Ohne Support: Wenn Spring Boot zum Compliance-Thema wird

Vier Regelwerke, ein Befund

DORA gilt im Finanzsektor seit Januar 2025 und verlangt ein Risikomanagement für Informations- und Kommunikationstechnik, das unterstützte Software voraussetzt. Die BaFin-Anforderungen aus BAIT und VAIT führen abgekündigte Software als Prüfungsfeststellung. In Deutschland gilt NIS2 seit dem 6. Dezember 2025 über das NIS2-Umsetzungsgesetz, in Österreich beginnt die Anwendung des NISG 2026 am 1. Oktober 2026. Der Cyber Resilience Act verpflichtet Hersteller seit dem 11. September 2026 zur Meldung aktiv ausgenutzter Schwachstellen, die volle Anwendbarkeit folgt im Dezember 2027.

Hersteller melden, ohne patchen zu können

Für Softwarehäuser, Maschinenbauer und Medizintechnikhersteller verschärft sich die Lage. Wer ein Produkt mit digitalen Elementen ausliefert, muss eine ausgenutzte Schwachstelle melden. Steckt in diesem Produkt eine abgekündigte Komponente, existiert kein Patch, den der Hersteller nachreichen könnte.

„Im Audit zählt nicht die Absicht, sondern der Nachweis. Ein Migrationsprojekt im Plan ersetzt keinen Patch. Ohne dokumentierte Absicherung bleibt die Feststellung im Bericht stehen“, sagt Markus Oberg, Partner und Business Development Manager der ProLicense.

Versicherer fragen genauer nach

Cyberversicherer prüfen nach einem Vorfall, ob abgekündigte Software dazu beigetragen hat, und kürzen Leistungen häufiger. ISO 27001 und SOC 2 verlangen für Komponenten ohne Support einen dokumentierten Plan zur Risikominderung. PCI DSS v4 bewertet jede solche Komponente im Zahlungsumfeld als Abweichung.

Austausch unter Lizenzmanagern

Markus Oberg ist zugleich Chairman der Lighthouse Alliance, einer herstellerunabhängigen Community von Software-Lizenzmanagern und IT-Einkäufern im DACH-Raum. Der Umgang mit abgekündigten Komponenten betrifft dort Mitglieder aus Finanzwirtschaft, Industrie und öffentlicher Verwaltung gleichermaßen.

Bewertung im Einzelfall

Welche Komponenten betroffen sind und wie viele Anwendungen daran hängen, klärt ProLicense im Einzelfall. Die Beratung ist Partner von HeroDevs für den DACH-Raum und bewertet unabhängig, ob Drittsupport, Migration oder eine Kombination die geringeren Kosten bei voller Compliance ergibt. Unternehmen wenden sich dafür direkt an ProLicense.