Die freie Software bezeichnet jedes Programm, dessen Quellcode zugänglich, modifizierbar und gemäß den Bedingungen einer offenen Lizenz redistributierbar ist. Dieses Prinzip, das seit mehreren Jahrzehnten in der Kultur der Softwareentwicklung verankert ist, durchläuft eine Phase schneller Veränderungen. Europäische Regulierung, Strategie der digitalen Souveränität des französischen öffentlichen Sektors, zunehmender Druck der künstlichen Intelligenz auf die Governance-Modelle: Die Linien verschieben sich an mehreren Fronten gleichzeitig.
Cyber Resilience Act: Was die europäische Regulierung für Open-Source-Code ändert
Der Cyber Resilience Act (CRA), der von der Europäischen Union verabschiedet wurde, definiert die Sicherheitsanforderungen für digitale Produkte neu, einschließlich derjenigen, die Open-Source-Komponenten integrieren. Der Text führt eine Unterscheidung zwischen kommerziell vertriebenen freien Software und solchen, die von ehrenamtlichen Gemeinschaften ohne direkte kommerzielle Aktivität gepflegt werden, ein.
Konkret wird ein Herausgeber, der eine Open-Source-Bibliothek in ein verkauftes oder monetarisiertes Produkt integriert, für dessen Konformität verantwortlich. Der Begriff “Inverkehrbringen” erstreckt sich auf Updates und Sicherheits-Patches: Ein fehlender Patch kann nun als fehlerhaftes Produkt im Sinne der neuen europäischen Richtlinie zur Produkthaftung angesehen werden.
Für nicht-kommerzielle Gemeinschaftsprojekte sieht der CRA einen geschützten Status vor, aber die Grenze bleibt unklar. Eine Stiftung, die Spenden von Unternehmen erhält oder kostenpflichtigen Support anbietet, könnte in den kommerziellen Bereich fallen. Die OpenSSF (Open Source Security Foundation) hat mehrere Sitzungen abgehalten, um diese Grauzonen zu klären, insbesondere zu der Frage, wann eine Komponente als “versendet” gilt und zur Verantwortungskette zwischen Maintainer und Integratoren. Mehrere Informationen auf rockette-libre.org ermöglichen es, diese regulatorischen Entwicklungen im Laufe ihrer Veröffentlichung zu verfolgen.
GNU/Linux in der französischen Verwaltung: Der Plan der DINUM zur Reduzierung der Abhängigkeiten
Im April 2026 kündigte die Interministerielle Direktion für digitale Angelegenheiten (DINUM) die Umstellung aller Arbeitsplätze ihrer Administratoren auf GNU/Linux an. Dieser Schritt ist Teil eines interministeriellen Plans zur Reduzierung nicht-europäischer Abhängigkeiten, der während eines Seminars auf Initiative des Premierministers vorgestellt wurde.
Die DINUM, die zur ARIANE (Referenzbehörde für KI und digitale Angelegenheiten des Staates) werden soll, verknüpft diese Migration ausdrücklich mit dem Aufbau eines Ökosystems digitaler Gemeingüter. Die Überlegung geht über den einfachen Austausch des Betriebssystems hinaus: Es geht darum, die Softwarebausteine zu beherrschen, auf denen die öffentlichen Dienstleistungen basieren, vom Arbeitsplatz bis zu den Fachanwendungen.
Diese Art der großangelegten Migration wirft konkrete Fragen auf, die die institutionellen Ankündigungen nicht immer im Detail behandeln:
- Die Kompatibilität bestehender Fachanwendungen, die oft für eine Windows-Umgebung entwickelt wurden, erfordert eine vollständige Anwendungsprüfung und manchmal eine teilweise Neuschreibung.
- Die Schulung der öffentlichen Bediensteten in einer neuen Büro-Umgebung stellt einen menschlichen und organisatorischen Kostenfaktor dar, der den Erfolg des Projekts beeinflusst.
