CRA und Open Source: Mitwirkende, Hersteller und Stewards unterscheiden

Worum es geht

Stand: 25. Oktober 2026. Der CRA behandelt Open-Source-Software nach der Art der Produktbereitstellung und der Rolle des jeweiligen Akteurs. Bei Änderungen der Finanzierung, des Vertriebs oder der Verantwortung die Verordnung, ihre Berichtigungen und die Open-Source-Hinweise der Kommission erneut prüfen. Die hier verwendeten Hinweise wurden am 15. Oktober 2026 aktualisiert.

Die Kommission erläutert, dass Open-Source-Software, die gewerblich auf dem Markt bereitgestellt wird, unter den CRA fallen kann. Sie unterscheidet zudem Mitwirkende an Software ausserhalb ihrer Verantwortung und eine eigene Kategorie von Open-Source-Software-Stewards. Eine Open-Source-Lizenz allein entscheidet diese Einordnung nicht. Open-Source-Hinweise der Kommission.

Warum es wichtig ist

Erwägungsgrund 18 trennt die Entwicklungsfinanzierung von der gewerblichen Bereitstellung. Beiträge von Herstellern, finanzielle Unterstützung und regelmässige Releases machen eine Open-Source-Tätigkeit für sich genommen nicht gewerblich. Software, die ihr Hersteller nicht monetarisiert, sollte nicht auf dieser Grundlage als gewerblich bereitgestellt behandelt werden. Umgekehrt ist ein kostenloser Download nicht ausschlaggebend: Erwägungsgrund 15 behandelt die Monetarisierung durch andere Dienstleistungen und Supportgebühren, die über die Deckung tatsächlicher Kosten hinausgehen. Die Prüfung betrifft die tatsächlichen Verhältnisse, nicht nur die Lizenz des Repositorys. Verordnung, Erwägungsgründe 15 und 18.

Auch die Geltungsdaten unterscheiden sich. Die Meldepflicht der Hersteller nach Artikel 14 gilt seit dem 11. September 2026. Die Pflichten der Stewards nach Artikel 24, einschliesslich der Meldungen, gelten ab dem 11. Dezember 2027. Die Meldeseite der Kommission benennt diesen Unterschied ausdrücklich.

So wird es angewendet

• Die Verantwortung für jedes Produkt bestimmen. Erwägungsgrund 18 nimmt Personen und juristische Personen aus, die lediglich Quellcode zu Open-Source-Produkten ausserhalb ihrer Verantwortung beitragen. Diese Formulierung sollte nicht zu einer pauschalen Ausnahme für alle ausgeweitet werden, die als Maintainer bezeichnet werden.
• Die Herstellerrolle prüfen. Artikel 3(13) betrifft den Akteur, der ein Produkt entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke vermarktet. Wird ein erfasstes Open-Source-Produkt gewerblich in Verkehr gebracht, gelten laut Kommission die Herstellerpflichten. Die meisten weitergehenden CRA-Anforderungen gelten gemäss Artikel 71 ab dem 11. Dezember 2027; für die Meldepflicht gilt das frühere Datum.
• Die Steward-Definition getrennt prüfen. Artikel 3(14) beschreibt eine juristische Person, die kein Hersteller ist, die Entwicklung bestimmter für gewerbliche Tätigkeiten vorgesehener Open-Source-Produkte systematisch und dauerhaft unterstützt und deren Tragfähigkeit sicherstellt. Eine Projektbezeichnung oder eine Spende allein belegt nicht alle diese Merkmale.
• Die angepassten Pflichten lesen. Artikel 24 verlangt eine dokumentierte Cybersicherheitsrichtlinie zur Unterstützung sicherer Entwicklung und des Umgangs mit Schwachstellen sowie die Zusammenarbeit mit Marktüberwachungsbehörden. Der Umfang der Meldepflicht ist eingeschränkt: Die Meldung von Schwachstellen richtet sich nach der Beteiligung des Stewards an der Produktentwicklung; Meldungen schwerwiegender Vorfälle und die in Bezug genommenen Pflichten zur Nutzerinformation betreffen Vorfälle, die sich auf die Netzwerk- und Informationssysteme auswirken, die der Steward für diese Entwicklung bereitstellt. Es handelt sich nicht um eine uneingeschränkte Pflicht, jeden Vorfall bei nachgelagerten Nutzern zu melden. Diese Unterscheidungen ergeben sich aus Artikel 3 und 24.
• Die Grundlage der Einordnung prüfbar halten. Als organisatorischer Vorschlag: den verantwortlichen Akteur, die Eigentumsverhältnisse am Produkt, die Vertriebsregelungen, die Monetarisierung und die bereitgestellte Infrastruktur dokumentieren. Die herangezogenen Bestimmungen beifügen und ungeklärte Tatsachen für eine fachkundige Prüfung kennzeichnen.

Stolpersteine

Eine Befreiung von verwaltungsrechtlichen Geldbussen befreit nicht von den Pflichten eines Stewards. Die Kommission erklärt, dass die verwaltungsrechtlichen Geldbussen des CRA für Stewards nicht gelten. Artikel 64(10) zusammen mit der Berichtigung vom 2. Juli 2025 lesen, die den Absatzbereich in dieser Ausnahme korrigiert. Diese Ausnahme nicht allein deshalb auf einen Hersteller übertragen, weil sein Produkt eine Open-Source-Lizenz verwendet.

Schliesslich entscheidet der Status eines vorgelagerten Projekts nicht über die Pflichten eines Herstellers, der dessen Komponenten in ein anderes Produkt integriert. Akteure und Produkte getrennt beurteilen, statt der gesamten Abhängigkeitskette einen einzigen Status zuzuweisen.