Was ist ein Verwalter quelloffener Software?
Ein Verwalter quelloffener Software ist eine juristische Person, aber kein Hersteller. Sie bezweckt, die Entwicklung spezifischer, für kommerzielle Tätigkeiten bestimmter Open-Source-Produkte mit digitalen Elementen systematisch und nachhaltig zu unterstützen, und stellt deren Brauchbarkeit sicher.
Der Normwortlaut
„Verwalter quelloffener Software“ eine juristische Person, bei der es sich nicht um einen Hersteller handelt, die den Zweck oder das Ziel hat, die Entwicklung spezifischer Produkte mit digitalen Elementen, die als freie und quelloffene Software gelten und für kommerzielle Tätigkeiten bestimmt sind, systematisch und nachhaltig zu unterstützen, und die die Brauchbarkeit dieser Produkte sicherstellt;
Normtext: Artikel 3 Nummer 14 der Cyberresilienz-Verordnung (CRA) enthält eine Legaldefinition. Sämtliche genannten Merkmale müssen kumulativ vorliegen.
Wer fällt in den Anwendungsbereich?
Rechtliche Einordnung: Erfasst sein kann nur eine juristische Person, die kein Hersteller ist und die Entwicklung spezifischer, für kommerzielle Tätigkeiten bestimmter Produkte mit digitalen Elementen als freie und quelloffene Software systematisch und nachhaltig unterstützt sowie deren Brauchbarkeit sicherstellt. Nicht jeder Mitwirkende, jedes Repository oder jede Open-Source-Organisation erfüllt diese Voraussetzungen.
Der allgemeine CRA-Anwendungsbereich betrifft nach Artikel 2 Absatz 1 auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. Die Ausnahmen und sektoralen Grenzen aus Artikel 2 Absätze 2 bis 7 bleiben bestehen; weitere sektorale Einschränkungen oder Ausschlüsse nach Absatz 5 setzen einen delegierten Rechtsakt und die dort genannten Voraussetzungen voraus.
Welche Pflichten gelten für einen Verwalter?
Gesetzliche Pflichten: Nach Artikel 24 Absatz 1 müssen Verwalter eine überprüfbare Cybersicherheitsstrategie fördern, die von ihnen entwickelt und dokumentiert wird. Sie soll die Entwicklung sicherer Produkte und einen wirksamen Umgang der Entwickler mit Schwachstellen sowie freiwillige Meldungen nach Artikel 15 fördern. Dabei sind die Besonderheiten des Verwalters und seine rechtlichen und organisatorischen Vorkehrungen zu berücksichtigen. Die Strategie umfasst insbesondere die Dokumentation, Behebung und Beseitigung von Schwachstellen und fördert den Informationsaustausch innerhalb der Open-Source-Gemeinschaft.
Auf Verlangen müssen Verwalter mit den Marktüberwachungsbehörden zusammenarbeiten, um Cybersicherheitsrisiken ihrer Produkte zu mindern. Die Strategieunterlagen müssen sie nur auf begründetes Verlangen einer Marktüberwachungsbehörde vorlegen.
Wann gelten Meldepflichten?
Bedingte Verweisung: Die Meldepflicht für aktiv ausgenutzte Schwachstellen nach Artikel 14 Absatz 1 gilt für einen Verwalter nur, soweit er an der Entwicklung des betroffenen Produkts beteiligt ist. Die in Artikel 24 Absatz 3 einbezogenen Pflichten zu schwerwiegenden Sicherheitsvorfällen einschließlich der Nutzerinformation nach Artikel 14 Absatz 8 greifen nur, soweit der Vorfall die Netz- und Informationssysteme beeinträchtigt, die der Verwalter für die Entwicklung bereitstellt. Artikel 24 ordnet Verwaltern damit nicht pauschal sämtliche Herstellerpflichten zu.
Unter derselben Voraussetzung gilt Artikel 14 Absatz 8: Der Verwalter muss die betroffenen Nutzer des Produkts mit digitalen Elementen unverzüglich über den schwerwiegenden Sicherheitsvorfall und erforderlichenfalls über Risikominderungs- und Korrekturmaßnahmen informieren, die sie ergreifen können, um dessen Auswirkungen zu mindern.
Welche Fristen und Schwellenwerte gelten?
Artikel 24 gilt für Verwalter ab dem 11. Dezember 2027. Dass Artikel 14 allgemein bereits ab dem 11. September 2026 gilt, zieht die nur über Artikel 24 Absatz 3 einbezogenen Verwalterpflichten nicht auf diesen früheren Termin vor.
Bei einer aktiv ausgenutzten Schwachstelle und Entwicklungsbeteiligung ist nach Kenntniserlangung unverzüglich, spätestens binnen 24 Stunden, eine Frühwarnung und unverzüglich, spätestens binnen 72 Stunden, eine Schwachstellenmeldung abzugeben. Der Abschlussbericht ist spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme fällig. Bei einem von Artikel 24 Absatz 3 erfassten schwerwiegenden Sicherheitsvorfall gelten die einschlägigen 24- und 72-Stunden-Fristen; der Abschlussbericht ist binnen eines Monats nach der Vorfallmeldung einzureichen. Die Information der betroffenen Nutzer nach Artikel 14 Absatz 8 muss unter derselben Systembeeinträchtigungsvoraussetzung unverzüglich erfolgen; Absatz 8 nennt dafür keine gesonderte Stunden- oder Tagesfrist.
Für die Strategie-, Kooperations- und Vorlagepflichten nennt Artikel 24 keine eigene laufende Stunden- oder Tagesfrist. Eine Größen- oder Umsatzschwelle für den Verwalterstatus besteht dort ebenfalls nicht.
