CRA ab 11. September: EOL-Open-Source wird zur Haftung
Abgekündigte Frameworks wie AngularJS oder Vue 2 laufen in vielen Produktivsystemen weiter. Mit dem Cyber Resilience Act wird aus technischen Altlasten ein regulatorisches Problem.
Hamburg, 31.08.2026 (PresseBox) - Ab dem 11. September 2026 greifen die Meldepflichten des EU Cyber Resilience Act, auch für Produkte, die längst im Markt sind. Wer abgekündigte Open-Source-Komponenten einsetzt, muss erklären, wer er sie patcht. ProLicense ist Reseller von HeroDevs und liefert Sicherheits-Support für End-of-Life-Software, ohne Migration und ohne Rewrite.
In fast jedem größeren Unternehmen laufen abgekündigte Open-Source-Komponenten im Produktivbetrieb weiter. AngularJS, Vue 2, jQuery, ältere Spring- oder .NET-Versionen. Sie funktionieren, aber sie bekommen keine Sicherheitsupdates mehr. Bislang war das eine Risikoabwägung. Mit dem EU Cyber Resilience Act wird daraus eine Frage der Regulierung. ProLicense, die unabhängige Lizenzberatung, ordnet ein, was jetzt zu tun ist.
Der Cyber Resilience Act macht Ernst
Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten. Ab dem 11. September 2026 gelten die Meldepflichten: Wer eine aktiv ausgenutzte Schwachstelle in seinem Produkt feststellt, muss sie innerhalb von 24 Stunden als Frühwarnung melden, nach 72 Stunden folgt die vollständige Meldung. Am 11. Dezember 2027 greifen dann alle übrigen Pflichten, von der Konformitätsbewertung über die SBOM bis zum Schwachstellenmanagement über den gesamten Supportzeitraum. Bußgelder reichen bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes. Wichtig: Die Meldepflicht trifft auch Produkte, die längst im Markt sind. Es genügt nicht, erst 2027 anzufangen.
Warum abgekündigte Komponenten zum Problem werden
Die meisten Produkte mit digitalen Elementen enthalten Open-Source-Komponenten. Das ist für sich genommen unproblematisch. Kritisch wird es, wenn diese Komponenten das Ende ihres Lebenszyklus erreichen und keine Sicherheitsupdates mehr erhalten. Der CRA interessiert sich nicht für den Lebenszyklus der Upstream-Bibliothek, sondern für den des eigenen Produkts. Hersteller müssen einen Supportzeitraum festlegen und in dieser Zeit Sicherheitsupdates liefern. Wer ein abgekündigtes Framework ausliefert, muss also beantworten, wie er Sicherheitsupdates für eine Komponente bereitstellt, deren Maintainer längst weitergezogen sind. Dazu kommen DORA im Finanzsektor und NIS2 in den kritischen Sektoren, die ebenfalls nachweisbares Schwachstellenmanagement verlangen.
„Viele Unternehmen behandeln End-of-Life-Frameworks als technische Schuld, die man irgendwann abträgt. Ab September ist das eine Haftungsfrage. Ein SBOM-Scan zeigt die Komponente, und dann steht die Frage im Raum, wer sie eigentlich patcht“, sagt Markus Oberg von ProLicense.
Never-Ending Support: patchen statt migrieren
HeroDevs Never-Ending Support, kurz NES, schließt genau diese Lücke. Für abgekündigte Open-Source-Software liefert NES laufende Behebung neuer Schwachstellen, forward-kompatible Drop-in-Patches und SLA-gestützten Support. Unterstützt werden unter anderem AngularJS, ältere Angular-Versionen, Vue 2, jQuery, Spring, .NET und .NET Core, Node.js, Bootstrap, Drupal 7, Tomcat und Next.js. Die Anwendung bleibt, wie sie ist. Es braucht keine Migration und keinen Rewrite, und das Migrationsfenster verlängert sich praktisch unbegrenzt. Wer will, migriert später und geplant, statt unter Termindruck.
ProLicense ist Reseller von HeroDevs
ProLicense ist Reseller von HeroDevs und verkauft Never-Ending Support direkt an Kunden. Dazu kommt die Beratung: Welche EOL-Komponenten stecken wirklich in den Produktivsystemen, welches Risiko geht davon aus, und was kostet NES im Vergleich zu einer Migration oder einem Rewrite? In der Regel liegt die Subscription deutlich unter den Kosten eines Rewrites, und sie wirkt sofort statt erst nach Projektabschluss. Ziel bleibt in jedem Fall dasselbe: minimale Kosten bei voller Compliance. Erreichbar ist das Team über die Kontaktseite oder unter +49 (0) 40-228 6828-0.
„Der Rewrite ist fast immer die teuerste Antwort auf ein EOL-Framework. Er bindet die besten Entwickler über Monate und liefert erst am Ende Sicherheit. Mit Never-Ending Support ist das System sofort compliant, und der Kunde entscheidet selbst, wann er migriert“, sagt Christian Grave, Geschäftsführer der ProLicense.
