OpenSSF definieert drie rollen om open‑sourceprojecten te helpen voldoen aan EU‑CRA

De EU Cyber Resilience Act (CRA) introduceert een reeks beveiligingsverplichtingen voor producten met digitale componenten, met verstrekkende gevolgen voor de open‑source‑leveringsketen. Om deze verplichtingen te verduidelijken publiceerde de Open Source Security Foundation (OpenSSF) in september 2026 een voorbereidingsroute die drie afzonderlijke rollen binnen de open‑source‑gemeenschap identificeert en de taken per rol beschrijft.

Drie rollen, drie sets verantwoordelijkheden

De gids verdeelt het ecosysteem in (1) maintainers of bijdragers, (2) open‑source‑stewards en (3) fabrikanten van producten die open‑source‑code bevatten. Deze taxonomie sluit aan bij de juridische terminologie van de CRA, die onderscheid maakt tussen partijen die alleen code bijdragen en partijen die afgewerkte producten op de markt brengen.

De meeste niet‑commerciële bijdragers vallen buiten de definitie van “fabrikant” volgens de CRA, waardoor zij niet automatisch onder de brede rapportage‑ en herstelverplichtingen van de wet vallen. Hun hoofdverantwoordelijkheid blijft het waarborgen van de kwaliteit en veiligheid van de door hen geschreven code, zonder de zware compliance‑last die commerciële actoren dragen.

Wat een steward doet

Een open‑source‑steward wordt gedefinieerd als een rechtspersoon die langdurige ondersteuning biedt voor projecten die in commerciële activiteiten worden gebruikt. Stewards nemen coördinatie-, governance‑ en beveiligingsfuncties op zich, zoals het onderhouden van een beveiligingsbeleid, het afhandelen van kwetsbaarheidsmeldingen en het faciliteren van samenwerking tussen downstream‑gebruikers.

Hoewel de CRA pas op 11 december 2027 specifieke verplichtingen aan stewards oplegt, raadt OpenSSF aan dat zij al best practices implementeren: beveiligingscontacten, escalatieroutes en samenwerkingsprocessen. Deze proactieve houding helpt downstream‑fabrikanten hun eigen CRA‑deadlines te halen.

Fabrikanten hebben de strengste termijn

Een fabrikant die een product onder eigen merk verkoopt, draagt de breedste reeks verplichtingen. Sinds 11 september 2026 moeten fabrikanten elke actief uitgebuite kwetsbaarheid of ernstig incident binnen 24 uur melden en binnen 72 uur een formele kennisgeving aan klanten sturen. Niet‑nakoming kan leiden tot boetes en marktbeperkingen onder de CRA.

• Onderhoud een up‑to‑date SECURITY.md‑bestand in elke repository
• Stel een toegewijd beveiligingscontactadres in dat continu wordt gemonitord
• Implementeer supply‑chain attestatietools zoals SLSA, Sigstore, GUAC en OSPS Baseline
• Documenteer escalatieprocedures en deel deze met downstream‑partners

De gids benadrukt ook het belang van het integreren van deze tools in geautomatiseerde CI/CD‑pijplijnen. Door cryptografische herkomstrecords (SLSA) te genereren en artefacten te ondertekenen (Sigstore), kunnen projecten de integriteit van hun builds aantonen, een vereiste die fabrikanten moeten kunnen bewijzen bij audits door EU‑autoriteiten.

Omdat één organisatie meerdere rollen kan vervullen, adviseert de gids een duidelijke interne toewijzing van verantwoordelijkheden. Een bedrijf dat zowel bijdraagt aan een open‑source‑bibliotheek als een hardware‑apparaat verkoopt dat die bibliotheek bevat, moet de bijdrage beschouwen als een maintainer‑activiteit en het apparaat als een fabricage‑activiteit, elk met een eigen compliance‑checklist.

De aanbevelingen van OpenSSF vormen geen juridisch advies, maar zijn bedoeld om de gemeenschap te helpen de geest van de CRA te volgen. De stichting raadt belanghebbenden aan juridisch advies in te winnen voor definitieve interpretaties, vooral nu de handhavingsmechanismen van de CRA zich ontwikkelen.

De gids maakt duidelijk dat de scheiding tussen de drie rollen niet alleen een administratieve formaliteit is, maar een cruciale verdeling van compliance‑verantwoordelijkheden inhoudt; elke rol moet haar eigen set van processen en documentatie opzetten om te kunnen aantonen dat zij voldoet aan de eisen van de CRA, waardoor de transparantie in de leveringsketen wordt vergroot en de audittrail voor toezichthouders wordt versterkt.

Voor maintainers betekent dit dat, naast het waarborgen van codekwaliteit, er expliciete maatregelen moeten worden genomen om kwetsbaarheidsmeldingen systematisch te registreren en tijdig te communiceren, zonder dat zij de volledige meldingsplicht van fabrikanten dragen; deze beperking beschermt vrijwilligers en kleine projecten tegen disproportionele administratieve lasten, maar vereist wel een duidelijke scheiding tussen vrijwillige bijdrage en commerciële exploitatie.

Stewards, als juridische entiteiten, moeten een formeel security‑beleid opstellen dat onder meer de inrichting van een beveiligingscontact, escalatieroutes en periodieke risico‑analyses omvat; de gids onderstreept dat het ontbreken van dergelijke structuren kan leiden tot vertragingen in de downstream‑respons, waardoor fabrikanten hun eigen CRA‑deadlines mogelijk missen en extra compliance‑kosten moeten dragen.

Fabrikanten dragen de zwaarste verplichtingen, waaronder de verplichte 24‑uur melding en 72‑uur klantcommunicatie bij een actieve kwetsbaarheid; dit impliceert dat zij robuuste monitoring‑ en incident‑response‑processen moeten integreren in hun CI/CD‑pipelines, zodat zij snel kunnen aantonen dat de broncode authentiek en ongewijzigd is via tools zoals SLSA en Sigstore.

Wanneer één organisatie meerdere rollen vervult, ontstaat een interne scheiding van taken die zowel juridisch als operationeel moet worden gemonitord; een duidelijke toewijzing van verantwoordelijkheid voorkomt conflicterende interpretaties van de CRA en maakt het mogelijk om afzonderlijke compliance‑checklists te hanteren voor contributie‑activiteiten versus product‑fabricage, waardoor interne audits effectiever worden.

De praktische consequentie voor organisaties is dat zij nu een systematische evaluatie moeten uitvoeren van hun huidige processen, de voorgestelde documentatie en tooling moeten adopteren, en een continue verificatie‑cyclus moeten inbouwen om te garanderen dat alle rapportage‑ en herstelverplichtingen tijdig worden nageleefd, wat uiteindelijk de weerbaarheid van de hele open‑source‑leveringsketen in de EU‑markt versterkt.

Voor Nederlandstalige organisaties is de praktische impact duidelijk: zij moeten bepalen welke van de drie rollen zij vervullen, de door OpenSSF voorgestelde beveiligingsdocumentatie en -tools adopteren, en snelle rapportageprocessen voor kwetsbaarheden opzetten. Zo verkleinen ze het risico op boetes en dragen ze bij aan een veerkrachtigere open‑source‑leveringsketen in de EU‑markt.