En prévision de l’entrée en vigueur du Cyber Resilience Act (CRA), la Linux Foundation Europe et l’Open Source Security Foundation (OpenSSF) viennent de lancer un vaste projet destiné à accompagner les mainteneurs, les fabricants et l’ensemble des communautés open source. Ce programme vise à clarifier les exigences réglementaires édictées par l’UE, à fournir des outils pour mieux y répondre et, plus globalement, à anticiper les futures législations en matière de cybersécurité, partout dans le monde.
Même si sa mise en route a été source de crainte pour la communauté des développeurs de l’open source, le Cyber Resilience Act veut renforcer la sécurité des produits numériques vendus dans l’Union européenne. Pour les équipes du OpenSSF et de la Linux Foundation Europe, cela implique de soutenir les projets open source, souvent mis sous pression par un manque de ressources et une méconnaissance des obligations légales. En pratique, l’initiative se concentre sur la définition de spécifications de cybersécurité (standards communautaires), le développement d’outils pour automatiser la conformité et la création de processus permettant aux mainteneurs et aux fabricants d’appliquer les recommandations du CRA. L’enjeu est de garantir qu’un maximum de composants libres satisfassent aux obligations fixées, tout en évitant une fragmentation des exigences selon les pays.
Une démarche à portée globale
Bien que motivé par la réglementation européenne, ce projet ambitionne d’aller au-delà de l’UE. La Cyber Resilience Act annonce la couleur, mais d’autres textes se profilent dans diverses régions (États-Unis, Asie, etc.). Les entreprises qui s’appuient sur de l’open source — et elles sont nombreuses — ont donc intérêt à disposer d’un cadre unifié, limitant la multiplication des contraintes. Pour Christopher “CRob” Robinson (OpenSSF), l’effort de mise en conformité doit principalement incomber aux acteurs commerciaux distribuant des solutions, plutôt qu’aux mainteneurs bénévoles de projets libres. Les grandes entreprises, qui intègrent déjà souvent des démarches qualité et sécurité, sont ainsi invitées à prendre les devants.
Ressources et participation
Cette initiative repose sur plusieurs groupes de travail et canaux de discussion ouverts à la communauté. Sur GitHub, un Global Cyber Policy WG (Working Group) rassemble les discussions stratégiques, tandis que des listes de diffusion et un salon Slack (#wg-globalcyberpolicy) permettent aux développeurs et aux entreprises d’échanger sur les bonnes pratiques de conformité, d’élaborer des outils automatisés ou de proposer des documents standardisés. L’objectif : faire en sorte que l’open source ne soit pas pris de court par les évolutions légales et qu’il reste un écosystème innovant, sécurisé et respectueux des nouvelles normes de cybersécurité.
