Art. 3(14)Ein Open-Source-Software-Verwalter ist jede juristische Person, die die Entwicklung eines freien und quelloffenen Softwareprodukts systematisch unterstützt, dessen bestimmungsgemäßer Einsatz vernünftigerweise als kommerziell zu erwarten ist.
11. Dezember 2024 — CRA tritt in Kraft
Die Verordnung ist rechtsgültig. Produkte, die ab diesem Datum auf den Markt gebracht werden, müssen ab den Anwendungsdaten dem CRA entsprechen.
11. September 2026 — Meldepflichten für Schwachstellen gelten
Die Meldung von Schwachstellen und Vorfällen an ENISA gemäß Art. 14 wird obligatorisch. Dies ist die erste harte Frist. Hersteller müssen ihre Meldeprozesse vor diesem Datum eingerichtet haben.
11. Juni 2027 — Benennung von Konformitätsbewertungsstellen
Die Mitgliedstaaten müssen der Kommission Konformitätsbewertungsstellen notifizieren.
11. Dezember 2027 — Vollständige Verordnung gilt
Alle CRA-Anforderungen gelten für alle betroffenen Produkte. Es dürfen keine neuen Produkte auf den EU-Markt gebracht werden, die nicht konform sind.
Alle Wirtschaftsakteure müssen auf Anfrage der Marktüberwachungsbehörden in der Lage sein, (a) jeden Wirtschaftsakteur zu benennen, der ihnen ein Produkt geliefert hat, und (b) jeden Wirtschaftsakteur, dem sie ein Produkt geliefert haben. Die Aufzeichnungen sind ab jeder Transaktion 10 Jahre lang aufzubewahren.
Betreiber von Open-Source-Software müssen eine Cybersicherheitsrichtlinie einrichten und dokumentieren, die die Entwicklung eines sicheren Produkts fördert und eine effektive Behandlung von Schwachstellen in den von ihnen betreuten Open-Source-Software-Komponenten ermöglicht.
Betreiber von Open-Source-Software müssen das als Koordinator benannte CSIRT (Computer Security Incident Response Team) unverzüglich über jede aktiv ausgenutzte Schwachstelle in ihren Open-Source-Software-Komponenten sowie über jeden schwerwiegenden Vorfall, der die Sicherheit dieser Komponenten beeinträchtigt, informieren.
Betreiber von Open-Source-Software müssen auf Anfrage mit Marktüberwachungsbehörden kooperieren und alle für die Erfüllung ihrer Regulierungsaufgaben erforderlichen Informationen bereitstellen.
Auf Anfrage von Marktüberwachungsbehörden müssen Betreiber von Open-Source- Software technische Dokumentation für die von ihnen verwalteten Open-Source- Software-Komponenten erstellen und aktuell halten, die eine Beurteilung der Cybersicherheits-Konformität ermöglicht.
Erkunden Sie die vollständige Pflichtenbibliothek, verstehen Sie Ihre Rolle oder sehen Sie den regulatorischen Zeitplan.