Этот набор инструментов преобразует сложные нормативные требования в ряд практических шагов, которые организации могут интегрировать в свои процессы разработки программного обеспечения и обеспечения безопасности. Он помогает им оценить свою готовность, выявить компоненты программного обеспечения с открытым исходным кодом, используемые в их продуктах, управлять уязвимостями и документировать способы устранения рисков безопасности.

Это объявление сделано в связи с внедрением первых обязательств, установленных Законом о защите данных (CRA). С 11 сентября 2026 года производители должны активно сообщать об использованных уязвимостях и серьезных инцидентах безопасности, затрагивающих продукты, содержащие цифровые элементы и продаваемые в Европейском Союзе. Срок действия этих требований CRA будет продлен 11 декабря 2027 года.

Первоначальное внедрение платформы самооценки OCCTET выявило широко распространенную проблему: многие малые и средние предприятия внедряют меры безопасности, но им не хватает прозрачности, документации и последовательных процессов, необходимых для демонстрации того, как они управляют рисками, связанными с программным обеспечением.

«Организации с ограниченными ресурсами для соблюдения требований сталкиваются со значительными трудностями при подготовке к внедрению CRA», — сказал Майк Милинкович, исполнительный директор Фонда Eclipse. «OCCTET упрощает процесс, предоставляя инструменты, которые помогают им понять свои обязательства, выявить и устранить уязвимости, а также вести необходимую документацию для соблюдения требований».

Практическое решение от оценки до действий:
набор инструментов OCCTET объединяет несколько сервисов, которые помогают организациям пройти путь от первоначальной оценки до управления уязвимостями и документирования.

Малые и средние предприятия и проекты с открытым исходным кодом теперь могут получить доступ к следующим сервисам и протестировать их:
Оценка готовности: Портал оценки CRA помогает малым и средним предприятиям понять, как CRA применяется к ним, оценить свою текущую готовность и определить области для улучшения. Бесплатная, управляемая оценка переводит положения CRA в структурированные вопросы, баллы и практические рекомендации.
Идентификация программных компонентов: Eclipse Apoapsis (экземпляр OCCTET) идентифицирует компоненты программного обеспечения с открытым исходным кодом, зависимости и лицензии на основе набора инструментов OSS Review Toolkit и известных уязвимостей. Он также может генерировать ряд готовых к соблюдению требований CRA отчетов и артефактов, таких как спецификации программного обеспечения (SBOM), которые представляют собой стандартизированный перечень программных компонентов, встроенных в продукт.
Анализ результатов и принятие мер: Bitsea Curator (экземпляр OCCTET) сочетает в себе автоматический анализ и проверку человеком, помогая пользователям проверять информацию о программном обеспечении, оценивать, влияют ли уязвимости на их продукты, расставлять приоритеты и документировать свои решения. Он также позволяет создавать отчеты Vulnerability Exploitability Exchange (VEX), в которых регистрируется, затронут ли продукт известной уязвимостью.
Повторное использование общей информации о программном обеспечении: Федеративная база данных оценки открытого программного обеспечения vulnerablecode.ioпредоставляет информацию о пакетах программного обеспечения с открытым исходным кодом, включая их происхождение, лицензии, предупреждения о безопасности, уязвимости и эталонные SBOM. Ее демонстрационная версия PurlDB позволяет генерировать эталонные SBOM для более чем 20 миллионов пакетов, а интеграция с VulnerableCode связывает информацию об уязвимостях с соответствующими программными пакетами.

Достоверность инструментария была проверена в реальных сложных сценариях зависимости программного обеспечения в десяти различных технологических экосистемах. Тестирование проводилось на широко используемых проектах с открытым исходным кодом, а также в рамках масштабного анализа всего портфеля проектов Eclipse Foundation и растущего числа реальных сценариев использования для малых и средних предприятий. Это всестороннее тестирование демонстрирует способность инструментария работать с различными технологиями, размерами проектов и цепочками поставок программного обеспечения.

Тестирование показало, что он может анализировать сложные структуры зависимостей, выявлять уязвимости, поддерживать проверку специалистами и отслеживать безопасность во времени.

Доступ к OCCTET:
Проект OCCTET (Open Source Compliance: Comprehensive Techniques and Essential Tools) объединяет лидеров отрасли, экспертов по кибербезопасности, представителей малых и средних предприятий и организаций, занимающихся открытым исходным кодом, чтобы сделать безопасность программного обеспечения и готовность к соблюдению требований CRA более доступными, прозрачными и экономически эффективными.

Малые и средние предприятия и проекты с открытым исходным кодом могут протестировать инструментарий и ресурсы, доступные на сайте occtet.eu. Организации, заинтересованные в тестировании сервисов с использованием реальных продуктов и рабочих процессов разработки, а также в предоставлении обратной связи для дальнейших улучшений, могут посетить эту веб-страницу OCCTET.

OCCTET дополняет обширную работу Фонда Eclipse по оказанию помощи организациям и сообществам, занимающимся открытым исходным кодом, в подготовке к соблюдению требований CRA. Участники разрабатывают, через Рабочую группу ORC (Open Regulatory Compliance), спецификации, разработанные сообществом, а также руководства, обучение и другие ресурсы, которые облегчают внедрение CRA в экосистеме открытого исходного кода.

Среди этих ресурсов — бесплатный учебный центр ORC Learning Hub, предлагающий практическое обучение, ориентированное на конкретные роли, чтобы помочь разработчикам открытого исходного кода, сопровождающим проектов, менеджерам проектов, продуктовым командам, а также специалистам по безопасности и соответствию нормативным требованиям понять, как Закон о реагировании на мошенничество (CRA) применяется к их работе и как выполнять эти требования на практике.

Сообщество также собирается на Code & Compliance, флагманском мероприятии ORC для разработчиков открытого исходного кода, менеджеров проектов, юристов и специалистов по соблюдению нормативных требований, государственных служащих и лидеров отрасли. Следующее мероприятие, которое состоится 27 октября 2026 года в Брюсселе, предоставит площадку для обмена опытом, передовыми практиками и изучения того, как Закон о реагировании на мошенничество (CRA) и другие новые цифровые нормативные акты влияют на экосистему открытого исходного кода. Зарегистрируйтесь сейчас.