Este conjunto de ferramentas transforma requisitos regulamentares complexos numa série de etapas práticas que as organizações podem incorporar nos seus processos de desenvolvimento e segurança de software. Ajuda-as a avaliar a sua prontidão, a identificar componentes de software de código aberto utilizados nos seus produtos, a gerir vulnerabilidades e a documentar como os riscos de segurança são tratados.
Este anúncio surge no momento em que estão a ser implementadas as primeiras obrigações estabelecidas pela CRA. A partir de 11 de setembro de 2026, os fabricantes devem comunicar ativamente as vulnerabilidades exploradas e os incidentes de segurança graves que afetem produtos que incorporem elementos digitais e sejam comercializados na União Europeia. Estes requisitos da CRA serão alargados a 11 de dezembro de 2027.
O lançamento inicial da plataforma de autoavaliação OCCTET identificou um problema generalizado: muitas PME implementam medidas de segurança, mas não têm a visibilidade, a documentação e os processos consistentes necessários para demonstrar como estão a gerir os riscos de software.
"As organizações com recursos limitados para a conformidade enfrentam desafios significativos na preparação para a implementação da CRA", disse Mike Milinkovich, diretor executivo da Eclipse Foundation. “O OCCTET simplifica o processo ao fornecer ferramentas que ajudam as organizações a compreender as suas obrigações, a identificar e solucionar vulnerabilidades e a manter os registos necessários para a conformidade.”
Uma solução prática da avaliação à ação:
O conjunto de ferramentas do OCCTET reúne diversos serviços que capacitam as organizações desde a avaliação inicial até à gestão e documentação de vulnerabilidades.
As pequenas e médias empresas (PME) e os projetos de software de código aberto podem agora aceder e testar os seguintes serviços:
Avaliar a prontidão: O Portal de Avaliação da CRA ajuda as PME a compreender como a CRA se lhes aplica, a avaliar a sua prontidão atual e a identificar áreas de melhoria. A avaliação gratuita e guiada traduz as cláusulas da CRA em perguntas estruturadas, pontuações e recomendações práticas.
Identificar componentes de software: O Eclipse Apoapsis (uma instância do OCCTET) identifica componentes de software de código aberto, dependências e licenças com base no OSS Review Toolkit e em vulnerabilidades conhecidas. Também pode gerar uma variedade de relatórios e artefactos de conformidade prontos para a CRA, como as Listas de Materiais de Software (SBOMs), que fornecem um inventário padronizado dos componentes de software incorporados num produto.
Analise as conclusões e tome medidas: o Bitsea Curator (uma instância do OCCTET) combina a análise automatizada e a revisão humana para ajudar os utilizadores a verificar informações de software, avaliar se as vulnerabilidades afetam os seus produtos, priorizar problemas e documentar as suas decisões. Permite ainda a criação de relatórios do Vulnerability Exploitability Exchange (VEX), que registam se um produto é afetado por uma vulnerabilidade conhecida.
Reutilizar informações de software partilhadas: o Federated OSS Assessment Database, vulnerablecode.io, fornece informações sobre pacotes de software de código aberto, incluindo as suas origens, licenças, avisos de segurança, vulnerabilidades e SBOMs de referência. A sua versão de demonstração PurlDB permite gerar SBOMs de referência para mais de 20 milhões de pacotes, enquanto a sua integração com o VulnerableCode liga a informação de vulnerabilidade aos pacotes de software correspondentes.
A validade do conjunto de ferramentas foi testada em cenários reais e complexos de dependência de software em dez ecossistemas tecnológicos diferentes. Os testes foram conduzidos em projetos de software de código aberto amplamente utilizados e através de uma análise em larga escala de todo o portefólio de projetos da Eclipse Foundation, bem como para um número crescente de casos de utilização reais em pequenas e médias empresas (PME). Estes testes abrangentes demonstram a capacidade do conjunto de ferramentas para funcionar com diversas tecnologias, tamanhos de projeto e cadeias de fornecimento de software.
Os testes mostraram que pode analisar estruturas de dependência complexas, identificar vulnerabilidades, suportar revisões humanas e monitorizar a segurança ao longo do tempo.
Acesso ao OCCTET:
O projeto OCCTET (Open Source Compliance: Comprehensive Techniques and Essential Tools) reúne líderes da indústria, especialistas em cibersegurança, representantes de PME e organizações de código aberto para tornar a segurança do software e a preparação para a CRA mais acessíveis, transparentes e económicas.
As PME e os projetos de código aberto podem testar o conjunto de ferramentas e os recursos disponíveis em occtet.eu. As organizações interessadas em testar os serviços utilizando produtos e fluxos de trabalho de desenvolvimento reais e em fornecer feedback para melhorias adicionais podem visitar esta página do OCCTET.
O OCCTET complementa o extenso trabalho da Eclipse Foundation para ajudar as organizações e comunidades de código aberto a preparar-se para a CRA. Os participantes estão a desenvolver, através do Grupo de Trabalho ORC (Open Regulatory Compliance), especificações orientadas pela comunidade, juntamente com orientações, formação e outros recursos que facilitam a implementação da CRA em todo o ecossistema de código aberto.
Entre estas características está o ORC Learning Hub gratuito, que oferece formação prática e específica para cada função, ajudando os programadores, mantenedores, gestores de projeto, equipas de produto e profissionais de segurança e conformidade de código aberto a compreender como a CRA se aplica ao seu trabalho e como satisfazer esses requisitos na prática.
A comunidade também se reúne no Code & Compliance, o principal evento da ORC para programadores de código aberto, gestores de projetos, profissionais jurídicos e de conformidade, autoridades públicas e líderes do setor. O próximo evento, que terá lugar a 27 de outubro de 2026, em Bruxelas, proporcionará um fórum para a troca de experiências, partilha de boas práticas e para explorar como a CRA e outras regulamentações digitais emergentes afetam o ecossistema de código aberto. Inscreva-se já.
