요약

  • Barry O'Donovan은 RIPE 93에서 개인 기여자, 오픈소스 제품을 지속해서 떠받치는 법인, 디지털 제품을 시장에 내놓는 제조업체를 구분했다. EU 사이버 복원력법은 역할마다 다른 의무를 부과한다.
  • EU 집행위원회에 따르면 제조업체의 악용 취약점 신고 의무는 2026년 9월 11일 시작됐고, 오픈소스 steward의 해당 의무는 2027년 12월 11일 시작된다. 보안 문제를 처리할 인력은 이미 필요하다.

규정의 이름표와 실제 당번

RIPE 93 발표에서 O'Donovan은 망 운영자가 쓰는 소프트웨어의 공급망을 들여다봤다. 자원봉사자가 코드를 올릴 수 있다. 단체가 제품을 오래 유지할 수 있다. 기업이 그 결과물을 상품으로 팔 수도 있다. 집행위원회 설명은 상업적 사용을 염두에 둔 특정 오픈소스 제품을 지속 지원하는 법인을 steward로 본다. 제조업체의 책임은 별도로 다룬다.

공개 저장소가 있다는 사실이나 기부금, 기업 직원의 패치만으로 지위가 결정되지는 않는다. 법 제24조는 steward에게 취약점 기록·처리·수정을 담은 검증 가능한 보안 정책을 요구한다. 정책 문서가 있다고 신고 메일이 저절로 읽히지는 않는다. O'Donovan은 자신의 조직이 8개월 전 개발자를 채용했고, AI를 활용한 보안 연구자의 취약점 신고를 접수하는 일이 그 개발자의 업무가 됐다고 말했다. 이는 한 조직의 사례이며, 신고의 생산 속도와 패치의 생산 속도가 다른 이유를 보여준다.

공식 일정은 제조업체의 신고를 2026년 9월부터, steward의 신고를 2027년 12월부터 시작한다. 단일 플랫폼은 국가 CSIRT와 ENISA에 신고를 전달한다. 세션 질의응답에서 Maria Matejka가 steward와 제조업체의 경계를 누가 정하느냐고 묻자, O'Donovan은 향후 소송을 예상했다. 현장에서 특정 조직의 법적 지위가 확정되지는 않았다. 운영자는 그보다 먼저 신고를 받을 팀과 수정 버전을 낼 담당자를 확인할 수 있다.

자료: RIPE 93 발표; 공식 회의록; EU 법령; 집행위원회 오픈소스 안내; 신고 일정.