La entrada en vigor progresiva del Cyber Resilience Act (CRA) redefine las obligaciones del ecosistema de código abierto europeo. Desde el 11 de septiembre de 2026, los fabricantes de productos digitales deben informar sobre las vulnerabilidades activamente explotadas y los incidentes graves, según el artículo 14 del reglamento. La aplicación general está prevista para el 11 de diciembre de 2027, y los proyectos libres no están todos en la misma situación.
CRA y software libre: obligaciones diferenciadas entre mantenedores y voluntarios
El CRA introduce una distinción operativa que esperábamos desde la publicación del texto. Los mantenedores profesionales calificados de administradores (stewards) del software libre, aquellos que apoyan de manera sostenible proyectos integrados en productos comerciales, entran en el ámbito regulatorio. Deberán documentar sus procesos de gestión de vulnerabilidades y contribuir a la cadena de cumplimiento.
Los contribuyentes individuales voluntarios permanecen fuera del principal ámbito. Esta línea de separación se basa en la naturaleza comercial o no de la actividad, no en la licencia utilizada. Un desarrollador que publica un parche el fin de semana no tiene las mismas restricciones que una fundación que mantiene una biblioteca crítica desplegada en miles de productos.
Para las pymes y los proyectos de código abierto de tamaño modesto, se ha publicado una herramienta libre de preparación para el CRA en el marco del proyecto europeo OCCTET, coordinado por la Eclipse Foundation. Cubre el inventario de dependencias, la gestión de vulnerabilidades, la generación de SBOM (Software Bill of Materials) y la documentación de cumplimiento. Recursos complementarios se referencian regularmente en mondelibre.org, que agrega las publicaciones francófonas en torno a estas evoluciones regulatorias.
Estrategia de código abierto de la Unión Europea: un marco que cubre todo el ciclo de vida
La nueva estrategia de código abierto de la UE ya no se limita a la adopción de software libre en las administraciones. Ahora cubre todo el ciclo de vida del software, desde el diseño hasta el mantenimiento, pasando por la gobernanza de las contribuciones. Observamos un cambio de postura: el software libre ya no se trata como una herramienta de ahorro presupuestario, sino como un palanca de soberanía tecnológica.
Este enfoque se inscribe en un paquete más amplio sobre la soberanía tecnológica europea. Articula los requisitos del CRA con las políticas de interoperabilidad y seguridad digital. Se anima a las administraciones públicas a contribuir activamente a los proyectos que utilizan, no solo a consumirlos.
OSPO y cumplimiento del CRA en las organizaciones
Las Open Source Program Offices (OSPO) centralizan la gestión de las dependencias de código abierto, el seguimiento de las licencias y la coordinación de las contribuciones. Estas estructuras internas, aún raras en Francia, constituyen un activo para la conformidad con el CRA. Una OSPO operativa proporciona un inventario de software actualizado y procesos de reporte de vulnerabilidades ya establecidos.
Las empresas que no tienen una estructura equivalente deberán construir estos procesos desde cero antes de diciembre de 2027. El costo organizativo supera con creces el costo técnico.
Adquisiciones estratégicas: Nvidia, Hugging Face y la cuestión de la apertura
La adquisición de Hugging Face por parte de Nvidia por 12,93 mil millones de dólares constituye el movimiento capitalista más significativo del año en el ecosistema de código abierto. Nvidia afirma querer preservar la apertura de la plataforma a los diferentes modelos, nubes y aceleradores.
Esta promesa merece un examen técnico. Hugging Face alberga modelos entrenados en arquitecturas variadas (GPU Nvidia, AMD, aceleradores TPU). La neutralidad de hardware de la plataforma es su principal activo. Si Nvidia favoreciera sus propios aceleradores en el ranking de modelos o las herramientas de inferencia, la comunidad migraría rápidamente.
AWS también ha anunciado la compra de DuckLabs, con un compromiso similar de preservar el modelo de código abierto. Estas operaciones siguen un esquema recurrente: adquisición de un proyecto comunitario de alta tracción, promesa de apertura, y luego monetización progresiva a través de servicios gestionados. La cuestión no es si se mantendrá la apertura, sino qué ámbito exacto permanecerá bajo licencia libre.
Seguridad de los proyectos de código abierto y cadena de suministro de software
La seguridad de la cadena de suministro de software de código abierto se convierte en un tema central a medida que los modelos de peso abierto se difunden sin verificación sistemática. Los puntos de atención para los mantenedores son los siguientes:
- Verificar la procedencia criptográfica de los artefactos publicados en los registros (npm, PyPI, crates.io) para garantizar que un paquete no ha sido alterado entre la compilación y la distribución
- Mantener un SBOM actualizado para cada versión, incluyendo las dependencias transitivas que a menudo se ignoran en las auditorías manuales
- Integrar herramientas de puntuación de seguridad (como Scorecard) en los pipelines CI/CD para detectar regresiones en la postura de seguridad antes de la publicación
La conformidad de código abierto se convierte en un mercado por derecho propio, con soluciones dedicadas que emergen para responder a las crecientes exigencias de los sectores regulados.
Gobernanza abierta y sostenibilidad de los proyectos comunitarios
El modelo de gobernanza abierta, donde las decisiones técnicas son tomadas por un comité elegido por los contribuyentes, sigue siendo la excepción más que la norma. La mayoría de los proyectos de código abierto críticos aún dependen de uno o dos mantenedores principales sin una estructura de gobernanza formalizada.
La sostenibilidad de los registros de paquetes plantea un problema estructural. Estas infraestructuras (npm, PyPI, Maven Central) funcionan como servicios públicos del desarrollo de software, pero su financiación depende en gran medida del apoyo voluntario de empresas. Sin un compromiso sostenible de los actores industriales, el riesgo de degradación de estos registros aumenta a medida que crece el número de paquetes publicados.
El marco regulatorio europeo, los movimientos de adquisición y la estructuración progresiva de la seguridad convergen hacia una misma conclusión: el código abierto entra en una fase donde la gobernanza, la conformidad y la financiación son tan importantes como el código mismo. Las organizaciones que aún no han formalizado su política de código abierto disponen de un poco más de un año antes de la fecha límite del CRA.