Wie ist die Rolle technisch abzugrenzen?
Technische Einordnung: Die Rolle bezieht sich auf spezifische Open-Source-Produkte mit digitalen Elementen, nicht auf quelloffenen Code als solchen. Dazu können Software- oder Hardwareprodukte einschließlich getrennt in Verkehr gebrachter Komponenten und Datenfernverarbeitungslösungen gehören.
Erwägungsgrund 19 nennt als Beispiele dauerhafter Unterstützung das Hosting und die Verwaltung von Entwicklungsplattformen, Quellcode oder Software, die Produktadministration und die Steuerung der Entwicklung. Solche Tätigkeiten erfüllen für sich allein die Legaldefinition nicht. Auch regelmäßige Veröffentlichungen, finanzielle Unterstützung oder Entwicklungsbeiträge von Herstellern beweisen allein keine kommerzielle Tätigkeit.
Welche Grenzen und Sonderregeln gelten?
Nach Erwägungsgrund 18 gilt der CRA nicht für natürliche oder juristische Personen, die zu Open-Source-Quellcode von Produkten beitragen, die nicht unter ihrer Verantwortung stehen. Die bloße Bereitstellung über offene Archive, Paketverwaltungen oder Kollaborationsplattformen ist für sich genommen keine Marktbereitstellung.
Ein Verwalter darf die CE-Kennzeichnung nicht auf den von ihm unterstützten Produkten anbringen. Wer ein Produkt wesentlich ändert und anschließend auf dem Markt bereitstellt, kann nach Artikel 22 für den betroffenen Teil oder gegebenenfalls für das gesamte Produkt Hersteller werden.
Artikel 64 Absatz 10 Buchstabe b schließt gegenüber Verwaltern die Geldbußen nach Artikel 64 Absätze 3 bis 9 aus. Dieser Ausschluss beseitigt weder die Pflichten aus Artikel 24 noch mögliche Korrekturmaßnahmen: Nach Artikel 52 Absatz 3 kann die Marktüberwachungsbehörde geeignete Korrekturmaßnahmen verlangen, die der Verwalter im Rahmen seiner Verpflichtungen sicherstellen muss.
Häufige Fehlannahmen
- „Jeder Maintainer ist Verwalter.“ Falsch: Alle Merkmale der Legaldefinition müssen kumulativ erfüllt sein.
- „Eine Open-Source-Stiftung oder ein Repository genügt.“ Falsch: Entscheidend sind unter anderem juristische Person, Nicht-Herstellerstatus, kommerzielle Produktbestimmung, systematische und nachhaltige Entwicklungsunterstützung sowie die Sicherstellung der Brauchbarkeit.
- „Ein öffentliches Paket ist automatisch auf dem Markt bereitgestellt.“ Falsch: Die bloße Bereitstellung über offene Archive, Paketverwaltungen oder Kollaborationsplattformen genügt für sich nicht.
- „Der Geldbußenausschluss hebt alle Pflichten auf.“ Falsch: Artikel-24-Pflichten, Behördenkooperation und mögliche Korrekturmaßnahmen bleiben bestehen.
- „Für Verwalter gelten die Artikel-14-Pflichten schon ab September 2026.“ Falsch: Die Verweisung in Artikel 24 Absatz 3 wirkt für Verwalter erst ab dem 11. Dezember 2027 und nur unter ihren besonderen Voraussetzungen.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte unterstützen die Umsetzung; sie sind keine zusätzlichen gesetzlichen Pflichten.
- Die Rollenprüfung dokumentieren und dabei Herstellerstatus, OSS-Eigenschaft, kommerzielle Bestimmung, systematische und nachhaltige Unterstützung sowie die Sicherstellung der Brauchbarkeit einzeln bewerten.
- Bei Verwalterstatus vor dem 11. Dezember 2027 eine überprüfbar entwickelte und dokumentierte Cybersicherheitsstrategie beschließen und organisatorisch verankern.
- Prozesse für Dokumentation, Behebung und Beseitigung von Schwachstellen sowie den Informationsaustausch in der Open-Source-Gemeinschaft festlegen.
- Einen Behördenkontakt und einen Ablauf für Zusammenarbeit sowie die Vorlage der Strategieunterlagen auf begründetes Verlangen bestimmen.
- Die bedingten Melde- und Nutzerinformationsabläufe einschließlich Auslösern, Zuständigkeiten, 24-/72-Stunden- und Abschlussfristen sowie der unverzüglichen Nutzerinformation vorbereiten.
- Wesentliche Änderungen und anschließende Marktbereitstellungen kontrollieren, weil sie Herstellerstatus auslösen können.
Für die Geschäftsleitung
Die Sonderrolle ist enger als „Maintainer“ oder „Open-Source-Organisation“ und setzt sämtliche Merkmale des Artikels 3 Nummer 14 voraus. Die Leitung sollte die Rollenentscheidung nachvollziehbar belegen, bis zum 11. Dezember 2027 die Artikel-24-Prozesse betriebsbereit machen und Nachweise zu Strategie, Schwachstellenmanagement, Behördenkooperation sowie bedingten Meldungen und unverzüglichen Nutzerinformationen verfügbar halten. Der Ausschluss bestimmter Geldbußen ist kein Grund, Pflichten oder Korrekturmaßnahmen zu vernachlässigen.
Quellen
- Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen (amtlicher deutscher Volltext), insbesondere Erwägungsgründe 18 bis 20 sowie Artikel 2, Artikel 3 Nummern 1 und 14, Artikel 14, Artikel 22, Artikel 24, Artikel 52 Absatz 3, Artikel 64 Absatz 10 Buchstabe b und Artikel 71 Absatz 2.
