Il Cyber Resilience Act (#CRA) cambia i criteri di valutazione per le componenti open source integrate nei prodotti aziendali: non contano più la notorietà o le dimensioni della community, ma se e come il software viene monetizzato.
Per il CRA, chi sviluppa open source assume le responsabilità di un fabbricante solo se ha il controllo effettivo sul codice e lo distribuisce all’interno di un’attività commerciale a scopo di lucro.
Di conseguenza, lo status giuridico di un progetto può cambiare senza modificare una sola riga di codice: nel modello open-core, la versione base gratuita resta fuori dalle responsabilità di fabbricante, mentre quella enterprise a pagamento vi rientra.
Non solo: chi inserisce codice open source nei propri prodotti deve garantire in prima persona i requisiti di cyber sicurezza (crittografia, comunicazioni protette, aggiornamenti), convalidandoli tramite test rigorosi e documentazione tecnica, a prescindere da chi abbia scritto la libreria.
Ne deriva che la conformità non è un controllo una tantum, ma una necessità continua.
👾
Ne ho scritto in questo articolo pubblicato venerdì scorso 16 ottobre: https://www.agendadigitale.eu/sicurezza/due-diligence-open-source-nel-cra-quando-cambia-la-qualifica/