Die Vereinbarung vereint die Expertise der Eclipse Foundation in den Bereichen Open-Source-Software-Governance, Branchenkooperation und regulatorische Vorbereitung mit den weltweit anerkannten Sicherheitsprojekten, Standards, Schulungen und der Community von OWASP. Die Organisationen werden Ressourcen entwickeln, um Entwickler, Projektmanager, Hersteller und Open-Source-Software-Teams bei der Verbesserung ihrer Sicherheitspraktiken und der Anpassung an die sich wandelnden regulatorischen Anforderungen zu unterstützen.
„Open-Source-Software ist eine kritische digitale Infrastruktur, doch die Verantwortung für ihre Sicherheit ist über ein komplexes globales Ökosystem verteilt“, so Mike Milinkovich, Geschäftsführer der Eclipse Foundation. „KI beschleunigt die Softwareentwicklung und die Entdeckung von Sicherheitslücken. Da die ersten verbindlichen Anforderungen des Cybersecurity Regulation Act (CRA) in wenigen Wochen in Kraft treten, ist es umso dringlicher, praktische und koordinierte Maßnahmen zu ergreifen. Durch die Kombination der Expertise und der Communities der Eclipse Foundation und von OWASP können wir die Fragmentierung verringern und Organisationen dabei unterstützen, ihre Sicherheit zu stärken und Maßnahmen zur Vorbereitung auf die neuen Vorschriften umzusetzen.“
Der CRA führt verbindliche Compliance-Anforderungen für die Cybersicherheit von Produkten mit digitalen Elementen ein, die in der EU angeboten werden, wie beispielsweise Produkte, die mit Open-Source-Software entwickelt wurden oder von dieser abhängig sind. Die Meldepflicht für Hersteller von Sicherheitslücken und Vorfällen tritt am 11. September 2026 in Kraft und verpflichtet Unternehmen, die notwendigen Prozesse und technischen Kapazitäten zur Identifizierung, zum Management und zur Meldung schwerwiegender Sicherheitsprobleme einzurichten.
Das neue Gesetz erkennt zudem formell die Bedeutung von Open-Source-Projektmanagern als Akteure in der Software-Lieferkette an. Obwohl sich ihre Aufgaben von denen der Hersteller unterscheiden, spielen Projektmanager eine entscheidende Rolle bei der sicheren Entwicklung, dem Schwachstellenmanagement, der Transparenz und der Zusammenarbeit im gesamten Open-Source-Ökosystem.
„Sicherheitsrichtlinien sind nur dann wirksam, wenn Entwickler, Maintainer und Unternehmen sie auch umsetzen können“, so Andrew van der Stock, CEO der OWASP Foundation. „Durch die Zusammenarbeit mit der Eclipse Foundation können wir die Reichweite und Wirkung der Sicherheitsexpertise von OWASP ausbauen und gleichzeitig Open-Source-Communities klarere und praxisorientiertere Anleitungen zur Verbesserung der Software-Lieferkette und zur Vorbereitung auf die Umsetzung des CRA bieten.“
Obwohl der CRA ein europäisches Gesetz ist, reichen seine Auswirkungen weltweit. Organisationen, die in der EU Produkte mit integrierter Software vertreiben, müssen ihre Verantwortung kennen. Dazu gehört die Entwicklung, Integration, Dokumentation, Wartung und Sicherung der Open-Source-Softwarekomponenten, auf denen diese Produkte basieren. Da laut dem OpenLogic-Bericht „State of Open Source 2026“ ist die Vorbereitung auf den Commodity Reconstruction Act (CRA) ein dringendes Anliegen der globalen Softwarebranche.
Gemäß der Vereinbarung (MoU) planen die Eclipse Foundation und OWASP die Zusammenarbeit in fünf Hauptbereichen:
• CRA-Bereitschaft des Open-Software-Ökosystems
• Koordination und Interoperabilität von Sicherheitspraktiken und -umgebungen
• Gemeinsame Schulungen und Community-Aktivitäten
• Unterstützung für Open-Software-Maintainer und Projektmanager
• Aufklärung über Richtlinien und regulatorische Vorgaben.
Zu den ersten Prioritäten gehören voraussichtlich praktische Leitfäden für Open-Software-Projektmanager, gemeinsame Webinare zur CRA-Bereitschaft, Unterstützungsressourcen für die Einführung der Software Bill of Materials (SBOM) und die Sicherheit der Software-Lieferkette sowie Community-Veranstaltungen, Seminare und Diskussionsrunden für Maintainer.
Beide Organisationen engagieren sich gemeinsam in der Open Regulatory Compliance Working Group (ORC WG) . Diese Arbeitsgruppe vereint Stiftungen für offene Software, globale Unternehmen und Branchenakteure, um praxisnahe Ressourcen zu entwickeln, die die Anpassung an die zunehmenden Auswirkungen der Regulierung offener Software erleichtern.
Ziel dieser Organisationen ist es nicht, konkurrierende Sicherheitsumgebungen zu schaffen, sondern bestehende Initiativen zu koordinieren und zu verstärken, die Akzeptanzraten zu erhöhen und Unternehmen bei der Implementierung nachhaltiger Sicherheits- und Regulierungsmaßnahmen über den gesamten Softwarelebenszyklus hinweg zu unterstützen.
