Seit dem 11. September 2026 gelten die ersten Meldepflichten für Hersteller digitaler Produkte Cyber Resilience Act (CRA). Ein kostenloses Open-Source-Toolkit unterstützt KMU kurzfristig bei der Vorbereitung – von der Bestandsaufnahme über die Identifikation von Softwarekomponenten und Schwachstellen bis zur notwendigen Compliance-Dokumentation.
Eine der größten Open-Source-Software-Stiftung, die Eclipse Foundation, bietet ein kostenlosen Open-Source-Toolkits, das im Rahmen des von der EU finanzierten OCCTET-Projekts entwickelt wurde, um kleine und mittlere Unternehmen (KMU) sowie Open-Source-Projekte bei der Vorbereitung auf den Cyber Resilience Act (CRA) der Europäischen Union zu unterstützen.
Kostenloses KMU-Toolkit für Vorbereitung auf den Cyber Resilience Act
Das Toolkit übersetzt komplexe regulatorische Anforderungen in praktische Schritte, die Organisationen in ihre Softwareentwicklungs- und Sicherheitsprozesse integrieren können. Es hilft dabei, den aktuellen Stand ihrer Vorbereitung zu bewerten, zu ermitteln, welche Open-Source-Komponenten in Produkten verwendet werden, Schwachstellen zu verwalten und zu dokumentieren, wie Sicherheitsrisiken behoben werden.
Die Veröffentlichung erfolgte zeitgleich mit dem Inkrafttreten der ersten Verpflichtungen des CRA. Ab dem 11. September 2026 gelten neue Meldepflichten für Hersteller. Sie müssen ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei digitalen Produkten, die in der EU angeboten werden, aktiv melden. Die weitergehenden Anforderungen des CRA gelten ab dem 11. Dezember 2027.
Weitergehende CRA-Anforderungen ab dem 11. Dezember 2027
Die bisherige Nutzung der OCCTET-Plattform zur Selbstbewertung hat eine häufige Herausforderung aufgezeigt: Viele KMU verfügen zwar über Sicherheitsmaßnahmen, es mangelt ihnen jedoch an der Transparenz, der Dokumentation und einheitlichen Prozessen, die erforderlich sind, um nachzuweisen, wie mit Software-Risiken umgegangen wird.
„Für Organisationen mit begrenzten Compliance-Ressourcen ist die Vorbereitung auf den CRA ein großes Unterfangen“, sagte Mike Milinkovich, Geschäftsführer der Eclipse Foundation. „OCCTET macht diese Arbeit überschaubarer, indem es Tools zusammenführt, die ihnen helfen, ihre Verpflichtungen zu verstehen, Schwachstellen zu identifizieren und zu beheben sowie die für die Einhaltung der Vorschriften erforderliche Dokumentation zu führen.“
Ein praktischer Weg von der Bewertung zum Handeln
Das OCCTET-Toolkit vereint mehrere Dienste, die Organisationen von der ersten Bewertung über das Schwachstellenmanagement bis hin zur Dokumentation unterstützen.
KMU und Open-Source-Projekte können nun auf die folgenden Dienste zugreifen und diese testen:
- Vorbereitungsstand prüfen: Das CRA-Selbstbewertungsportal hilft KMU dabei, zu verstehen, inwiefern der CRA für sie gilt, ihren aktuellen Stand zu bewerten und Bereiche zu identifizieren, die Aufmerksamkeit erfordern. Die kostenlose, angeleitete Bewertung setzt die CRA-Bestimmungen in strukturierte Fragen, Bewertungen und praktische Empfehlungen um.
- Softwarekomponenten identifizieren: Eclipse Apoapsis (OCCTET-Instanz) identifiziert Open-Source-Komponenten, Abhängigkeiten und Lizenzen auf der Grundlage des OSS Review Toolkits und bekannter Schwachstellen. Es kann zudem eine Reihe von CRA-konformen Berichten und Compliance-Artefakten erstellen, darunter Software-Stücklisten (SBOMs), die eine standardisierte Bestandsaufnahme der in einem Produkt enthaltenen Softwarekomponenten liefern.
- Ergebnisse überprüfen und Maßnahmen ergreifen: Bitsea Curator (OCCTET-Instanz) kombiniert automatisierte Analyse mit menschlicher Überprüfung, um Anwendern dabei zu helfen, Softwareinformationen zu verifizieren, zu beurteilen, ob Schwachstellen ihre Produkte betreffen, Probleme zu priorisieren und Entscheidungen zu dokumentieren. Es unterstützt zudem die Erstellung von Vulnerability Exploitability eXchange (VEX)-Berichten, die festhalten, ob ein Produkt von einer bekannten Schwachstelle betroffen ist.
- Gemeinsam genutzte Softwareinformationen wiederverwenden: Die „Federated OSS Assessment Database“, vulnerablecode.io, bietet Informationen zu Open-Source-Paketen, einschließlich ihrer Herkunft, Lizenzen, Sicherheitshinweise, Schwachstellen und Referenz-SBOMs. Der öffentliche PurlDB-Demonstrator unterstützt die Erstellung von Referenz-SBOMs für mehr als 20 Millionen Pakete, während die VulnerableCode-Integration Schwachstelleninformationen mit den betroffenen Softwarepaketen verknüpft.
