Die freie Software durchläuft keine Phase der Akzeptanz mehr. Sie tritt in eine Phase der Regulierung ein. Die in den letzten zwei Jahren verabschiedeten europäischen Texte definieren die Verpflichtungen der Herausgeber, Integratoren und Verwaltungen, die offenen Code bereitstellen. Das Verständnis dieser regulatorischen Bewegungen ist ebenso strategisch geworden wie das Verfolgen der Commits in einem Git-Repository.
Cyber Resilience Act und freie Software: Was der neue Sicherheitsrahmen ändert
Der europäische Cyber Resilience Act (CRA) verpflichtet nun die Softwarehersteller, die auf dem Markt sind, zu konkreten Verpflichtungen: Verwaltung von Schwachstellen, Bereitstellung eines SBOM und Sicherheitsupdates während des gesamten Produktlebenszyklus. Für Open-Source-Projekte, die im kommerziellen Rahmen verteilt werden, gelten diese Anforderungen unabhängig vom Geschäftsmodell.
Lesetipp : Alles über die Schritte und Gründe für eine CAF-Kontrolle bei Ihnen zu Hause
Das Regime sieht jedoch eine erleichterte Behandlung für nicht-kommerzielle Open Source vor. Ein ehrenamtlicher Maintainer, der Code auf einer öffentlichen Plattform veröffentlicht, unterliegt nicht denselben Anforderungen wie ein Herausgeber, der diesen Code in ein kostenpflichtiges Angebot integriert. Die Grenze zwischen diesen beiden Status bleibt jedoch in mehreren Anwendungsfällen unklar, insbesondere für Stiftungen, die vorkompilierte Binärdateien bereitstellen.
Wir beobachten, dass diese Unterscheidung einige Projekte dazu drängt, ihre Governance zu formalisieren. Die Erstellung eines nutzbaren SBOM erfordert die Nachverfolgung jeder Abhängigkeit, einschließlich transitorischer. Für mittelgroße Community-Projekte ist dies ein nicht unerheblicher Aufwand an Werkzeugen, der über die vorhandene Dokumentation hinausgeht. Die verfügbaren Ressourcen auf https://www.espacelibre.net/ ermöglichen es, die Entwicklung dieser Themen rund um die freie Software und ihre Gemeinschaften zu verfolgen.
Lesetipp : Entdecken Sie alle Automobiltrends und Neuigkeiten, die Sie in diesem Jahr nicht verpassen sollten
ANSSI und die industrielle Open-Source-Politik in Frankreich
Die ANSSI hat ihre Haltung gegenüber der Open Source im Februar 2026 geändert. Die Agentur beschränkt sich nicht mehr darauf, bewährte Sicherheitspraktiken für freie Software zu empfehlen: Sie präsentiert nun die freie Software als Hebel der Industriepolitik. Fragen zu Lizenzen, dem Transfer von Projekten zwischen Entitäten und der internen Nutzung von Open-Source-Lösungen durch die Agentur selbst sind Teil dieses neuen Ansatzes.
Diese Änderung der Rhetorik ist nicht kosmetisch. Indem die ANSSI die freie Software als Werkzeug technischer Souveränität positioniert, sendet sie ein Signal an die öffentlichen Auftraggeber. Die Verwaltungen, die zögerten, freie Software in ihren Ausschreibungen zu verankern, haben nun eine klarere institutionelle Unterstützung.
Exportkontrolle und Open-Source-Lizenzen
Ein Thema, das in den Gemeinschaftskreisen noch wenig behandelt wird, betrifft die Exportkontrolle, die auf Open-Source-Software angewendet wird. Die Regime für doppelte Verwendung können theoretisch auf Code angewendet werden, der unter einer freien Lizenz veröffentlicht wird, sofern er kryptografische Funktionen oder Überwachungsfähigkeiten enthält. Die Frage stellt sich mit neuer Dringlichkeit für europäische Projekte, die mit Beitragenden aus unter Sanktionen stehenden Jurisdiktionen zusammenarbeiten.
Europäische Interoperabilität: die 100-Tage-Sprints
Die Europäische Union hat ein Format für beschleunigte Zusammenarbeit in Form von 100-Tage-Sprints zur Interoperabilität von Open-Source-Komponenten ins Leben gerufen. Der erste Zielbereich ist die französische Digitale Suite und ihre deutschen und niederländischen Pendants. Ziel ist es, souveräne Werkzeuge, die unabhängig entwickelt wurden, auf gemeinsame Protokolle zu bringen.
