Geltungsbereich
Freie Software und die Cyberresilienz-Verordnung: Geld ist nicht das Kriterium
Veröffentlicht am . Geprüft anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024, und der Leitlinien der Kommission C(2026) 5252 vom 27. Juli 2026.
Ein Leser dieser Seite hat es klar formuliert: Sie scheine davon auszugehen, dass das Inverkehrbringen auf den Austausch von Geld beschränkt sei. Bei freier und quelloffener Software hat die Verordnung diese Frage nie gestellt, und am 27. Juli 2026 veröffentlichte die Kommission Leitlinien, die jeden Zweifel daran beseitigen. Das Kriterium ist die Bereitstellung im Rahmen einer Geschäftstätigkeit. Ein Preis ist ein Weg, dieses Kriterium auszulösen. Er ist nicht der einzige, und er ist nicht erforderlich.
Das Kriterium ist die Geschäftstätigkeit, nicht das Preisschild
Zwei Begriffsbestimmungen tragen die gesamte Regel. „Bereitstellung auf dem Markt“ ist die Abgabe eines Produkts zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit, und die Verordnung stellt ausdrücklich klar, dass dies unabhängig davon gilt, ob die Abgabe entgeltlich oder unentgeltlich erfolgt. „Hersteller“ erfasst jede Person, die ein Produkt entwickelt oder herstellt oder herstellen lässt und es unter ihrem eigenen Namen oder ihrer Marke vermarktet, und auch hier nennt die Verordnung Bezahlung, Monetarisierung und unentgeltliche Abgabe nebeneinander, keine auf Kosten der anderen.
„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“
„eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich“
Eine kostenlose Stufe, eine werbefinanzierte App, ein spendenfinanziertes Werkzeug und ein Gratis-Installer laufen alle über dasselbe Wort: Abgabe. Ob diese Abgabe im Rahmen einer Geschäftstätigkeit erfolgt, ist eine eigene Frage, und sie entscheidet darüber, ob die Abgabe als Bereitstellung auf dem Markt gilt.
Die Liste des Erwägungsgrunds 15, was eine Abgabe geschäftlich macht
Die Verordnung lässt „Geschäftstätigkeit“ für quelloffene Software nicht offen. Erwägungsgrund 15 nennt fünf Umstände, die eine Geschäftstätigkeit kennzeichnen können, und Randnummer 41 der Leitlinien ruft sie in Erinnerung: ein Entgelt für die Software selbst, bezahlte technische Unterstützung, die über die Deckung der tatsächlichen Kosten hinausgeht, eine Monetarisierungsabsicht über die Software, etwa eine Plattform, über die andere Produkte oder Dienste monetarisiert werden, eine Bedingung, die die Nutzung an die Verarbeitung personenbezogener Daten aus Gründen jenseits von Sicherheit, Kompatibilität oder Interoperabilität knüpft, oder Spenden, die die Kostendeckung übersteigen (Randnummer 41 der Leitlinien, unter Bezug auf Erwägungsgrund 15). Die Leitlinien schränken zwei dieser Punkte ein. Bezahlte Unterstützung rund um eine frei verfügbare Software genügt für sich allein nicht: entscheidend ist, ob der Zugang zur Software selbst von einer Zahlung abhängt (Randnummern 55 bis 56). Und Spenden zählen, selbst wenn sie die Kosten übersteigen, nur dann, wenn sie den Zugang zur Software, zu ihren Funktionen oder zu ihren Updates einschränken; ein Spendenlink, der nichts einschränkt, ist keine Gewinnerzielungsabsicht (Randnummern 61 bis 62).
„freie und quelloffene Software, die auf dem Markt bereitgestellt und somit zum Vertrieb oder zur Nutzung im Rahmen einer Geschäftstätigkeit verfügbar gemacht wird“
Wie die Leitlinien der Kommission elf Fallgruppen einordnen
Der Erwägungsgrund setzt die Kategorien, die Leitlinien arbeiten aus, wie sie in der Praxis wirken. Sie sind nicht verbindlich, veröffentlicht als Lesart der Kommission und nicht als Recht, aber sie sind die bislang klarste Aussage dazu, wo die fünf Auslöser in der Praxis greifen.
