Gewerbliche Tätigkeit
Die Verordnung gilt nur für Produkte, die im Rahmen einer gewerblichen Tätigkeit bereitgestellt werden. Ob Geld fließt, ist dabei nur eines von mehreren Anzeichen.
Gewerbliche Tätigkeit, in der Verordnung auch Geschäftstätigkeit, ist die Voraussetzung dafür, dass eine Bereitstellung unter den Cyber Resilience Act fällt. Sie trennt kommerzielle Produkte von Hobbyprojekten und nicht monetarisierter Open-Source-Software.
Definition in der Verordnung
Artikel 3 Nummer 22 der Verordnung (EU) 2024/2847 setzt für die Bereitstellung auf dem Markt eine Geschäftstätigkeit voraus. Erwägungsgrund 15 nennt die Indizien: ein Preis für das Produkt, Entgelt für technischen Support über die Kostendeckung hinaus und die Absicht, mit dem Produkt Gewinn zu erzielen, etwa als Plattform für andere Dienste. Dazu zählen auch die Verarbeitung personenbezogener Daten als Nutzungsbedingung, soweit sie nicht allein der Sicherheit oder Kompatibilität dient, sowie Spenden, die über die Kosten hinausgehen. Spenden ohne Gewinnabsicht sind keine Geschäftstätigkeit. Erwägungsgrund 18 ergänzt: Finanzierung, regelmäßige Releases oder die Entwicklung durch gemeinnützige Organisationen machen Open-Source-Software für sich genommen nicht kommerziell. Die Leitlinie der Kommission C(2026) 5252 zählt kostenpflichtige Versionen, bei denen der Zugang zur Software oder ihre Wartung an ein Entgelt gebunden ist, zur Geschäftstätigkeit (Randnummern 51 bis 57); getrennt angebotene Dienstleistungen wie Beratung oder Schulung nicht (Randnummer 55, Beispiel 18). Wer Support zu fremder Open Source leistet, bringt sie nicht in Verkehr, solange er sie dabei nicht wesentlich ändert (Randnummer 59).
Was das für Hersteller bedeutet
Für ein Unternehmen, das Produkte verkauft, ist die Frage schnell beantwortet: Es handelt gewerblich. Interessant wird der Begriff bei Nebenprodukten. Ein kostenloses Werkzeug auf der Firmenwebsite, das Kunden zum bezahlten Produkt führt, spricht nach unserer Lesart von Erwägungsgrund 15 (Gewinnerzielungsabsicht) für eine Geschäftstätigkeit. Eine kostenlose Community-Edition neben einer bezahlten Edition ist laut Leitlinie ein eigenes Produkt, das nicht in Verkehr gebracht wird; die bezahlte Edition schon (Randnummer 52). Wer Open-Source-Komponenten lediglich einbaut, muss die Frage für die Komponente nicht klären; für ihn gilt die Sorgfaltspflicht nach Artikel 13 Absatz 5, ausdrücklich auch bei nicht kommerzieller Software.
Kostenlose VorlagenCRA-Meldepflicht-KitMelde-Playbook, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Rufkette und Fristenrechner. Sechs Word-Vorlagen, zwei Excel-Mappen und ein Handbuch, kostenlos per E-Mail.Kit anfordernVerwandte Begriffe
- Bereitstellung auf dem Markt
- Inverkehrbringen
- Freie und quelloffene Software
- Verwalter quelloffener Software (Open-Source-Steward)