Кратко

  • Barry O'Donovan объяснил на RIPE 93 различие между личным вкладом в открытый код, устойчивой поддержкой проекта юридическим лицом и продажей цифрового продукта производителем. Европейский Cyber Resilience Act назначает им разные обязанности.
  • Обязательная отчётность производителей об эксплуатируемых уязвимостях началась 11 сентября 2026 года; для организаций сопровождения открытого ПО соответствующий срок наступит 11 декабря 2027 года. Политика обработки сообщений должна работать и до этой даты.

У закона три роли, у письма один получатель

Выступление O'Donovan на RIPE 93 начиналось с обязанностей операторов, а затем перешло к программам, на которых держится их инфраструктура. Код могут писать волонтёры. Юридическое лицо может годами поддерживать конкретный проект. Компания может вывести собранный продукт на рынок. Еврокомиссия относит устойчивую поддержку открытого продукта, предназначенного для коммерческого применения, к роли steward; производителю отводит другой набор требований.

Статья 24 регламента требует от steward проверяемой политики безопасности: как документируют, рассматривают и устраняют уязвимости. Публичный репозиторий, пожертвование или патч от сотрудника коммерческой фирмы сами по себе не определяют статус. Оператору, обнаружившему дефект, полезнее знать, кто следит за адресом security и имеет право выпустить новую версию.

В стенограмме заседания O'Donovan рассказал о разработчике, нанятом его организацией восемь месяцев назад. Теперь часть его времени занимают отчёты исследователей, использующих ИИ. Это рассказ о конкретной команде. Сообщения можно производить быстро; проверить влияние ошибки и подготовить исправление намного труднее автоматизировать.

Официальный график устанавливает 11 сентября 2026 года для производителей и 11 декабря 2027 года для steward. Единая платформа направляет сообщения выбранной национальной группе реагирования и ENISA. Во время вопросов Maria Matejka спросила, кто определит границу между steward и производителем. O'Donovan ожидал будущих судебных споров. На конференции статус конкретного проекта не устанавливался. Пока суды думают, уязвимость ждёт сопровождающего.

Источники: доклад RIPE 93; стенограмма; регламент ЕС; разъяснение Еврокомиссии; сроки отчётности.