkedIn oder besuchen Sie eclipse.org.
mailbox