Resumo

  • No RIPE 93, Barry O'Donovan separou o trabalho do voluntário, o apoio contínuo de uma organização a um projeto aberto e a venda de um produto digital por um fabricante. O Cyber Resilience Act atribui deveres diferentes a esses papéis.
  • A Comissão Europeia situa o começo das notificações de fabricantes em 11 de setembro de 2026 e as dos stewards em 11 de dezembro de 2027. A política de tratamento de falhas exigida do steward precisa apontar para uma equipe real.

Três papéis, uma falha urgente

O'Donovan falou na sessão de código aberto do RIPE 93 a quem depende de programas escritos por terceiros para manter redes no ar. Publicar uma biblioteca, sustentar sua manutenção e colocá-la no mercado como produto são atividades diferentes. A Comissão Europeia chama de steward a pessoa jurídica que apoia de modo sistemático e duradouro um produto aberto destinado a atividades comerciais. Fabricante é outra posição na cadeia.

O artigo 24 do regulamento exige do steward uma política verificável para documentar, tratar e corrigir vulnerabilidades. Um repositório público, uma doação ou uma contribuição feita por empregado de empresa não resolvem isoladamente a classificação. A distinção parece jurídica até o dia em que alguém tenta localizar quem atende o contato de segurança.

Na transcrição oficial, O'Donovan disse que sua organização contratou um desenvolvedor oito meses antes e que relatórios de vulnerabilidade produzidos com apoio de IA passaram a ocupar parte de sua jornada. Ele descreveu sua própria equipe, não uma contagem de todo o setor. A fila cresce com automação; a revisão do código continua exigindo tempo humano.

O calendário da Comissão põe fabricantes no regime de notificação desde setembro de 2026 e stewards a partir de dezembro de 2027. A plataforma única encaminha avisos ao CSIRT nacional e à ENISA. Maria Matejka perguntou na sessão quem traçaria a fronteira entre steward e fabricante; O'Donovan previu disputas judiciais. Nenhuma entidade foi classificada pelo público da sala. Para o operador, a fronteira imediata é outra: existe uma equipe que recebe, decide e publica o conserto?

Fontes: apresentação RIPE 93; transcrição; texto do CRA; Comissão sobre código aberto; prazos oficiais.