La verdadera pregunta de la CRA de la UE: ¿Qué se envió y cuándo te enteraste?

Un res­pon­sa­ble de pro­yec­tos de soft­wa­re libre re­ci­bió un re­por­te ma­si­vo de vul­ne­ra­bi­li­da­des con un nú­me­ro ele­va­do de fa­llos re­por­ta­dos, de los cua­les solo unos pocos eran reales, se­gui­do de una de­man­da de pago bajo ame­na­za de di­vul­ga­ción pú­bli­ca. Este tipo de si­tua­cio­nes, que los man­te­ne­do­res de có­di­go abier­to ges­tio­nan de ma­ne­ra in­for­mal y bajo pre­sión, pron­to se con­ver­ti­rán en una reali­dad ope­ra­ti­va y legal para nu­me­ro­sas em­pre­sas a raíz de la nor­ma­ti­va eu­ro­pea.

La Ley de Re­si­lien­cia Ci­ber­né­ti­ca de la Unión Eu­ro­pea (EU CRA) es­ta­ble­ce­rá obli­ga­cio­nes de no­ti­fi­ca­ción que exi­gi­rán a los fa­bri­can­tes avi­sar a ENISA en un plazo de­ter­mi­na­do tras co­no­cer una ex­plo­ta­ción ac­ti­va, antes de que en­tren en vigor los re­que­ri­mien­tos de in­ge­nie­ría pro­pia­men­te di­chos. Esto ge­ne­ra­rá un pe­río­do ini­cial donde la le­gis­la­ción fun­cio­na­rá prin­ci­pal­men­te como un re­qui­si­to de vi­si­bi­li­dad, obli­gan­do a res­pon­der qué se envió y cuán­do se co­no­ció el pro­ble­ma.

Para cum­plir con estas exi­gen­cias, man­te­ner lis­tas de ma­te­ria­les de soft­wa­re (SBOM) es­tá­ti­cas no es su­fi­cien­te, ya que la nor­ma­ti­va exige do­cu­men­tos ac­tua­li­za­dos que re­fle­jen con pre­ci­sión los com­po­nen­tes ac­tua­les. Las or­ga­ni­za­cio­nes están abor­dan­do este de­sa­fío me­dian­te la au­to­ma­ti­za­ción in­ter­na de sus pro­ce­sos o re­cu­rrien­do al con­su­mo de com­po­nen­tes pre­via­men­te cer­ti­fi­ca­dos, con el fin de evi­tar re­tra­sos que su­peren los pla­zos le­ga­les es­ta­ble­ci­dos.