Mit dem Cyber Resilience Act (CRA) hat die EU eine neue Rolle eingeführt: den "Verwalter quelloffener Software" (Open Source Steward). Diese Rolle betrifft juristische Personen, die die Entwicklung freier Software systematisch und nachhaltig unterstützen - also genau das, was Foundations tun.
Das Problem: Viele Foundations können oder wollen die damit verbundenen Pflichten nicht übernehmen. Sie arbeiten international, oft unter US-Recht, mit begrenzten Ressourcen und ohne europäische Rechtsabteilung. Trotzdem können sie nach dem CRA als Steward gelten, sobald die betreuten Projekte in der EU für kommerzielle Zwecke eingesetzt werden.
Der CRA verpflichtet Verwalter quelloffener Software zu einer Reihe von Maßnahmen (Art. 24 CRA):
Diese Pflichten gelten, sobald ein Projekt für kommerzielle Tätigkeiten bestimmt ist - und das trifft auf die meisten Foundation-Projekte zu.
Das Problem der Zeitzonen verschärft die Situation zusätzlich: Viele Foundations arbeiten über zahlreiche Zeitzonen hinweg verteilt, mit Maintainern in den USA, Europa und Asien. Eine 24-Stunden-Meldefrist einzuhalten, wenn der zuständige Maintainer gerade schläft und die Behörde in einer anderen Zeitzone arbeitet, ist eine organisatorische Herausforderung, die professionelle Prozesse erfordert.
Ein wichtiger Punkt: Die Steward-Rolle ist keine exklusive Position. Es kann mehr als einen Steward für ein Projekt geben. Wenn eine Foundation selbst Steward sein will oder aufgrund ihrer Rolle als Steward gilt, schließt das nicht aus, dass OTTRIA ebenfalls als Steward für dasselbe Projekt agiert. Im Gegenteil: OTTRIA kann die Foundation gezielt bei den europäischen Pflichten entlasten, während die Foundation ihre globale Rolle beibehält.
Wenn OTTRIA die Steward-Rolle für ein Projekt übernimmt, gehen die Pflichten nach Art. 24 CRA auf OTTRIA über. Die Foundation muss sich nicht selbst als Steward registrieren und nicht die damit verbundenen Prozesse aufbauen.
Das bedeutet:
Der CRA ist eine EU-Verordnung. Die Behörden kommunizieren auf Deutsch, Französisch oder in anderen EU-Amtssprachen. Die rechtlichen Anforderungen basieren auf europäischem Recht.
Für eine Foundation mit Sitz in den USA oder einer anderen nicht-EU-Jurisdiktion bedeutet das: Sie müssten sich mit einem Rechtssystem auseinandersetzen, das nicht Ihres ist, in einer Sprache, die nicht Ihre ist. OTTRIA übernimmt das. Wir sind ein europäisches Unternehmen mit Sitz in Deutschland und arbeiten direkt mit den zuständigen Behörden.
OTTRIA arbeitet im bestehenden Projekt - nicht in einem Fork. Alle Beiträge, Patches und Reviews fließen zurück ins Original-Repository. Die Governance des Projekts bleibt bei der Foundation. OTTRIA agiert als Dienstleister, nicht als Konkurrent.
Die Steward-Pflichten aus dem CRA sind nur ein Teil der Gleichung. Der eigentliche Druck entsteht bei den Nutzern Ihrer Projekte:
Dieser regulatorische Druck fließt upstream. OTTRIA absorbiert ihn: als europäischer Ansprechpartner, der die Unternehmensanfragen bearbeitet, die Behördenkommunikation übernimmt und die Nachweise liefert, die Ihre Nutzer brauchen.
Neben der Steward-Rolle bietet OTTRIA Foundations und Großprojekten weitere operative Unterstützung:
Unternehmen, die Software einer Foundation einsetzen, profitieren ebenfalls. Wenn OTTRIA als Steward für ein Foundation-Projekt agiert, erhalten Hersteller:
Die freiwillige Sicherheitsbescheinigung nach Art. 25 CRA kann Herstellern die Integration von Open-Source-Komponenten erleichtern - ein weiterer Vorteil der professionellen Steward-Betreuung.
Die Steward-Pflichten nach Art. 24 CRA sind substanziell: dokumentierte Cybersicherheitsstrategie, aktives Schwachstellenmanagement, Meldepflichten innerhalb von 24 Stunden, Zusammenarbeit mit Marktaufsichtsbehörden in der jeweiligen Landessprache. Marktaufsichtsbehörden können Korrekturmaßnahmen verlangen (Art. 52 Abs. 3 CRA). OTTRIA übernimmt diese Pflichten mit den professionellen Prozessen, die sie erfordern.
Sie vertreten eine Foundation oder ein Großprojekt und möchten über Stewardship sprechen? Kontaktieren Sie uns für ein unverbindliches Gespräch.