| Fallgruppe | In Verkehr gebracht? | Fundstelle bei der Kommission |
|---|---|---|
| Ein Entgelt für die Software selbst, etwa für vorkompilierte Binärdateien | Ja | Abschnitt 3.2.1, Randnummer 51 |
| Eine kostenlose Community-Version neben einer bezahlten Version desselben Codes, auch bei Open Core | Die kostenlose Version wird nicht in Verkehr gebracht. Die bezahlte Version wird in Verkehr gebracht. Eine juristische Person, die die kostenlose Version veröffentlicht, unterliegt zudem den Pflichten der Verwalter. | Abschnitt 3.2.1, Randnummern 52 bis 53 |
| Eine Marktplatz-App, über die der Anbieter Provisions-, Werbe- oder Abonnementeinnahmen erzielt | Ja | Abschnitt 3.2.2, Beispiel 14 |
| Eine VPN-App, die Zugang zu zusätzlichen Servern oder dedizierten IP-Adressen verkauft | Ja | Abschnitt 3.2.2, Beispiel 15 |
| Eine Fitness-App, deren Nutzung an die Verarbeitung personenbezogener Daten für Werbung oder sachfremde Analysen geknüpft ist | Ja | Abschnitt 3.2.2, Beispiel 16 |
| Eine bezahlte Version, die technische Unterstützung oder Leistungsoptimierung gegenüber der kostenlosen ergänzt | Ja | Abschnitt 3.2.3, Randnummer 57, Beispiel 17 |
| Separat verkaufte optionale Beratung oder Schulung neben einem Werkzeug, das frei herunterladbar, installierbar und aktualisierbar bleibt | Nein | Abschnitt 3.2.3, Randnummer 56, Beispiel 18 |
| Spenden, die nichts einschränken: Software, Quellcode und Updates bleiben für alle offen | Nein | Abschnitt 3.2.4, Randnummer 61, Beispiel 20 |
| Releases oder Sicherheitsupdates nur für Spender | Ja | Abschnitt 3.2.4, Randnummer 62, Beispiel 21 |
| Sponsoring oder Fördermittel für die Entwicklung offen geteilter, anderweitig nicht monetarisierter Software | Nein | Abschnitt 3.2.5, Randnummern 63 bis 65, Beispiel 23 |
| Ein gemeinnütziger Anbieter, dessen Erträge nach Kosten vollständig gemeinnützigen Zielen dienen | Nein, Pflichten als Verwalter können dennoch gelten | Abschnitt 3.2.6, Randnummer 66, Beispiel 24 |
Liest man die Tabelle von oben nach unten, wiederholt sich das Muster: Die Leitlinien fragen immer wieder, ob der Zugang zur Software selbst, oder zu einer Version, Funktion oder einem Update davon, von einer Zahlung abhängt, und sie behandeln ein als Spende getarntes Entgelt genauso wie ein Entgelt.
Ein Verwalter statt eines Herstellers für die kostenlose Version
Veröffentlicht eine juristische Person die kostenlose Version, die Erwägungsgrund 18 und die Leitlinien übereinstimmend als nicht in Verkehr gebracht ansehen, entkommt sie damit nicht ohne Pflichten. Die Verordnung gibt ihr eine eigene, leichtere Rolle: Verwalter quelloffener Software. Ein Verwalter unterstützt systematisch und nachhaltig die Entwicklung eines für kommerzielle Tätigkeiten bestimmten freien und quelloffenen Produkts und stellt dessen Brauchbarkeit sicher; ihre Kernpflicht nach Art. 24 Abs. 1 ist es, eine Cybersicherheitsstrategie zu dokumentieren.
„eine juristische Person, bei der es sich nicht um einen Hersteller handelt, die den Zweck oder das Ziel hat, die Entwicklung spezifischer Produkte mit digitalen Elementen, die als freie und quelloffene Software gelten und für kommerzielle Tätigkeiten bestimmt sind, systematisch und nachhaltig zu unterstützen, und die die Brauchbarkeit dieser Produkte sicherstellt“
„Verwalter quelloffener Software entwickeln und dokumentieren auf überprüfbare Weise eine Cybersicherheitsstrategie, um die Entwicklung eines sicheren Produkts mit digitalen Elementen sowie einen wirksamen Umgang mit Schwachstellen durch die Entwickler dieses Produkts zu fördern.“
Gemeinnützig bedeutet nicht unreguliert. Es bedeutet einen anderen, leichteren Pflichtenkatalog, und das Beispiel der Kommission zum gemeinnützigen Anbieter sagt genau das: Der Browser bleibt außerhalb des Inverkehrbringens, und die ihn veröffentlichende Organisation trägt weiterhin die Pflichten eines Verwalters.
Was sich am Prüfwerkzeug geändert hat
Der Cybiq-Assistent fragt jetzt zuerst, wer das Produkt in welchem Rahmen bereitstellt, nicht ob Geld fließt. Bei einer Antwort für freie und quelloffene Software durchläuft er dieselbe Liste wie die Leitlinien: ein Entgelt, eine Unterstützung, die den Zugang zur Software faktisch von einer Zahlung abhängig macht, Monetarisierung über die Software, eine Bedingung zu personenbezogenen Daten oder Spenden, die den Zugang einschränken. Der kostenlose Test unter cybiq.eu nennt im Ergebnis, welcher dieser Punkte zutrifft, zusammen mit dem Abschnitt und der Randnummer oder dem Beispiel der Leitlinien dahinter. Der vollständige Text steht unter Leitlinien der Kommission C(2026) 5252 vom 27. Juli 2026, nicht verbindlich.
Orientierung, keine Rechtsberatung. Vor jeder Verwendung gegen den amtlichen Text prüfen.