Cyber Resilience Act: Countdown für EOL-Komponenten

Ab dem 11. Dezember 2027 gilt der Cyber Resilience Act vollständig. Hersteller müssen dann einen Supportzeitraum zusagen und Schwachstellen in dieser Zeit beheben. Bei abgekündigten Open-Source-Komponenten fehlt dafür die Grundlage. Die unabhängige Lizenzberatung ProLicense ordnet ein, was bis dahin zu klären ist.

Seit dem 11. September 2026 müssen Hersteller vernetzter Produkte aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden. Ab dem 11. Dezember 2027 gilt der Cyber Resilience Act (Verordnung (EU) 2024/2847) vollständig. Bis dahin bleiben gut dreizehn Monate. Für Unternehmen mit abgekündigten Open-Source-Komponenten in ihren Produkten ist das knapp, weil die Lösung selten in wenigen Wochen zu haben ist.

Wer als Hersteller gilt

Der CRA richtet sich an alle, die Produkte mit digitalen Elementen in der EU in Verkehr bringen. Das betrifft nicht nur Geräte, sondern jede Art von Software, die kommerziell bereitgestellt wird. Unternehmen, die Software ausschließlich intern nutzen, fallen nicht darunter, für sie greifen andere Regeln wie NIS2. Wer Software außerhalb einer gewerblichen Tätigkeit frei verfügbar macht, ist ebenfalls nicht erfasst, und für Verwalter größerer Open-Source-Ökosysteme gelten reduzierte Pflichten.

Was ab Dezember 2027 verlangt wird

Zu den grundlegenden Anforderungen gehören sichere Voreinstellungen, ein sicherer Update-Mechanismus, eine dokumentierte Risikobewertung und eine maschinenlesbare Software-Stückliste, die mindestens die direkten Abhängigkeiten abdeckt. Hinzu kommen die technische Dokumentation, die Einordnung des Produkts in die jeweilige Klasse und das passende Konformitätsbewertungsverfahren. Für die Standardkategorie genügt regelmäßig eine interne Bewertung, externe Prüfungen betreffen bestimmte wichtige und kritische Produktklassen.

Der zentrale Punkt für Altkomponenten steckt im Supportzeitraum. Hersteller müssen ihn festlegen und offen kommunizieren, und er beträgt grundsätzlich mindestens fünf Jahre, sofern die erwartete Nutzungsdauer nicht kürzer ist. In dieser Zeit sind Schwachstellen zu behandeln.

Warum abgekündigte Komponenten die Zusage gefährden

Eine Zusage über fünf Jahre lässt sich nur halten, wenn für jede enthaltene Komponente Sicherheitsupdates verfügbar sind. Steckt ein Framework im Produkt, das der Maintainer nicht mehr pflegt, fehlt genau diese Grundlage. Die Software-Stückliste macht das zudem sichtbar, und Kunden im B2B-Geschäft fragen sie zunehmend ab.

Für Bestandsprodukte gilt keine vollständige rückwirkende Bewertung, solange sie vor dem Stichtag in Verkehr gebracht und danach nicht wesentlich verändert werden. Ob eine Änderung wesentlich ist, hängt davon ab, ob sie die Cybersicherheit oder den Verwendungszweck betrifft. Bei Produkten mit regelmäßigen Releases ist diese Grenze schnell erreicht.

„Der Supportzeitraum ist eine Zusage an den Markt, keine Absichtserklärung. Wer fünf Jahre Sicherheitsupdates verspricht und im Produkt eine abgekündigte Komponente trägt, hat ein Problem, sobald die erste Schwachstelle gemeldet wird“, sagt Rechtsanwalt Sören Reimers, Geschäftsführer der ProLicense.

Was bis Dezember 2027 zu klären ist

Der erste Schritt ist die Bestandsaufnahme: Welche Produkte fallen unter den CRA, welche Komponenten stecken darin, und welche davon erhalten keine Updates mehr? Danach folgt die Entscheidung je Komponente. Sie kann ersetzt werden, sie kann im eigenen Haus gepflegt werden, oder der Support wird eingekauft. ProLicense vertreibt als Reseller Never-Ending Support (NES) von HeroDevs, der für abgekündigte Open-Source-Versionen weiterhin CVE-Behebungen mit vertraglich zugesagten Fristen liefert. Damit lässt sich ein Supportzeitraum unterlegen, ohne das Produkt neu zu bauen.

„Dreizehn Monate klingen nach viel Zeit. Wer aber erst die Stückliste erstellen, dann die Altkomponenten bewerten und anschließend Ersatz entwickeln muss, ist schnell darüber hinaus. Die Bestandsaufnahme gehört in dieses Jahr, nicht ins nächste“, sagt Markus Oberg, Partner und Business Development Manager der ProLicense.

ProLicense unterstützt bei der Bewertung abgekündigter Komponenten und beim Vergleich von Ersatz, Eigenpflege und Drittsupport, mit dem Ziel minimaler Kosten bei voller Compliance. Das Vorgehen entspricht dem Drittsupport bei Oracle-Software. Anfragen nimmt ProLicense über die Kontaktseite entgegen.

ProLicense berät seit 2009 Unternehmen im Software License Management, unabhängig von Oracle, Microsoft, VMware und allen anderen Herstellern. Die Gründer Sören Reimers (Rechtsanwalt) und Christian Grave (Diplom-Kaufmann) waren jeweils über acht Jahre bei Oracle tätig. ProLicense unterstützt bei Software-Audits, Lizenzverhandlungen und ULA-Zertifizierungen, beim Wechsel zu Drittsupport für Software, Hardware und End-of-Life Open Source sowie beim Umstieg auf Alternativen wie Azul, Payara oder Nutanix. Als Reseller von HeroDevs bietet ProLicense Never-Ending Support für abgekündigte Open-Source-Software an. Gebrauchte Lizenzen kauft und verkauft ProLicense direkt. Die Vergütung erfolgt erfolgsbasiert direkt durch den Kunden, ohne Zahlungen von Herstellern. Ziel jedes Mandats: minimale Kosten bei voller Compliance. Mehr unter www.prolicense.com.