Dieses Format unterscheidet sich von den üblichen Zyklen der europäischen Standardisierung, die sich über mehrere Jahre erstrecken. Die Konzentration der technischen Arbeit auf einen engen Bereich mit kurzfristigen Ergebnissen zwingt die Teams, die tatsächlichen Reibungspunkte (Dateiformate, föderierte Authentifizierung, Identitätsmanagement) zu priorisieren, anstatt theoretische Spezifikationen zu erstellen.
Wir empfehlen, diese Arbeiten genau zu verfolgen. Wenn die Sprints greifbare Ergebnisse liefern, könnten sie ein reproduzierbares Modell für andere Bereiche werden, insbesondere im Gesundheitswesen oder im Bildungswesen, wo freie Software-Suiten koexistieren, ohne interoperabel zu sein.
Initiative Akrites: Koordination von Open-Source-Schwachstellen im Zeitalter der KI
Die Linux Foundation und ihre Partner haben Akrites ins Leben gerufen, eine Open-Source-Initiative für Cybersicherheit, die darauf abzielt, die Offenlegung und Behebung von Schwachstellen in freien Projekten besser zu koordinieren. Der Kontext ist klar: Die KI beschleunigt die Entdeckung von Schwachstellen, und die manuellen Sortierungsprozesse kommen nicht mehr hinterher.
Akrites ersetzt nicht die CVEs oder die bestehenden Meldesysteme. Das Projekt strukturiert eine Koordinierungsebene zwischen Maintainers, Sicherheitsexperten und industriellen Nutzern. Drei Achsen treten hervor:
- Ein Protokoll für koordinierte Offenlegung, das auf Community-Projekte zugeschnitten ist, die kein dediziertes Sicherheitsteam haben
- Automatisierte Sortierungswerkzeuge zur Priorisierung von Schwachstellen basierend auf ihrer tatsächlichen Ausnutzbarkeit, nicht nur auf ihrem CVSS-Score
- Ein Benachrichtigungsmechanismus für Distributionen und Integratoren, die Open-Source-Abhängigkeiten einbinden
Die Verbindung zum CRA ist direkt. Herausgeber, die der europäischen Verordnung unterliegen, müssen nachweisen, dass sie die Schwachstellen ihrer Abhängigkeiten aktiv verwalten. Akrites bietet eine gemeinsame Infrastruktur zur Erfüllung dieser Verpflichtung, was die individuelle Belastung jedes Projekts verringert.
Open-Source-KI: Die Spannung zwischen Offenheit und Kontrolle
Die Rolle der Open Source in der künstlichen Intelligenz hat eine neue Dimension angenommen. Ein großer Teil der Sprachmodelle und Trainingsframeworks basiert auf offenem Code. Aber die Vorstellung von Open Source, die auf KI angewendet wird, ist umstritten: Die Gewährung der Gewichte eines Modells ohne die Trainingsdaten oder den Preprocessing-Code entspricht nicht den klassischen Kriterien der Softwarefreiheit.
Diese Mehrdeutigkeit hat konkrete Konsequenzen. Die sogenannten “offenen” Modelle, die von großen Industrieakteuren veröffentlicht werden, verwenden oft restriktive Lizenzen, die bestimmte kommerzielle Nutzungen verbieten oder Bedingungen für die Weiterverbreitung auferlegen, die mit traditionellen freien Lizenzen unvereinbar sind. Der Begriff Open Source, der auf KI angewendet wird, umfasst sehr unterschiedliche rechtliche Realitäten, je nach Projekt.
Das Inkrafttreten der europäischen Verordnung über KI fügt eine weitere Komplexitätsebene hinzu. Die Verpflichtungen zur Transparenz und Dokumentation variieren je nach Risikoniveau des Systems. Ein unter einer freien Lizenz veröffentlichtes Modell, das in ein Hochrisikosystem integriert ist, erbt die regulatorischen Anforderungen des Endsystems, nicht die seiner Lizenz.
Die freie Software ändert ihre Natur, wenn sie von einem Entwicklerwerkzeug zu einem regulierten Baustein wird. Die Gemeinschaften, die diesen Wandel antizipieren, indem sie ihre Governance strukturieren, ihre Compliance-Kette ausstatten und an Normungsarbeiten teilnehmen, positionieren sich, um in einem Ökosystem relevant zu bleiben, in dem der Code allein nicht mehr ausreicht.