Auf den Punkt: Der Cyber Resilience Act macht Transparenz und Nachvollziehbarkeit von Software-Komponenten zur Pflicht und verschiebt dadurch Geschäftsmodelle von Lizenzverkauf hin zu lebenszyklusbasierter Verantwortungsübernahme durch IT-Dienstleister.
Der Cyber Resilience Act (CRA) verpflichtet Unternehmen zu nachvollziehbaren, sicheren Software-Lieferketten und rückt damit offene, transparente Architekturen in den Mittelpunkt moderner IT-Sicherheitsstrategien. Für CISOs verändert das nicht nur technische Anforderungen, sondern auch Verantwortlichkeiten gegenüber Herstellern und Dienstleistern.
Der CRA adressiert ein Problem, das in vielen Unternehmen längst zur Realität gehört: Software und digitale Infrastrukturen sind so eng verflochten, dass Sicherheit nicht mehr nachgelagert betrachtet werden kann. Themen wie Supply-Chain-Security, Software Bill of Materials (SBOM) und CVE-Management gewinnen dadurch erheblich an Bedeutung. Unternehmen müssen künftig lückenlos nachvollziehen können, welche Komponenten in ihren Systemen verbaut sind, wo Risiken liegen und wie Schwachstellen zügig identifiziert und behoben werden. Offene, transparente Software-Bausteine erweisen sich dabei als vorteilhaft, da sie automatisierbare, modulare und nachvollziehbare Strukturen ermöglichen – Eigenschaften, die für einen resilienten Betrieb moderner IT-Umgebungen kaum noch verzichtbar sind.
Der Wandel zeigt sich besonders deutlich in Netzwerk- und Security-Architekturen. Open Source ist dort nicht mehr auf einzelne Entwicklerteams oder Spezialanwendungen beschränkt, sondern bildet zunehmend die Grundlage für skalierbare Enterprise-Umgebungen. Technologien wie Kubernetes, containerisierte Systeme und Infrastructure-as-Code sowie Open-Source-Werkzeuge für Automatisierung, Compliance-Management und Software-Verwaltung verändern bereits den laufenden Betrieb. Aus technischer Sicht verdichten sich diese Entwicklungen zu drei zentralen Kompetenzfeldern: Plattform-Engineering, automatisierter Betrieb und Security-by-Design entlang der gesamten Software-Lieferkette.
Für Managed Service Provider (MSP) und IT-Dienstleister hat diese Entwicklung erhebliche wirtschaftliche Konsequenzen. Das bisherige Geschäftsmodell, das stark auf Lizenzmargen und dem Weiterverkauf proprietärer Lösungen beruhte, gerät unter Druck. Wertschöpfung entsteht zunehmend über Eigenleistung – etwa Plattformbetrieb, Managed Services mit belastbaren SLAs oder Beratung von der Analyse bis zur Architekturempfehlung. Dieser Wandel von „License Margin“ zu „Lifecycle Value“ verändert auch den Bewertungsmaßstab für Anbieter: Entscheidend ist nicht mehr allein das verkaufte Produkt, sondern die Begleitung über den gesamten Lebenszyklus.
Für CISOs ergibt sich daraus eine konkrete Konsequenz bei der Auswahl von Partnern: Wer Kunden über den gesamten Lebenszyklus begleitet, übernimmt auch die Verantwortung, die zuvor auf Hersteller, Dienstleister und Kunde verteilt war. Anbieter, die Integration, Betrieb und Compliance konsequent bündeln, positionieren sich als „Single Point of Liability“ – gerade in komplexen, regulierten Umgebungen wird diese Bündelung zum Differenzierungsmerkmal. Nicht die einzelne Lizenz oder Komponente entscheidet, sondern die Frage, wer im Zweifel für das Gesamtsystem geradesteht. Ein vollständiger Umstieg auf offene Architekturen wird dabei nicht kurzfristig erfolgen: Bestehende Systemlandschaften, regulatorische Abhängigkeiten und komplexe Legacy-Umgebungen bremsen die Transformation.
Quelle: www.it-daily.net · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.