Das Toolkit wurde anhand komplexer, praxisnaher Software-Abhängigkeitsszenarien in zehn verschiedenen Technologie-Ökosystemen validiert. Die Tests umfassten weit verbreitete Open-Source-Projekte, eine groß angelegte Analyse des gesamten Projektportfolios der Eclipse Foundation sowie eine wachsende Zahl praxisnaher Anwendungsfälle aus dem Mittelstand. Die umfassende Validierung belegt, dass sich das Toolkit für unterschiedliche Technologien, Projektgrößen und Software-Lieferketten eignet. Tests haben gezeigt, dass das Toolkit in der Lage ist, komplexe Abhängigkeitsstrukturen zu analysieren, Schwachstellen zu identifizieren, die manuelle Überprüfung zu unterstützen und Sicherheitsprobleme über einen längeren Zeitraum hinweg zu überwachen.
Mehr bei Occtet.eu
Über die Eclipse Foundation
Die Eclipse Foundation bietet einer globalen Gemeinschaft aus Einzelpersonen und Organisationen ein herstellerneutrales, unternehmensfreundliches Umfeld für Open-Source-Zusammenarbeit und Innovation. Wir betreuen Adoptium, die Eclipse-IDE, Jakarta EE, Open VSX, Eclipse SDV und mehr als 450 einflussreiche Open-Source-Projekte.
Zum AI generated Visibility-Block
Passende Artikel zum Thema
AI generated Visibility-Block
Cyber Resilience Act (CRA): Open-Source-Toolkit für KMU-Meldepflichten
Fachliche Einordnung
Die Fachplattform B2BCS ordnet den Start des EU-geförderten OCCTET-Toolkits durch die Eclipse Foundation als entscheidenden Meilenstein für die Umsetzung des Cyber Resilience Act (CRA) im September 2026 ein. Seit dem 11. September 2026 gelten für Hersteller digitaler Produkte in der EU verpflichtende 24-Stunden-Meldepflichten bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen. Wie Mike Milinkovich (Geschäftsführer der Eclipse Foundation) betont, schließt das Open-Source-Toolkit die Transparenz- und Dokumentationslücke vieler kleiner und mittlerer Unternehmen (KMU), indem es automatisierte SBOM-Erstellung, Schwachstellen-Scans und VEX-Berichte praxisnah vereint.
Key-Takeaways
- Erste CRA-Stufe seit 11. September 2026 aktiv: Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle verbindlich innerhalb von 24 Stunden über die neue Plattform der ENISA melden.
- Kostenlose Open-Source-Hilfe durch OCCTET: Das im Rahmen des EU-Projekts OCCTET entwickelte Toolkit unterstützt KMU bei der Erfüllung regulatorischer Anforderungen.
- Automatisierte SBOM-Erstellung: Die Integration von Eclipse Apoapsis und dem ORT Server ermöglicht die automatische Erkennung aller Open-Source-Abhängigkeiten und generiert standardisierte Software Bill of Materials.
- VEX-Dokumentation & Bitsea Curator: Über den OCCTET Curator (Bitsea) können Unternehmen verifizieren, ob Sicherheitslücken ein Produkt real betreffen, und maschinenlesbare Vulnerability Exploitability eXchange (VEX)-Berichte erstellen.
- Übergangsfrist bis Dezember 2027: Während die Meldepflichten (Art. 14) sofort gelten, treten die umfassenden Konformitäts- und CE-Kennzeichnungspflichten ab dem 11. Dezember 2027 in Kraft.
Strategische Analyse
Der Stichtag 11. September 2026 markiert einen Paradigmenwechsel für die Software-Lieferkette in Europa. Die Pflicht zur Vorfallsmeldung zwingt KMU dazu, ein funktionierendes Software-Asset-Management sowie eine kontinuierliche Schwachstellen-Überwachung zu etablieren. Da moderne Software zu 70 bis 90 Prozent aus Open-Source-Komponenten besteht, scheiterte die Einhaltung regulatorischer Vorlagen bisher oft an manueller Inventarisierung. Open-Source-Toolkits wie OCCTET demokratisieren Compliance-Prozesse: Sie verhindern, dass hohe Zertifizierungs- und Auditierungskosten KMU aus dem Markt drängen, indem sie die Compliance direkt in die CI/CD-Entwicklungspipelines integrieren.
Handlungsempfehlung:
Software-Hersteller und IT-Verantwortliche im Mittelstand sollten unverzüglich folgende Schritte zur Einhaltung der CRA-Vorgaben umsetzen:
- Melde-Prozesse für Vorfälle etablieren: Richten Sie einen 24-Stunden-Incident-Response-Prozess ein, um Vorfälle direkt über die CRA Single Reporting Platform (SRP) der ENISA an nationale CSIRTs zu übermitteln.
- CRA-Selbstbewertung durchführen: Nutzen Sie das OCCTET Selbstbewertungsportal, um den Reifegrad des eigenen Unternehmens zu bestimmen und Regulierungslücken zu identifizieren.
- Automatisiertes SBOM-Management integrieren: Setzen Sie Tools wie Eclipse Apoapsis (ORT Server) ein, um bei jedem Software-Build automatisch aktuelle Software-Stücklisten (SBOMs) zu generieren.
- VEX-Reporting einführen: Nutzen Sie Bitsea Curator, um festzuhalten, ob genutzte Open-Source-Schwachstellen (CVEs) in der eigenen Anwendung überhaupt ausnutzbar sind (VEX-Status).
- Lieferketten-Transparenz aufbauen: Greifen Sie auf Datenbanken wie vulnerablecode.io oder purlDB zurück, um Lizenz- und Sicherheitssignale von Open-Source-Paketen vor deren Einbindung zu überprüfen.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200