الخلاصة

  • عرض Barry O'Donovan في RIPE 93 ثلاثة أدوار في البرمجيات المفتوحة: مساهم فردي، وجهة قانونية تدعم منتجاً على نحو مستمر، وشركة تطرح منتجاً رقمياً في السوق. يوزّع قانون المرونة السيبرانية الأوروبي الواجبات بين هذه الأدوار.
  • بدأت واجبات إبلاغ الشركات المصنعة عن الثغرات المستغلة في سبتمبر 2026، بينما يبدأ التزام الجهات القائمة على البرمجيات المفتوحة في ديسمبر 2027. سياسة استقبال الثغرات ومعالجتها تحتاج إلى فريق قادر على العمل.

العنوان المنشور لا يرد على الرسائل

في جلسة RIPE 93 خاطب O'Donovan أشخاصاً يشغّلون شبكات تعتمد على برمجيات لم يكتبوها. رفع الشيفرة إلى مستودع عام، وتمويل صيانتها زمناً طويلاً، وبيع منتج مبني عليها أعمال مختلفة. تشرح المفوضية الأوروبية أن الجهة القائمة على البرمجيات المفتوحة كيان قانوني يدعم منتجاً محدداً باستمرار ويضمن استمراره عندما يكون موجهاً لأنشطة تجارية. وللشركة المصنعة التزامات المنتج الذي تعرضه في السوق.

تفرض المادة 24 على تلك الجهة سياسة أمن موثقة يمكن التحقق منها، تشمل توثيق الثغرات والتعامل معها وإصلاحها. وجود التبرعات أو مساهمات موظفي شركات لا يحسم الصفة وحده. هذا التفصيل مهم حين تسأل مؤسسة تعتمد على الشيفرة: من يستلم البلاغ مساءً، ومن يملك حق نشر التحديث صباحاً؟

قال O'Donovan في المحضر الرسمي إن مؤسسته وظفت مطوراً قبل ثمانية أشهر، وأصبح استلام بلاغات من باحثين يستخدمون أدوات الذكاء الاصطناعي جزءاً من عمله. يصف ذلك عبئاً داخل فريقه. إنتاج البلاغات أسرع من قراءة الشيفرة وإعداد التصحيح؛ وهنا يظهر ثمن الصيانة الذي يخفيه وصف البرمجية بأنها مجانية.

تحدد المفوضية 11 سبتمبر 2026 لبداية إبلاغ الشركات المصنعة و11 ديسمبر 2027 لبداية الواجب المقابل للجهات القائمة على المشاريع. تُرسل البلاغات عبر منصة موحدة إلى فريق الاستجابة الوطني المختار وENISA. سألت Maria Matejka خلال الجلسة عمن يفصل بين الجهة القائمة والشركة المصنعة. توقع O'Donovan نزاعات قضائية؛ لم يصدر في القاعة حكم بشأن مؤسسة بعينها. يستطيع المشغّل قبل ذلك اختبار قناة البلاغ ومسار إصدار الإصلاح.

المصادر: حديث RIPE 93؛ المحضر؛ نص القانون الأوروبي؛ شرح المفوضية؛ مواعيد الإبلاغ.