要約

  • Barry O'DonovanはRIPE 93で、無償の個人貢献、ソフトを継続支援する法人、市場に製品を出す製造者を区別した。欧州のCyber Resilience Actは立場ごとに異なる義務を置く。
  • 欧州委員会によれば、製造者の報告義務は2026年9月11日に始まり、オープンソースのstewardに関する報告義務は2027年12月11日から始まる。修正の現場には今日から人手が要る。

役割を分けても、メールは届く

RIPE 93の講演でO'Donovanは、ネットワーク運用者が依存するソフトの作り手に話を移した。個人がコードを寄せる。団体が開発を長く支える。企業が製品として販売する。同じリポジトリに三者が関わっても、欠陥を知らせる先と修正版を決める権限は自動的には定まらない。

欧州委員会の説明は、商用利用を予定する特定のオープンソース製品を継続的に支える法人をstewardと位置づける。公開リポジトリ、寄付、企業の社員からのパッチだけで商業活動と決めるわけではない。法令第24条は、stewardに脆弱性の記録、対応、修正を含む検証可能なセキュリティ方針を求める。製造者には別の製品義務がある。

O'Donovanは、所属組織が8か月前に開発者を採用し、その人の仕事にAIを使った研究者からの脆弱性報告の受け付けが加わったと語った。これは彼が示した一つの職場の実情だ。報告を生成する速度と、影響を調べてパッチを出す速度の差が受信箱に積み上がる。

公式の日程は製造者の報告を2026年9月11日から、stewardの報告を2027年12月11日からとしている。単一の窓口から各国のCSIRTとENISAへ伝わる仕組みも定めた。その前に運用者が知りたいのは、今夜の障害に対応する保守担当の名前だ。

法廷の前に、当番表を

質疑の記録ではMaria Matejkaが、stewardと製造者の境界を誰が決めるのかと尋ねた。O'Donovanは判例が必要になると予想した。会場で具体的な団体の法的地位は確定していない。運用者にできる検査は明快だ。重要な依存先について報告窓口、保守中の版、修正通知の経路を確認する。法の名前がついた席に、実際に座る人がいるかを見るのである。

出典：RIPE 93講演；公式議事録；EU法令；欧州委員会の説明；報告開始日。