Resumen

  • En RIPE 93, Barry O'Donovan explicó que contribuir código, sostener un proyecto libre y vender un producto digital son papeles distintos bajo el Cyber Resilience Act europeo.
  • Los fabricantes notifican vulnerabilidades explotadas desde septiembre de 2026; para los custodios del software libre esa obligación comienza en diciembre de 2027. El artículo 24 ya define el trabajo de documentar la gestión de fallos.

La clasificación llega al turno de guardia

O'Donovan habló en la sesión de código abierto de RIPE 93. Su pregunta práctica atravesaba las siglas: una red usa bibliotecas y herramientas que no fabrica, pero un incidente acaba en su propia pantalla. El reglamento europeo reserva la categoría de «steward» para una persona jurídica que sostiene de forma estable un producto libre destinado a actividades comerciales. El fabricante que coloca el producto en el mercado carga con otro conjunto de obligaciones.

La Comisión aclara que un repositorio público, las donaciones o los parches enviados por empleados de empresas no deciden por sí solos la clasificación. Lo que sí exige el artículo 24 al steward es una política verificable de seguridad: cómo se documentan, atienden y corrigen las vulnerabilidades. O'Donovan contó que su organización contrató a un desarrollador ocho meses antes y que los informes de fallos producidos con ayuda de IA ya le ocupaban tiempo. Esa imagen concreta vale más que llamar «ligera» a una obligación sin contar quién abrirá el correo.

El calendario oficial pone las notificaciones de fabricantes desde el 11 de septiembre de 2026 y las de stewards desde el 11 de diciembre de 2027. Una plataforma distribuye el aviso al CSIRT elegido y a ENISA. La diferencia de fecha importa; el usuario del software seguirá necesitando un canal de reparación durante ambos periodos.

La zona gris tiene nombres propios

Maria Matejka preguntó en la transcripción de la sesión quién decidiría si una entidad actúa como steward o fabricante. O'Donovan previó litigios. No se dictó allí ningún fallo sobre una organización concreta. Para una red, la prueba inmediata es más directa: identificar al equipo que recibe la alerta, al que prepara la versión y al que comunica qué instalación sigue expuesta. El expediente legal y la cola de incidencias se encuentran en ese traspaso.

Fuentes: charla RIPE 93; transcripción oficial; reglamento CRA; Comisión sobre código abierto; fechas de notificación.