Thought Leadership
Der Cyber Resilience Act (CRA) verändert die Rahmenbedingungen für IT-Anbieter und ihre Kunden grundlegend. Was auf den ersten Blick wie ein weiteres Compliance-Thema wirkt, ist in Wahrheit ein Treiber für einen tiefergehenden Strukturwandel.
Open-Source-Architekturen rücken von der Nischenlösung in die Mitte moderner Netzwerk- und Security-Strategien. Für Unternehmen bedeutet das nicht nur neue technische Anforderungen, sondern auch ein Umdenken bei Geschäftsmodellen, Rollen und Verantwortlichkeiten.
Im Kern adressiert der CRA ein Problem, das in vielen Unternehmen längst Realität ist: Software und digitale Infrastrukturen sind heute so stark miteinander verflochten, dass Sicherheit nicht mehr nachgelagert betrachtet werden kann. Themen wie Supply-Chain-Security, SBOM (Software Bill of Materials) und CVE-Management (Common Vulnerabilities and Exposures) gewinnen deshalb stark an Bedeutung. Unternehmen müssen künftig nachvollziehen können, welche Komponenten in ihren Systemen enthalten sind, wo Risiken liegen und wie Schwachstellen schnell erkannt und behoben werden. Genau an dieser Stelle werden offene Architekturen und transparente Software-Bausteine zu einem entscheidenden Vorteil. Denn wer moderne IT-Umgebungen sicher und resilient betreiben will, kommt an automatisierbaren, modularen und nachvollziehbaren Strukturen kaum noch vorbei.
Technologische Unabhängigkeit und Stabilität
Besonders sichtbar wird dieser Wandel in Netzwerk- und Security-Architekturen. Open Source ist hier längst nicht mehr nur ein Thema für einzelne Entwicklerteams oder Spezialanwendungen, sondern wird zur Grundlage für skalierbare Enterprise-Umgebungen. Technologien wie Kubernetes, containerisierte Systeme oder Infrastructure-as-Code zeigen, wie stark sich der Betrieb bereits verändert hat. Hinzu kommen Open-Source-Tools für Automatisierung, Compliance-Management und Software-Verwaltung, die Unternehmen helfen, ihre Systeme effizienter und zugleich kontrollierbarer zu gestalten. Aus technischer Sicht verdichten sich diese Entwicklungen zu drei zentralen Kompetenzfeldern: Plattform-Engineering, automatisierter Betrieb sowie Security-by-Design entlang der gesamten Software-Lieferkette.
Revenue-Stream verschiebt sich
Für Managed Service Provider (MSP) und IT-Dienstleister hat diese Entwicklung erhebliche wirtschaftliche Folgen. Das bisherige Geschäftsmodell, das stark auf Lizenzmargen und dem Weiterverkauf proprietärer Lösungen beruhte, gerät unter Druck. Wo Erlöse traditionell über Lizenzmargen von Herstellern generiert wurden, entsteht Wertschöpfung zunehmend über Eigenleistung, etwa durch Plattformbetrieb, Managed Services mit belastbaren SLAs oder der Beratung von der Analyse bis zur Architekturempfehlung. Dieser Wandel von „License Margin“ zu „Lifecycle Value“ verändert auch den Maßstab für Erfolg. Entscheidend ist nicht mehr allein, welche Produkte ein Anbieter verkauft, sondern wie gut er Kunden über den gesamten Lebenszyklus hinweg begleitet.
Diese Verschiebung hat eine logische Konsequenz für das Rollenverständnis von ICT-Dienstleistern: Wer Kunden über den gesamten Lebenszyklus begleitet, übernimmt damit auch die Verantwortung, die zuvor auf Hersteller, Dienstleister und Kunde verteilt war. Anbieter, die diese Verantwortung für Integration, Betrieb und Compliance konsequent bündeln – statt sie zwischen mehreren Vertragspartnern zu zerstreuen –, positionieren sich als „Single Point of Liability“. Gerade in komplexen, regulierten Umgebungen wird genau das zum eigentlichen Differenzierungsmerkmal: Nicht die einzelne Lizenz oder Komponente entscheidet, sondern die Frage, wer im Zweifel für das Gesamtsystem geradesteht.
