Software-Entwicklungshäuser

Sie entwickeln Individualsoftware, mobile und Desktop-Anwendungen, Backend-Systeme, APIs, Embedded Software und oft kritische Kernanwendungen Ihrer Kunden. Ihre Arbeit ist selten sichtbar von außen, aber regulatorisch stehen Sie im Zentrum: Sie produzieren Code, der Geschäftsprozesse trägt.

Keine andere Gruppe ist so eindeutig von der neuen Regulierung erfasst. Die Produkthaftungsrichtlinie nennt Entwickler ausdrücklich als Hersteller (Art. 8), der CRA behandelt jede entwickelte Software als Produkt mit digitalen Elementen (Art. 3 Nr. 1), und als Zulieferer kritischer Geschäftsfunktionen sind Sie unmittelbar in DORA- und NIS2-Lieferketten eingebunden.

Typische Projekte und ihre regulatorische Einordnung

Individualsoftware für Geschäftsprozesse

Ob Sie ein Warenwirtschaftssystem, ein Produktionsleitsystem, ein Buchhaltungsmodul oder eine Branchenlösung entwickeln - diese Software ist nach CRA ein Produkt mit digitalen Elementen. Ihre Kunden betreiben sie als Kernbestandteil ihres Geschäfts. Fällt sie aus oder enthält sie Schwachstellen, greift die Produkthaftung unmittelbar.

Bei DORA-Kunden wird solche Software oft als "kritische Funktion" eingestuft (Art. 28 Abs. 5 DORA) - mit entsprechend verschärften Anforderungen an Qualität, Dokumentation und Ausstiegsfähigkeit.

Mobile Apps für Endkunden und Mitarbeiter

Apps sind eindeutige CRA-Produkte. Wenn sie für regulierte Kunden gebaut werden - Banking-Apps, Versicherungs-Apps, Gesundheits-Apps - kommen DORA oder NIS2 hinzu. Apps, die Zahlungsverkehr, Authentifizierung oder Gesundheitsdaten verarbeiten, fallen außerdem in den "kritischen" CRA-Bereich nach Anhang III und IV der Verordnung.

Backends, APIs und Microservices

Backend-Entwicklung ist oft unsichtbar, aber regulatorisch am problematischsten: Backends verarbeiten die sensibelsten Daten und tragen die zentralen Geschäftsprozesse. Ein fehlerhaftes Backend kann einen kompletten Betrieb stilllegen oder Daten im großen Stil kompromittieren - Art. 6 Abs. 1 lit. c der Produkthaftungsrichtlinie (Datenverlust als Haftungsgrund) adressiert genau diese Fälle.

Embedded Software

Embedded-Entwicklung für Industrie, Medizin, Automotive oder Energie fällt in mehreren Dimensionen unter die neuen Gesetze: CRA als Software in Produkten, Produkthaftung als Teil eines sicherheitsrelevanten Produkts, NIS2 als Zulieferung für kritische Sektoren. In der Regel kommen noch sektorspezifische Anforderungen hinzu - etwa die Maschinen- Verordnung, IEC 62443, MDR oder UN-R 155.

Core Banking, Insurance Core, Health-Systeme

Wenn Sie Kernsysteme für Finanzinstitute, Versicherungen oder Krankenhäuser entwickeln, arbeiten Sie am schärfsten regulierten Ende des Spektrums. DORA betrachtet solche Systeme als "kritische IKT-Services" (Art. 28 Abs. 5), die Lieferantensteuerung ist maximal. Sie werden im DORA-Informationsregister Ihres Kunden prominent geführt.

Welche Gesetze greifen bei welchen Kunden

Zwei Gesetze greifen immer, unabhängig davon, für wen Sie entwickeln:

Weil Software-Entwicklungshäuser oft zentrale Kernanwendungen liefern, kommen zusätzlich DORA und NIS2 über die Kundenseite ins Spiel:

Auch ohne regulierte Endkunden gilt für alle Ihre Auftragsentwicklungen die Produkthaftungsrichtlinie. Die Vorstellung, "das ist Sache des Kunden", trägt rechtlich nicht.

Konkrete Konsequenzen

Rechtlich stehen auf dem Spiel:

Vertraglich werden Ihre Kunden verlangen:

Operativ müssen Sie etablieren:

Finanziell kommt auf Sie zu:

Sicherheit ist auch ohne Pflicht ein Wettbewerbsvorteil

Wer Kernsoftware entwickelt, konkurriert gegen andere Entwicklungshäuser, die im Pitch ähnlich gut klingen. Der Unterschied entsteht dort, wo Professionalität nachweisbar wird: dokumentierte SBOM, nachvollziehbares Schwachstellenmanagement, ein funktionierender Responsible-Disclosure-Prozess, Entwicklung nach ISO/IEC 18974.

Das ist nicht nur Compliance - es ist ein Qualitätssignal, das im Verkauf wirkt: bessere Abschlussquoten bei anspruchsvollen Kunden, höhere Tagessätze, günstigere Versicherungsprämien, stärkere Kundenbindung. Ihre besten Entwicklerinnen und Entwickler bleiben lieber dort, wo die Prozesse sauber sind. Die Investition zahlt sich mehrfach aus - auch ohne regulatorischen Druck.

Wie OTTRIA Software-Entwickler unterstützt

Kein Entwicklungshaus kann die Sicherheit aller eingesetzten Open-Source-Komponenten intern tragen. Moderne Projekte haben Hunderte bis Tausende transitiver Abhängigkeiten in oft mehreren Programmiersprachen. OTTRIA übernimmt diesen Teil:

Sie konzentrieren sich auf das, was Ihr Kerngeschäft ist: Software entwickeln. OTTRIA liefert den Open-Source-Sorgfaltsteil, den kein Entwicklungshaus alleine bewältigen kann.

Erstgespräch vereinbaren

Zurück zur Übersicht für Software-Dienstleister

Weiterlesen