- Die langfristige Wartung der gewählten Linux-Distributionen muss gewährleistet sein, andernfalls könnte eine Abhängigkeit von einem neuen Anbieter oder einer fragilen Gemeinschaft entstehen.
Das politische Signal bleibt stark. Wenn ein Mitgliedstaat seine eigenen IT-Dienste auf freie Software umstellt, legitimiert dies den Ansatz für alle Kommunen und öffentlichen Einrichtungen.
Open Source Maintenance Instrument: Die Nachhaltigkeit der Softwarebausteine finanzieren
Die Open-Source-Strategie der Europäischen Kommission umfasst einen Aspekt, der in der allgemeinen Presse selten behandelt wird: die Frage der langfristigen Wartung freier Komponenten. Die Idee eines Open Source Maintenance Instrument zielt darauf ab, die Wartung von Bibliotheken und Werkzeugen, von denen Tausende von Projekten, sowohl öffentlich als auch privat, abhängen, direkt zu finanzieren.
Das Problem ist seit Jahren dokumentiert. Eine Verschlüsselungsbibliothek oder ein Netzwerkprotokoll-Analyzer, die von einer Handvoll ehrenamtlicher Entwickler gewartet werden, können im Zentrum kritischer Infrastrukturen stehen, ohne dass jemand ihre Prüfung oder Weiterentwicklung finanziert. Die Log4Shell-Sicherheitslücke hatte dieses Risiko auf spektakuläre Weise veranschaulicht.
Die Kommission sieht auch Mechanismen zur Abhängigkeitsanalyse vor, um die verwendeten Open-Source-Komponenten in den europäischen Systemen zu kartieren. Das Ziel ist doppelt: die fragilen Glieder der Softwarekette zu identifizieren und die Finanzierungen auf die Projekte zu lenken, die am dringendsten darauf angewiesen sind.
Künstliche Intelligenz und Open-Source-Lizenzen: Ein Governance-Modell unter Druck
Die angekündigte Übernahme von Hugging Face durch Nvidia für fast dreizehn Milliarden Dollar veranschaulicht einen grundlegenden Trend: Große Open-Source-KI-Plattformen ziehen massive Investitionen an, was die Frage ihrer zukünftigen Unabhängigkeit aufwirft. Nvidia hat erklärt, die Offenheit der Plattform für verschiedene Modelle, Clouds und Beschleuniger bewahren zu wollen, aber die Geschichte der freien Software zeigt, dass die Versprechen der Offenheit schlecht mit Rentabilitätslogiken vereinbar sind.
Das Lizenzmodell, das auf Komponenten der künstlichen Intelligenz angewendet wird, bleibt ein Diskussionsthema. Kann ein Sprachmodell, dessen Gewichte unter einer permissiven Lizenz veröffentlicht werden, dessen Trainingsdaten jedoch undurchsichtig bleiben, wirklich als Open Source qualifiziert werden? Die Open Source Initiative arbeitet an einer angepassten Definition, die sich von der für klassischen Softwarecode unterscheidet.
Der EU AI Act fügt eine zusätzliche regulatorische Ebene hinzu. Allgemein verwendete KI-Modelle, die unter einer freien Lizenz vertrieben werden, müssen Transparenzanforderungen hinsichtlich der Trainingsdaten und Risikobewertungen erfüllen. Die Zeitpläne für die Einhaltung des CRA und des AI Act überschneiden sich, was die Aufgabe der Entwickler und Stiftungen, die diese Projekte pflegen, erschwert.
Die europäische Strategie deckt ausdrücklich Cloud, Edge Computing, Cybersicherheit und Entwicklungstools ab, mit dem erklärten Ziel, das Lock-in zu reduzieren. Freie Software ist nicht mehr nur eine Frage der Philosophie oder der Kosten: Sie wird zu einem Hebel der Industriepolitik. Die kommenden Monate werden entscheiden, ob die Finanzierungs- und Governance-Mechanismen mit dem Tempo der formulierten Ambitionen Schritt halten.
