L'accordo unisce l'esperienza di Eclipse Foundation nella governance del software aperto, nella collaborazione con l'industria e nella preparazione normativa con i progetti di sicurezza, gli standard, la formazione e la community di OWASP, riconosciuti a livello globale. Le organizzazioni svilupperanno risorse per aiutare i manutentori, i project manager, i produttori e i team di software aperto a migliorare le proprie pratiche di sicurezza e a rispondere ai requisiti normativi in continua evoluzione.
"Il software aperto è un'infrastruttura digitale fondamentale, ma la responsabilità di garantirne la sicurezza è distribuita in un complesso ecosistema globale", ha dichiarato Mike Milinkovich, direttore esecutivo di Eclipse Foundation. "L'intelligenza artificiale sta accelerando lo sviluppo del software e la scoperta delle vulnerabilità e, con l'entrata in vigore dei primi requisiti obbligatori del CRA tra poche settimane, è ancora più urgente intraprendere azioni concrete e coordinate. Unendo l'esperienza e le community di Eclipse Foundation e OWASP, possiamo ridurre la frammentazione e aiutare le organizzazioni a rafforzare la propria sicurezza e ad implementare misure per prepararsi alle nuove normative".
Il CRA introduce requisiti di conformità obbligatori per la sicurezza informatica dei prodotti con elementi digitali offerti nell'UE, come i prodotti realizzati con o dipendenti da software open source. L'obbligo per i produttori di segnalare vulnerabilità e incidenti entrerà in vigore l'11 settembre 2026 e richiederà alle organizzazioni di stabilire i processi e le capacità tecniche necessari per identificare, gestire e segnalare gravi problemi di sicurezza.
La nuova legge riconosce inoltre formalmente l'importanza dei project manager open source come partecipanti alla catena di fornitura del software. Sebbene le loro responsabilità differiscano da quelle assegnate ai produttori, i project manager svolgono un ruolo di supporto fondamentale nello sviluppo sicuro, nella gestione delle vulnerabilità, nella trasparenza e nella cooperazione all'interno dell'ecosistema open source.
"Le linee guida sulla sicurezza fanno la differenza solo quando sviluppatori, manutentori e aziende possono metterle in pratica", ha affermato Andrew van der Stock, CEO della OWASP Foundation. "Collaborando con la Eclipse Foundation, possiamo ampliare la portata e l'impatto dell'esperienza di OWASP in materia di sicurezza, fornendo al contempo indicazioni più chiare e concrete alle comunità open source per migliorare la catena di fornitura del software e prepararsi all'implementazione del CRA".
Sebbene il CRA sia una legge europea, le sue implicazioni si estendono a livello globale. Qualsiasi organizzazione che distribuisca prodotti che incorporano software nell'UE deve comprendere le proprie responsabilità, tra cui come sviluppare, integrare, documentare, mantenere e proteggere i componenti software open source da cui dipendono tali prodotti. Dato che oltre il 96% dei codebase commerciali contiene software open source, secondo l' OpenLogic 2026 State of Open Source Report, prepararsi al CRA (Community Reduction Act) è una questione urgente per l'industria del software a livello globale.
Secondo il protocollo d'intesa, Eclipse Foundation e OWASP intendono collaborare su cinque aree principali:
• Preparazione al CRA dell'ecosistema del software open source
• Coordinamento e interoperabilità tra pratiche e ambienti di sicurezza
• Formazione congiunta e coinvolgimento della comunità
• Supporto per i manutentori e i project manager di software open source
• Formazione in materia di politiche e normative.
Le priorità iniziali dovrebbero includere linee guida pratiche per i project manager di software open source, webinar congiunti sulla preparazione al CRA, risorse di supporto per l'adozione della Software Bill of Materials (SBOM) e la sicurezza della catena di fornitura del software, nonché eventi, seminari e tavole rotonde per i manutentori.
Entrambe le organizzazioni partecipano congiuntamente all'Open Regulatory Compliance Working Group (ORC WG) , che riunisce fondazioni per il software aperto, aziende globali e stakeholder del settore per sviluppare risorse pratiche che facilitino l'adattamento al crescente impatto della regolamentazione del software aperto.
Queste organizzazioni non mirano a creare ambienti di sicurezza concorrenti, ma lavoreranno piuttosto per coordinare e amplificare le iniziative esistenti, migliorare i tassi di adozione e aiutare le organizzazioni a implementare pratiche sostenibili di sicurezza e conformità normativa durante l'intero ciclo di vita del software.
