Cet accord réunit l'expertise de la Fondation Eclipse en matière de gouvernance des logiciels libres, de collaboration sectorielle et de conformité réglementaire avec les projets, normes, formations et la communauté de sécurité mondialement reconnus d'OWASP. Les deux organisations développeront des ressources pour aider les responsables de la maintenance, les chefs de projet, les fabricants et les équipes de développement de logiciels libres à améliorer leurs pratiques de sécurité et à s'adapter à l'évolution des exigences réglementaires.
« Les logiciels libres constituent une infrastructure numérique essentielle, mais la responsabilité de leur sécurité est répartie au sein d'un écosystème mondial complexe », a déclaré Mike Milinkovich, directeur exécutif de la Fondation Eclipse. « L'IA accélère le développement logiciel et la découverte des vulnérabilités, et avec l'entrée en vigueur, dans quelques semaines, des premières exigences obligatoires de la CRA, il est d'autant plus urgent d'agir de manière concrète et coordonnée. En combinant l'expertise et les communautés de la Fondation Eclipse et d'OWASP, nous pouvons réduire la fragmentation et aider les organisations à renforcer leur sécurité et à mettre en œuvre des mesures pour se préparer à la nouvelle réglementation. »
La CRA introduit des exigences de conformité obligatoires en matière de cybersécurité pour les produits comportant des éléments numériques proposés dans l'UE, tels que les produits construits avec ou dépendant de logiciels libres. L’obligation pour les fabricants de signaler les vulnérabilités et les incidents entrera en vigueur le 11 septembre 2026 et imposera aux organisations de mettre en place les processus et les capacités techniques nécessaires pour identifier, gérer et signaler les problèmes de sécurité graves.
La nouvelle loi reconnaît également officiellement le rôle essentiel des chefs de projet open source au sein de la chaîne d’approvisionnement logicielle. Bien que leurs responsabilités diffèrent de celles des fabricants, les chefs de projet jouent un rôle de soutien crucial dans le développement sécurisé, la gestion des vulnérabilités, la transparence et la coopération au sein de l’écosystème open source.
« Les recommandations de sécurité n’ont d’impact que si les développeurs, les mainteneurs et les entreprises peuvent les mettre en pratique », a déclaré Andrew van der Stock, PDG de la Fondation OWASP. « En collaborant avec la Fondation Eclipse, nous pouvons étendre la portée et l’impact de l’expertise d’OWASP en matière de sécurité, tout en fournissant des orientations plus claires et plus concrètes aux communautés open source pour améliorer la chaîne d’approvisionnement logicielle et se préparer à la mise en œuvre de la loi sur la sécurité des logiciels (CRA). »
Bien que la CRA soit une loi européenne, ses implications s’étendent au monde entier. Toute organisation distribuant des produits intégrant des logiciels au sein de l'UE doit comprendre ses responsabilités, notamment en matière de développement, d'intégration, de documentation, de maintenance et de sécurisation des composants logiciels libres dont dépendent ces produits. Étant donné que plus de 96 % des bases de code commerciales contiennent des logiciels libres, selon le rapport OpenLogic 2026 sur l'état des logiciels libres, la préparation au CRA (Community Rehabilitation Act) est un enjeu crucial pour l'industrie du logiciel à l'échelle mondiale.
Conformément au protocole d'accord, la Fondation Eclipse et l'OWASP (Open Software Association for Software) prévoient de collaborer sur cinq axes principaux :
• Préparation de l'écosystème des logiciels libres au CRA
• Coordination et interopérabilité des pratiques et environnements de sécurité
• Formation conjointe et mobilisation de la communauté
• Accompagnement des responsables de la maintenance et des chefs de projet de logiciels libres
• Sensibilisation aux politiques et réglementations.
Les priorités initiales devraient inclure des conseils pratiques pour les chefs de projet de logiciels libres, des webinaires conjoints sur la préparation au CRA, des ressources d'aide à l'adoption de la nomenclature logicielle (SBOM) et à la sécurité de la chaîne d'approvisionnement logicielle, ainsi que des événements, des séminaires et des tables rondes pour les responsables de la maintenance.
Les deux organisations participent conjointement au groupe de travail sur la conformité réglementaire ouverte (ORC WG) , qui réunit des fondations de logiciels libres, des entreprises internationales et des acteurs du secteur afin de développer des ressources pratiques facilitant l'adaptation à l'impact croissant de la réglementation des logiciels libres.
Ces organisations ne cherchent pas à créer des environnements de sécurité concurrents, mais s'efforcent plutôt de coordonner et d'amplifier les initiatives existantes, d'améliorer les taux d'adoption et d'aider les organisations à mettre en œuvre des pratiques durables de sécurité et de conformité réglementaire tout au long du cycle de vie du logiciel.
