Cyber Resilience Act

Der Cyber Resiliance Act (CRA) soll die Sicherheit von digitalen Produkten erhöhen. Dazu werden den jeweiligen Herstellern oder In-Verkehr-Bringern der digitalen Produkte Anforderungen und Dokumentationspflichten auferlegt, um die Sicherheit einer Software oder eines digitalen Produkts über einen Produktlebenszyklus zu gewährleisten und dies transparent darzustellen.

Während der politischen Verhandlungen über die Regulierung in Brüssel im Jahr 2023 stand rund um das Thema CRA meist die Fragestellung im Raum, wie „nicht kommerzielle Open Source Software“ von „kommerzieller Open Source Software“ abgegrenzt werden kann und wie diese jeweils definiert sind und welche Anforderungen diese nach dem CRA jeweils erfüllen müssen. Die politischen Verhandlungen sind inzwischen abgeschlossen, der Text ist beschlossen und abgestimmt. Die Hersteller müssen die Verordnung spätestens 2027 anwenden.

Die OSBA vertritt als Wirtschaftsverband in erster Linie Unternehmen, die eindeutig kommerzielle Absichten mit Open Source Software verfolgen, die meisten Mitglieder werden die Anforderungen und Dokumentationspflichten des CRA also erfüllen und sich damit auseinandersetzen müssen.

Die Task Force CRA befasst sich daher bis zum Inkrafttreten des CRA 2027 mit den Anforderungen und Auswirkungen des CRA auf Unternehmen im Open-Source-Umfeld.

Die Task Force CRA strebt insbesondere folgende Ziele an:

Wir wollen

  • uns in einer übergreifenden Arbeitsgruppe, in der OSBA-Mitglieder aus verschiedenen Working Groups repräsentiert sind, einen Überblick über den Gesetzestext des CRA verschaffen
  • den OSBA-Mitgliedern die relevanten Inhalte und Anforderungen des CRA auf leicht verständliche Art und Weise vermitteln, z.B. auch flankierend über Veranstaltungen
  • Interpretationen des Gesetzes, praktische Handlungsanweisungen und Handreichungen erarbeiten
  • konkrete Empfehlungen für die Mitglieder erarbeiten und Umsetzungswege aufzeigen
  • uns insbesondere auch mit dem Thema der zukünftig immer mit einer Software mitzuliefernden Softwarestückliste – der sogenannten SBOM (Software Bill of Materials) auseinandersetzen und hierbei zum Teil auch technische Fragen betrachten
  • uns über unsere Mitgliedschaft im DIN in die Standardisierungsprozesse zum CRA auf nationaler und europäischer Ebene einbringen
  • eine Vernetzung mit anderen Organisationen und einen Austausch über die Anforderungen und Dokumentationspflichten sowie alle weiteren Themen rund um den CRA anstreben

Die Ansprechpartner für die Task Force CRA sind Claus R. Wickinghoff und Götz Martinek.