66 % des organisations ignorent encore les règles du Cyber Resilience Act ! Alors que les obligations de signalement tombent, la Linux Foundation montre comment les OSPO sauvent la mise, une étude passionnante à l’appui. On la décortique avec vous.
Soixante-six pour cent des organisations déclarent une méconnaissance quasi totale des contraintes du Cyber Resilience Act (CRA), tandis que 41 % de celles qui le connaissent ignorent encore si leurs produits sont légalement visés. Publié par la Fondation de sécurité open source, le 2026 CRA Awareness and Readiness Report jette une lumière crue sur l’impréparation de l’industrie technologique.
Alors que l’échéance imposant la notification d’urgence des failles de sécurité exploitées et des incidents sévères entre en application en ce mois de septembre 2026, l’analyse diffusée par la Linux Foundation démontre que la réponse opérationnelle repose désormais sur un pivot méconnu : les bureaux de programmes open source (OSPO).
💡 C’est quoi un OSPO ?
Un OSPO (Open Source Program Office) désigne la structure interne chargée de coordonner la stratégie, la conformité des licences, l’hygiène de sécurité et les contributions logicielles ouvertes d’une entreprise. Loin d’être un luxe réservé aux multinationales, il s’incarne aussi bien dans une équipe transverse dédiée que dans un rôle attribué à un ingénieur référent pour cartographier les dépendances logicielles critiques.
Le piège du traitement en silos
Lorsqu’une vulnérabilité active survient sur un équipement connecté ou une suite applicative distribuée dans l’Union européenne, le compte à rebours réglementaire ne pardonne pas. Une gestion fragmentée transforme la réaction en désastre interne : le service juridique interprète la norme sans comprendre le code, la sécurité repère l’alerte sans situer les produits impactés, les développeurs ignorent qui porte la responsabilité légale, et les achats ne surveillent que les contrats commerciaux en omettant les bibliothèques open source intégrées aux pipelines de compilation.
Un livre pour comprendre (enfin) le rôle des OSPO dans l’open source
Selon l’état des lieux annuel de la Linux Foundation, 92 % des structures disposant d’un OSPO l’impliquent directement dans les arbitrages de sécurité logicielle. Cette coordination en amont remplace l’affolement par une cartographie rigoureuse : un inventaire dynamique des dépendances assure l’identification instantanée des paquets tiers, des versions déployées, des dépôts internes et des mainteneurs responsables, tandis qu’une évaluation proportionnée du risque distingue nettement une simple bibliothèque dormante d’une fonction vulnérable réellement exécutée en production. Enfin, la protection des communautés amont centralise les échanges avec les développeurs bénévoles pour sanctuariser leur temps et éviter de submerger les mainteneurs de questionnaires redondants.
De Nokia à la Deutsche Bahn : l’industrialisation des chaînes logicielles
L’enquête menée auprès des membres du TODO Group démontre que la maturité industrielle fait toute la différence. Chez Nokia, l’OSPO a mis en place un filtrage automatisé basé sur le projet Scorecard d’OpenSSF pour auditer chaque composant open source consommé, tout en formant les équipes de développement à renvoyer directement les correctifs de vulnérabilités « zero-day » vers les projets d’origine sans saturer leurs créateurs. Chez Samsung SDS, la gestion continue des nomenclatures logicielles (SBOM) certifiée conforme à la norme ISO/IEC 18974 permet d’isoler en quelques secondes l’impact d’une faille critique.
Même démarche structurante chez Deutsche Bahn et Cisco, où la gouvernance ouverte sert d’amortisseur réglementaire. Alors que l’agence européenne ENISA rappelle que 78 % des organisations ont entamé l’adoption des SBOM mais que seules 9 % disposent d’un processus pleinement automatisé, l’échéance du CRA met fin à l’amateurisme : une entreprise qui maîtrise sa chaîne logistique logicielle répond à une exigence de notification en quelques heures, là où les retardataires perdront des semaines à tenter d’assembler le puzzle de leur propre code.
🌐 L’actualité de l’open source et des technologies éthiques dans votre flux
🐘 Fediverse / Mastodon : suivez notre profil officiel @ depuis votre application ou votre instance favorite.
🦋 Bluesky (AT Protocol) : retrouvez nos actualités condensées et abonnez-vous à @goodtech.info.
