EU-Gesetz zur Cyber-Resilienz Cyber Resilience Act: Eclipse Foundation bringt kostenloses Toolkit

Anbieter zum Thema

Eclipse Foundation Inc. Ralph Müller

CADFEM Germany GmbH

Esker Software Entwicklungs-und Vertrieb

Yorizon GmbH & Co. KG

Die Eclipse Foundation stellt jetzt ein kostenloses Open-Source-Toolkit bereit, um Hersteller digitaler Produkte bei der Einhaltung der ersten Meldepflichten des Cyber Resilience Act zu unterstützen. Unternehmen können damit Softwarekomponenten identifizieren und Schwachstellen beheben.

Die Eclipse Foundation, eine der weltweit größten Open-Source-Software-Stiftungen, hat die Verfügbarkeit eines kostenlosen Open-Source-Toolkits bekanntgegeben, das im Rahmen des von der EU finanzierten OCCTET-Projekts entwickelt wurde, um kleine und mittlere Unternehmen sowie Open-Source-Projekte bei der Vorbereitung auf den Cyber Resilience Act (CRA) der Europäischen Union zu unterstützen.

Das Toolkit übersetzt komplexe regulatorische Anforderungen in praktische Schritte, die Organisationen in ihre Softwareentwicklungs- und Sicherheitsprozesse integrieren können. Es hilft ihnen dabei, den aktuellen Stand ihrer Vorbereitung zu bewerten, zu ermitteln, welche Open-Source-Komponenten in ihren Produkten verwendet werden, Schwachstellen zu verwalten und zu dokumentieren, wie Sicherheitsrisiken behoben werden.

Erste Verpflichtungen des Cyber Resilience Act in Kraft getreten

Die Veröffentlichung erfolgt zeitgleich mit dem Inkrafttreten der ersten Verpflichtungen des Cyber Resilience Act. Ab dem 11. September 2026 gelten neue Meldepflichten für Hersteller. Sie müssen ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei digitalen Produkten, die in der EU angeboten werden, aktiv melden. Die weitergehenden Anforderungen des Cyber Resilience Act gelten ab dem 11. Dezember 2027.

Die bisherige Nutzung der OCCTET-Plattform zur Selbstbewertung hat eine häufige Herausforderung aufgezeigt: Viele KMU verfügen zwar über Sicherheitsmaßnahmen, es mangelt ihnen jedoch an der Transparenz, der Dokumentation und einheitlichen Prozessen, die erforderlich sind, um nachzuweisen, wie mit Software-Risiken umgegangen wird.

Mike Milinkovich, Geschäftsführer der Eclipse Foundation, erklärt: „Für Organisationen mit begrenzten Compliance-Ressourcen ist die Vorbereitung auf den Cyber Resilience Act ein großes Unterfangen. OCCTET macht diese Arbeit überschaubarer, indem es Tools zusammenführt, die ihnen helfen, ihre Verpflichtungen zu verstehen, Schwachstellen zu identifizieren und zu beheben sowie die für die Einhaltung der Vorschriften erforderliche Dokumentation zu führen.“

Ein praktischer Weg von der Bewertung zum Handeln

Das OCCTET-Toolkit vereint mehrere Dienste, die Organisationen von der ersten Bewertung über das Schwachstellenmanagement bis hin zur Dokumentation unterstützen. KMU und Open-Source-Projekte können nun auf die folgenden Dienste zugreifen und diese testen:

Vorbereitungsstand prüfen: Das Selbstbewertungsportal zum Cyber Resilience Act hilft KMU dabei, zu verstehen, inwiefern der CRA für sie gilt, ihren aktuellen Stand zu bewerten und Bereiche zu identifizieren, die Aufmerksamkeit erfordern. Die kostenlose, angeleitete Bewertung setzt die CRA-Bestimmungen in strukturierte Fragen, Bewertungen und praktische Empfehlungen um.

Softwarekomponenten identifizieren: Eclipse Apoapsis (OCCTET-Instanz) identifiziert Open-Source-Komponenten, Abhängigkeiten und Lizenzen auf der Grundlage des OSS Review Toolkits und bekannter Schwachstellen. Es kann zudem eine Reihe von CRA-konformen Berichten und Compliance-Artefakten erstellen, darunter Software-Stücklisten (SBOMs), die eine standardisierte Bestandsaufnahme der in einem Produkt enthaltenen Softwarekomponenten liefern.

