Cyber Resilience Act
Komponente
Legaldefinition Art. 3 Nr. 6 CRA
„Software oder Hardware, die für die Integration in ein elektronisches Informationssystem bestimmt ist“
Eine Komponente ist Software oder Hardware, die für die Integration in ein elektronisches Informationssystem gedacht ist. Die Definition gehört zu den kürzesten der ganzen Verordnung, und ihr entscheidendes Wort ist bestimmt. Es zählt der Zweck, nicht die Größe. Eine einzelne Bibliothek fällt genauso darunter wie ein vollständiges Betriebssystem, das in ein Gerät eingebettet wird.
Die entscheidende Weiche
Der Cyber Resilience Act (CRA) behandelt Komponenten je nach Vermarktung völlig unterschiedlich:
- Eingebaut und nicht getrennt vermarktet, bleibt die Komponente Teil des Produkts. Verantwortlich ist der Hersteller des Produkts, in dem sie steckt.
- Getrennt in Verkehr gebracht, ist die Komponente selbst ein Produkt mit digitalen Elementen. Ihr Anbieter ist dafür Hersteller, mit allen Pflichten.
Dieselbe Bibliothek kann also gleichzeitig beides sein: eigenes Produkt in der Hand ihres Anbieters und Komponente in der Hand dessen, der sie einbaut.
Warum Ihre Verantwortung nicht nach oben verschwindet
Ein verbreiteter Irrtum lautet, die Verantwortung für eine zugekaufte Komponente liege beim Zulieferer. Für dessen Produkt trifft das zu, für Ihres dagegen nicht. Der CRA verlangt ausdrücklich, dass Schwachstellen des Produkts einschließlich seiner Komponenten behandelt werden.
Genau hier setzt die Software-Stückliste (SBOM) an: Ohne belastbares Verzeichnis der eingebauten Bausteine lässt sich diese Pflicht nicht erfüllen, weil schon die Frage „sind wir betroffen?“ unbeantwortbar bleibt.
Der Rückkanal zum Komponentenhersteller
Der CRA enthält eine Regel, die in der Praxis wenig beachtet wird: Hat ein Hersteller eine Software- oder Hardwareänderung entwickelt, um eine Schwachstelle in einer Komponente zu beheben, teilt er den betreffenden Code oder die Unterlagen der Stelle mit, die diese Komponente herstellt oder wartet, gegebenenfalls in einem maschinenlesbaren Format.
Aus der Pflicht, das eigene Produkt zu reparieren, wird damit ein Beitrag zur Lieferkette. Wer ohnehin patcht, sollte den Weg zurück zum Projekt gleich mit einplanen.
Praktische Folgen für die Beschaffung
Weil die Verantwortung für eingebaute Komponenten bei Ihnen bleibt, verschiebt sich die Auswahlfrage: Nicht nur Funktion und Lizenz entscheiden, sondern auch, wie lange eine Komponente gepflegt wird und wie schnell Sicherheitsinformationen dazu verfügbar sind. Der CRA nennt die Unterstützungszeiträume integrierter Fremdkomponenten, die Kernfunktionen erbringen, ausdrücklich als Aspekt, den Hersteller bei ihrem eigenen Unterstützungszeitraum berücksichtigen können.
Fragen aus der Praxis
-
Für Ihr Produkt ja. Der CRA verlangt, dass Schwachstellen des Produkts „einschließlich seiner Komponenten“ wirksam behandelt werden. Wer die Komponente geschrieben hat, ändert daran nichts. Ergänzend erwartet die Verordnung, dass Sie eine selbst entwickelte Korrektur an die Stelle weitergeben, die die Komponente pflegt.
-
Sobald Sie sie getrennt in Verkehr bringen. Die Definition des Produkts mit digitalen Elementen schließt Komponenten, die getrennt in den Verkehr gebracht werden, ausdrücklich ein. Ob sie beim Endnutzer ankommt oder nur bei anderen Herstellern, spielt keine Rolle. Mit der eigenständigen Vermarktung entsteht der volle Pflichtenkatalog.
-
Die Unentgeltlichkeit allein schützt nicht: Die Herstellerdefinition erfasst die Vermarktung ausdrücklich auch unentgeltlich. Für das quelloffene Umfeld sieht der CRA allerdings eine eigene, deutlich leichtere Rolle vor, nämlich den Verwalter quelloffener Software, der ausdrücklich kein Hersteller ist. Nicht-kommerzielle Open-Source-Entwicklung wird dadurch nicht in die Herstellerpflichten gezogen.
Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.