Il CRA lascia la maggior parte dell'open source software senza CE mark

Il CRA lascia la maggior parte dell'open source software senza CE mark, limitando la possibilità per gli operatori DNS e altre organizzazioni di fare affidamento su tale marchio quando dimostrano la sicurezza della supply chain. NLnet Labs afferma che la normativa dell'Unione europea mantiene in larga misura fuori dal proprio ambito di applicazione i contributi delle singole persone, imponendo invece responsabilità diverse ai produttori commerciali e agli Open-Source Software Steward non profit.

Il Cyber Resilience Act (CRA) è una normativa dell'UE che disciplina hardware e software immessi sul mercato europeo. In un articolo datato 20 ottobre 2026, NLnet Labs ha dichiarato che il primo gruppo di obblighi di segnalazione era entrato in vigore poco più di un mese prima per i Manufacturers, termine usato dalla normativa per indicare i produttori commerciali di hardware e software. Dal 12 dicembre 2027, tutti i prodotti interessati destinati al mercato dell'UE saranno soggetti alla normativa.

Il testo definitivo è stato negoziato dagli Stati membri dell'UE in seno al Consiglio e dal Parlamento europeo, sulla base di una proposta della Commissione europea. NLnet Labs ha dichiarato di aver collaborato con tutte e tre le istituzioni dopo la pubblicazione della proposta nel 2022, concentrandosi sul modo in cui la legislazione avrebbe trattato l'open source software, ossia software il cui codice può essere esaminato, modificato e condiviso nel rispetto della relativa licenza.

Secondo l'organizzazione, il testo negoziato impone ai Manufacturers che integrano software nei propri prodotti di inviare le correzioni di sicurezza upstream, vale a dire ai progetti e ai maintainer da cui proviene il software. Ha inoltre introdotto limiti più dettagliati per il free and open source software. I Manufacturers che vendono open source software appartenente alla classe di prodotti «important» del CRA possono valutare autonomamente la propria conformità, anziché ottenere una valutazione da una terza parte indipendente.

Per chi contribuisce, l'interpretazione di NLnet Labs è chiara: la maggior parte dell'open source software non rientra nell'ambito di applicazione del CRA. Le persone che contribuiscono con codice ai suoi progetti non assumono obblighi ai sensi del CRA per il solo fatto di farlo, anche quando il contributo viene fornito nell'ambito del proprio lavoro. A chiunque abbia bisogno dei dettagli giuridici, l'organizzazione consiglia di iniziare dalla guida della Commissione europea al CRA per l'open source software. In particolare, invita i lettori a consultare il diagramma di flusso alla fine della Sezione 3 prima di esaminare le 14 pagine della sezione.

La situazione cambia quando un'azienda incorpora open source software in un prodotto commerciale venduto nell'UE. Il CRA impone a tale Manufacturer un obbligo di due diligence, richiedendogli di esaminare e gestire i rischi pertinenti. Il lavoro diventa più impegnativo quando un componente open source sostiene un carico operativo critico o svolge una funzione sensibile per la sicurezza, anziché essere una dipendenza secondaria che può essere esaminata soltanto mediante controlli automatizzati.

NLnet Labs afferma che il suo software viene utilizzato spesso in questi ruoli importanti. Offre assistenza professionale per aiutare le aziende che lo integrano a svolgere la propria due diligence, destinando i ricavi ottenuti alla manutenzione a lungo termine. Questa è la descrizione fornita dall'organizzazione del proprio modello di assistenza, non un'esenzione dalle responsabilità giuridiche del Manufacturer.

Le organizzazioni non profit che sviluppano e pubblicano open source software rientrano in un'altra parte del CRA. NLnet Labs si definisce un Open-Source Software Steward e ha documentato quali progetti considera soggetti alla propria stewardship, insieme ai relativi obblighi. Tale status non copre tutte le sue attività. I progetti di ricerca che non sono mai stati destinati ad attività commerciali e quelli dichiarati end of life non generano tali obblighi per l'organizzazione, oppure non ne sono più soggetti.

La distinzione è importante per gli operatori soggetti a NIS2, il quadro dell'UE per la cybersecurity che impone obblighi di sicurezza della supply chain a organizzazioni tra cui operatori DNS, TLD registry e Internet Exchange. Un TLD registry gestisce una terminazione di dominio, come un suffisso nazionale o generico, mentre un Internet Exchange è un'infrastruttura attraverso la quale reti separate si scambiano traffico. Il CRA mira a facilitare queste valutazioni consentendo a un CE mark di distinguere i prodotti che soddisfano i requisiti dell'UE in materia di sicurezza dei prodotti da quelli che non li soddisfano.

Tuttavia, NLnet Labs osserva che, salvo alcune eccezioni, la maggior parte dell'open source software presente nella software supply chain di un operatore non avrà un CE mark. I progetti mantenuti da singole persone non rientrano nell'ambito di applicazione del CRA, quindi tali maintainer non possono applicare il marchio. Il software sostenuto da un Open-Source Software Steward non profit rientra in un regime del CRA, ma neppure lo steward può applicarvi il CE mark. Secondo l'organizzazione, l'unico open source software che può recare il marchio è il free and open source software (FOSS) venduto da un Manufacturer. Tale Manufacturer potrebbe non essere l'upstream maintainer del progetto ed è probabile che questi prodotti rappresentino soltanto una parte del FOSS presente nella software supply chain di un operatore.

Gli operatori avranno quindi bisogno di altre prove del fatto che stanno gestendo responsabilmente le proprie dipendenze. NLnet Labs avverte che scegliere un'alternativa dotata di CE mark soltanto perché il software preferito è open source produrrebbe un risultato negativo, in particolare se ciò significasse rinunciare a un software migliore. Sostiene invece che il modello di stewardship del CRA potrebbe aiutare le organizzazioni a dimostrare una manutenzione responsabile con l'evoluzione del trattamento normativo di NIS2.

Tale modello riunisce i finanziamenti attraverso organizzazioni di steward che sostengono i maintainer, anziché richiedere a ogni operatore di creare un rapporto separato. L'open source consente inoltre agli operatori di sviluppare competenze interne per diagnosticare i problemi della supply chain. Le organizzazioni che non effettuano questo investimento interno possono invece ottenere assistenza specialistica. Le linee guida dell'Agenzia dell'Unione europea per la cybersicurezza (ENISA) affermano che i contratti di assistenza dovrebbero coprire l'intero ciclo di vita del sistema, compresa la gestione dell'obsolescenza e la data fino alla quale l'assistenza continuerà a essere fornita.

Per le organizzazioni che devono decidere come gestire questo lavoro, AEU-I offre servizi IT, infrastrutture e consulenza security-first, un'opzione pertinente quando è necessaria assistenza tecnica esterna.

Il messaggio pratico è che l'assenza di un CE mark non dimostra, di per sé, che un componente open source sia insicuro o privo di assistenza. Gli operatori DNS, le aziende che gestiscono siti web e i team IT devono comunque identificare chi mantiene ogni componente importante, documentare come vengono ricevute le correzioni, stabilire per quanto tempo sarà disponibile l'assistenza e conservare prove del fatto che la loro software supply chain viene gestita attivamente.