Résumé

  • Barry O'Donovan a décrit à RIPE 93 trois places dans la chaîne du logiciel libre : le contributeur individuel, l'organisation qui soutient durablement un produit et le fabricant qui le met sur le marché. Le CRA attribue des tâches différentes à chacun.
  • Un responsable de projet libre doit documenter le traitement des vulnérabilités. Selon la Commission européenne, son obligation de notification prend effet en décembre 2027, après celle des fabricants entrée en vigueur en septembre 2026.

Le dépôt n'est pas le standard téléphonique

Sur la scène de RIPE 93, O'Donovan parlait à des exploitants qui installent chaque jour du code écrit ailleurs. Ils peuvent connaître le dépôt, mais ignorer qui surveille les failles, qui prépare une version corrigée et qui avertit les utilisateurs. Le texte européen crée une catégorie pour l'organisation qui assure durablement la viabilité d'un logiciel libre destiné à des usages commerciaux : l'« open-source software steward ». Il distingue cette fonction du fabricant qui commercialise un produit.

L'explication de la Commission écarte les raccourcis faciles. Publier sur GitHub, recevoir des contributions d'entreprises ou accepter des dons ne tranche pas seul le statut. L'article 24 demande au steward une politique de sécurité vérifiable, avec réception, traitement et correction des failles. O'Donovan a raconté que son organisation avait recruté un développeur huit mois plus tôt; les signalements issus de recherches assistées par IA occupent désormais une part de son travail. C'est son témoignage sur la charge, pas une mesure du secteur.

Les dates rendent la distinction concrète. La Commission fixe au 11 septembre 2026 le début des notifications des fabricants et au 11 décembre 2027 celui des stewards. La plateforme commune transmet aux équipes nationales de réponse et à ENISA. Un délai juridique peut être long; une faille exploitée ne réserve pas sa place dans l'agenda.

La question de Maria Matejka

Pendant les questions, Maria Matejka a demandé qui séparerait, dans les cas ambigus, steward et fabricant. O'Donovan a prédit des litiges. La salle n'a classé juridiquement aucune organisation. Elle a cependant montré le test qui manque souvent aux contrats d'approvisionnement : pouvoir nommer l'équipe qui reçoit l'alerte et la personne qui publie le correctif. Sans ce chemin, le mot « responsable » reste imprimé sur une page de politique.

Sources : intervention RIPE 93 ; transcription ; règlement européen ; Commission, logiciel libre ; calendrier des notifications.