De geleidelijke inwerkingtreding van de Cyber Resilience Act (CRA) herdefinieert de verplichtingen van het Europese open source-ecosysteem. Sinds 11 september 2026 moeten fabrikanten van digitale producten actief kwetsbaarheden en ernstige incidenten melden, volgens artikel 14 van de verordening. De algemene toepassing is gepland voor 11 december 2027, en vrije projecten worden niet allemaal gelijk behandeld.
CRA en vrije software: gedifferentieerde verplichtingen tussen beheerders en vrijwilligers
De CRA introduceert een operationele onderscheid dat we verwachtten sinds de publicatie van de tekst. De gekwalificeerde professionele beheerders (stewards) van vrije software, degenen die duurzaam projecten ondersteunen die zijn geïntegreerd in commerciële producten, vallen binnen het regelgevingskader. Ze moeten hun processen voor het beheer van kwetsbaarheden documenteren en bijdragen aan de nalevingsketen.
Individuele vrijwilligers blijven buiten het belangrijkste kader. Deze scheidslijn is gebaseerd op de commerciële of niet-commerciële aard van de activiteit, niet op de gebruikte licentie. Een ontwikkelaar die in het weekend een patch publiceert, heeft niet dezelfde verplichtingen als een stichting die een kritische bibliotheek onderhoudt die in duizenden producten is uitgerold.
Voor KMO’s en bescheiden open source-projecten is er een gratis hulpmiddel ter voorbereiding op de CRA gepubliceerd in het kader van het Europese project OCCTET, gecoördineerd door de Eclipse Foundation. Het dekt de inventaris van afhankelijkheden, het beheer van kwetsbaarheden, de generatie van SBOM (Software Bill of Materials) en de documentatie van naleving. Aanvullende bronnen worden regelmatig vermeld op mondelibre.org, dat Franstalige publicaties rond deze regelgevende ontwikkelingen aggregeert.
Open source-strategie van de Europese Unie: een kader dat de hele levenscyclus dekt
De nieuwe open source-strategie van de EU beperkt zich niet langer tot de adoptie van vrije software in de overheden. Het dekt nu de hele levenscyclus van software, van ontwerp tot onderhoud, inclusief het beheer van bijdragen. We zien een verandering in houding: vrije software wordt niet langer behandeld als een hulpmiddel voor budgetbesparing, maar als een hefboom voor technologische soevereiniteit.
Deze benadering maakt deel uit van een breder pakket over Europese technologische soevereiniteit. Het verbindt de vereisten van de CRA met de beleidsmaatregelen voor interoperabiliteit en digitale veiligheid. Publieke instellingen worden aangemoedigd om actief bij te dragen aan de projecten die ze gebruiken, niet alleen om ze te consumeren.
OSPO en CRA-naleving binnen organisaties
De Open Source Program Offices (OSPO) centraliseren het beheer van open source-afhankelijkheden, het volgen van licenties en de coördinatie van bijdragen. Deze interne structuren, die nog zeldzaam zijn in Frankrijk, zijn een troef voor de naleving van de CRA. Een operationele OSPO biedt een actuele software-inventaris en al goed ontwikkelde processen voor het melden van kwetsbaarheden.
Bedrijven die geen equivalente structuur hebben, moeten deze processen vanaf nul opbouwen voor december 2027. De organisatorische kosten overschrijden ruimschoots de technische kosten.
Strategische overnames: Nvidia, Hugging Face en de vraag naar openheid
De overname van Hugging Face door Nvidia voor 12,93 miljard dollar is de meest significante kapitaalbeweging van het jaar in het open source-ecosysteem. Nvidia beweert de openheid van het platform voor verschillende modellen, clouds en versnellers te willen behouden.
Deze belofte verdient een technische beoordeling. Hugging Face herbergt modellen die zijn getraind op verschillende architecturen (Nvidia GPU’s, AMD, TPU-versnellers). De hardware-neutraliteit van het platform is zijn belangrijkste troef. Als Nvidia zijn eigen versnellers zou bevoordelen in de rangschikking van modellen of de inferentietools, zou de gemeenschap snel migreren.
AWS heeft ook de overname van DuckLabs aangekondigd, met een vergelijkbare toezegging om het open source-model te behouden. Deze operaties volgen een terugkerend patroon: overname van een gemeenschapsgestuurd project met veel tractie, belofte van openheid, en vervolgens geleidelijke monetisering door middel van beheerde diensten. De vraag is niet of de openheid zal worden behouden, maar welk exact bereik onder een vrije licentie zal blijven.
Veiligheid van open source-projecten en softwareleveringsketen
Het beveiligen van de open source-softwareleveringsketen wordt een centraal vraagstuk naarmate open weight-modellen zich verspreiden zonder systematische verificatie. De aandachtspunten voor de beheerders zijn als volgt:
- Controleer de cryptografische herkomst van de artefacten die op de registers (npm, PyPI, crates.io) zijn gepubliceerd om te waarborgen dat een pakket niet is gewijzigd tussen compilatie en distributie
- Houd een actuele SBOM bij voor elke release, inclusief de vaak genegeerde transitieve afhankelijkheden in handmatige audits
- Integreer beveiligingsscoretools (zoals Scorecard) in de CI/CD-pijplijnen om regressies in de beveiligingshouding vóór publicatie te detecteren
De open source-naleving wordt een volwaardige markt, met specifieke oplossingen die opkomen om te voldoen aan de groeiende eisen van gereguleerde sectoren.
Open governance en duurzaamheid van gemeenschapsprojecten
Het model van open governance, waarbij technische beslissingen worden genomen door een door de bijdragers gekozen comité, blijft de uitzondering in plaats van de norm. De meeste kritische open source-projecten zijn nog steeds afhankelijk van een of twee hoofdbeheerders zonder formele governance-structuur.
De duurzaamheid van pakketregisters vormt een structureel probleem. Deze infrastructuren (npm, PyPI, Maven Central) functioneren als publieke diensten voor softwareontwikkeling, maar hun financiering berust grotendeels op de vrijwillige steun van bedrijven. Zonder duurzame betrokkenheid van industriële actoren neemt het risico op degradatie van deze registers toe naarmate het aantal gepubliceerde pakketten toeneemt.
Het Europese regelgevingskader, de overnamebewegingen en de geleidelijke structurering van de veiligheid komen samen in dezelfde constatering: open source komt in een fase waarin governance, naleving en financiering even belangrijk zijn als de code zelf. Organisaties die hun open source-beleid nog niet hebben geformaliseerd, hebben nog iets meer dan een jaar de tijd voor de deadline van de CRA.