Ein vollständiger Umstieg auf offene Architekturen wird allerdings nicht von heute auf morgen stattfinden. Bestehende Systemlandschaften, regulatorische Abhängigkeiten und komplexe Legacy-Umgebungen bremsen die Transformation.
Genau in dieser Gemengelage liegt die eigentliche Herausforderung für ICT-Dienstleister: Die Fähigkeit, zwischen proprietären und offenen Architekturen flexibel zu vermitteln, wird zum entscheidenden Kundenvorteil. Insbesondere jene Dienstleister sind dieser Aufgabe gewachsen, die sich bewusst nicht als reine Open-Source-Anbieter, sondern als strategische Begleiter verstehen, die Kunden je nach Ausgangslage, Risikoprofil und Zielarchitektur ganzheitlich beraten. Wer beide Welten beherrscht, kann Kunden pragmatisch durch den Wandel führen, statt sie auf ein Entweder-oder festzulegen.
Fachkräfte gewinnen und weiterentwickeln
Mit dem technologischen Wandel verändern sich auch die Anforderungen an Teams und Rollenprofile. Die Grenzen zwischen Software und Hardware verschwimmen in Enterprise- und Carrier-Netzen ebenso wie im Bereich Cyber Security. Neue Rollen gewinnen an Bedeutung, etwa Open Source Integration Architects, Network Automation Engineers oder AI Governance Analysts. Gleichzeitig wird der souveräne Umgang mit KI zu einer Grundkompetenz, die für viele Stellen vorausgesetzt wird. Unternehmen stehen damit vor einer doppelten Aufgabe: Sie müssen geeignete Talente finden und zugleich neue Kompetenzprofile intern aufbauen. Da erfahrene Fachkräfte in diesen Bereichen rar sind, gewinnt frühe Talententwicklung an Bedeutung. Kooperationen mit Hochschulen, Präsenz in Open-Source-Ökosystemen und der Aufbau eigener Communities können dabei entscheidende Hebel sein.
Kulturwandel ist Voraussetzung
Neben Technik und Personal entscheidet auch die Kultur über den Erfolg. Denn ein echter Wandel lässt sich nicht allein über Schulungen organisieren. Wer neue Architekturen einführt, muss beim Anwendungsfall anfangen und nicht bei der Technologie. Genau darin liegt der Unterschied zwischen einer theoretischen Modernisierung und einer funktionierenden Praxis. Formate wie gemeinsame Rapid Prototyping-Sessions mit Kunden zeigen, wie schnell sich konkrete Lösungen entwickeln lassen, wenn Technologie nicht als Selbstzweck verstanden wird. Zugleich verändert die aktive Teilnahme an Open-Source-Communities auch den Umgang mit geistigem Eigentum und offen verfügbarem Wissen. Erfolgreich sind diejenigen, die hier eine Balance finden zwischen Offenheit, Schutz und professioneller Einordnung.
Der Blick nach vorn zeigt: Historisch gewachsene Ökosysteme und neue Greenfield-Umgebungen entwickeln sich unterschiedlich schnell, folgen aber derselben Richtung. Gerade in neu entstehenden Rechenzentrums- und Cloud-Umgebungen lassen sich Standards und Sicherheitsprinzipien deutlich konsequenter umsetzen. Gleichzeitig bleibt Flexibilität entscheidend, denn Standardisierung darf nicht in starre Muster umschlagen. Wer sich auf den relevanten Kern konzentriert und pragmatisch priorisiert, schafft die Voraussetzungen für schnelle, sichere und belastbare Projekte. Besonders im Public Sector wird deutlich, wie sich Regulierungsdruck, Förderlogik und Ausschreibungen zu einem Marktumfeld verdichten, in dem souveräne, offene und nachvollziehbare Architekturen immer stärker gefragt sind.
Fazit
Der Cyber Resilience Act ist nicht nur eine neue regulatorische Pflicht, sondern ein Beschleuniger einer Entwicklung, die ohnehin in Gang ist. Er zwingt Unternehmen dazu, Sicherheit, Transparenz und Resilienz neu zu denken. Open Source entpuppt sich zunehmend als strategischer Hebel für ICT-Dienstleister, die Kunden nicht nur technisch begleiten, sondern ganzheitlich durch den Wandel führen, denn Open Source ist keine Spezialanwendung, sondern eine strategische Grundlage für digitale Souveränität.