Ergebnisse überprüfen und Maßnahmen ergreifen: Bitsea Curator (OCCTET-Instanz) kombiniert automatisierte Analyse mit menschlicher Überprüfung, um Anwendern dabei zu helfen, Softwareinformationen zu verifizieren, zu beurteilen, ob Schwachstellen ihre Produkte betreffen, Probleme zu priorisieren und Entscheidungen zu dokumentieren. Es unterstützt zudem die Erstellung von Vulnerability Exploitability eXchange (VEX)-Berichten, die festhalten, ob ein Produkt von einer bekannten Schwachstelle betroffen ist.

Gemeinsam genutzte Softwareinformationen wiederverwenden: Die „Federated OSS Assessment Database“, vulnerablecode.io, bietet Informationen zu Open-Source-Paketen, einschließlich ihrer Herkunft, Lizenzen, Sicherheitshinweise, Schwachstellen und Referenz-SBOMs. Der öffentliche PurlDB-Demonstrator unterstützt die Erstellung von Referenz-SBOMs für mehr als 20 Millionen Pakete, während die VulnerableCode-Integration Schwachstelleninformationen mit den betroffenen Softwarepaketen verknüpft.

Das Toolkit wurde anhand komplexer, praxisnaher Software-Abhängigkeitsszenarien in zehn verschiedenen Technologie-Ökosystemen validiert. Die Tests umfassten weit verbreitete Open-Source-Projekte, eine groß angelegte Analyse des gesamten Projektportfolios der Eclipse Foundation sowie eine wachsende Zahl praxisnaher Anwendungsfälle aus dem Mittelstand. Die umfassende Validierung belegt, dass sich das Toolkit für unterschiedliche Technologien, Projektgrößen und Software-Lieferketten eignet. Tests haben gezeigt, dass das Toolkit in der Lage ist, komplexe Abhängigkeitsstrukturen zu analysieren, Schwachstellen zu identifizieren, die manuelle Überprüfung zu unterstützen und Sicherheitsprobleme über einen längeren Zeitraum hinweg zu überwachen.

Cyber Resilience Act: Erste Schritte mit OCCTET

Das Projekt „Open Source Compliance: Comprehensive Techniques and Essential Tools“ (OCCTET) bringt Branchenführer, Cybersicherheits-Experten, Vertreter von KMU und Open-Source-Organisationen zusammen, um Softwaresicherheit und die Vorbereitung auf den Cyber Resilience Act zugänglicher, transparenter und kosteneffizienter zu gestalten.

KMU und Open-Source-Projekte können das Toolkit und die verfügbaren Ressourcen unter occtet.eu erkunden. Organisationen, die daran interessiert sind, die Dienste mit echten Produkten und Entwicklungsabläufen zu testen und Feedback zur Unterstützung der kontinuierlichen Verbesserung zu geben, können „OCCTET Get Engaged“ besuchen.

OCCTET ergänzt die Arbeit der Eclipse Foundation, die Organisationen und Open-Source-Communities bei der Vorbereitung auf den Cyber Resilience Act unterstützt. Im Rahmen der Arbeitsgruppe „Open Regulatory Compliance“ (ORC) entwickeln die Teilnehmer gemeinschaftsorientierte Spezifikationen, Leitfäden, Schulungen und andere Ressourcen, um die Umsetzung des CRA im gesamten Open-Source-Ökosystem zu fördern.

Zu diesen Ressourcen gehört der kostenlose „ORC Learning Hub“, der praktische, rollenspezifische Schulungen anbietet. Hier können Open-Source-Entwickler, Betreuer, Projektverantwortliche, Produktteams sowie Sicherheits- und Compliance-Experten lernen, wie sich der Cyber Resilience Act auf ihre Arbeit auswirkt, und wie sie die Anforderungen in die Praxis umsetzen.

Die Community trifft sich zudem bei „Code & Compliance“, der wichtigsten ORC-Veranstaltung für Open-Source-Entwickler, Projektverantwortliche, Rechts- und Compliance-Experten, politische Entscheidungsträger und Branchenführer. Die nächste Veranstaltung findet am 27. Oktober 2026 in Brüssel statt und bietet ein Forum zum Erfahrungsaustausch, zur Weitergabe praktischer Leitlinien und zur Erörterung der Auswirkungen des CRA und anderer neuer digitaler Regularien auf das Open-Source-Ökosystem. Melden Sie sich jetzt an, um an der Diskussion teilzunehmen.

Safe & Secure by Design

Cyber Resilience Act: Wie KMUs Sicherheit, Kosten und Compliance vereinen