L’11 settembre 2026 è entrato in applicazione uno dei primi obblighi operativi del Cyber Resilience Act (CRA): i produttori devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali commercializzati nell’Unione Europea. Proprio alla vigilia di questa scadenza, Eclipse Foundation ha reso disponibile un toolkit open source gratuito destinato soprattutto alle piccole e medie imprese e ai progetti open source che devono prepararsi ai nuovi requisiti europei.
Gli strumenti sono stati sviluppati nell’ambito di OCCTET – Open Source Compliance: Comprehensive Techniques and Essential Tools, progetto finanziato dal programma Digital Europe e coordinato da Eclipse Foundation. L’idea è trasformare gli adempimenti previsti dal CRA in attività integrabili nei normali processi di sviluppo e sicurezza del software: conoscere i componenti presenti nei prodotti, individuare e valutare le vulnerabilità, produrre Software Bill of Materials (SBOM), registrare le decisioni prese e costruire la documentazione necessaria a dimostrare come vengono gestiti i rischi.
La scadenza dell’11 settembre riguarda specificamente gli obblighi di reporting. Il CRA prevede una prima segnalazione entro 24 ore dalla conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave e una notifica entro 72 ore, alla quale seguono ulteriori relazioni nei tempi previsti dalla normativa. La maggior parte degli altri obblighi del regolamento diventerà invece applicabile dall’11 dicembre 2027.
Le prime sperimentazioni condotte attraverso la piattaforma di autovalutazione OCCTET hanno fatto emergere soprattutto un problema organizzativo: molte PMI dispongono già di misure di sicurezza, ma non necessariamente della visibilità sulla propria supply chain software, dei processi uniformi e della documentazione necessari per dimostrare come vulnerabilità e rischi vengono individuati, valutati e gestiti.
“Per le organizzazioni con risorse limitate dedicate alla compliance, prepararsi al CRA è un impegno considerevole”, osserva Mike Milinkovich, Executive Director di Eclipse Foundation. “OCCTET rende questo lavoro più gestibile riunendo strumenti che aiutano a comprendere gli obblighi, individuare e affrontare le vulnerabilità e mantenere i registri necessari a supportare la conformità.”
Dall’autovalutazione agli interventi sul software
Il primo elemento della toolchain è il CRA Self-Assessment Portal, pensato per fornire alle PMI una valutazione iniziale della propria preparazione. Il percorso guidato traduce le disposizioni del CRA in domande strutturate e restituisce punteggi e raccomandazioni, aiutando anche a determinare quali requisiti riguardano l’organizzazione e dove siano presenti le principali lacune da affrontare.
L’analisi passa quindi dal piano organizzativo al software effettivamente utilizzato nei prodotti. Eclipse Apoapsis, disponibile anche attraverso un’istanza OCCTET, permette di individuare componenti open source, dipendenze, licenze e vulnerabilità note.
Alla base c’è OSS Review Toolkit (ORT), piattaforma open source per l’analisi automatizzata delle dipendenze e della compliance. Tra gli output disponibili rientrano anche documenti utilizzabili nei processi collegati al CRA e le Software Bill of Materials, inventari strutturati dei componenti software che permettono di ricostruire con maggiore precisione ciò che è effettivamente presente in un prodotto.
OCCTET supporta SBOM in formati standard come SPDX e CycloneDX e può seguire nel tempo l’evoluzione dei progetti e delle informazioni di sicurezza associate alle loro dipendenze.
Quando l’analisi automatica richiede una decisione umana
Sapere che una libreria contiene una vulnerabilità nota non significa automaticamente che il prodotto che la utilizza sia vulnerabile. Il codice interessato potrebbe, per esempio, non essere utilizzato nella specifica configurazione oppure la vulnerabilità potrebbe non risultare sfruttabile nel contesto concreto del prodotto.
Per gestire questo passaggio interviene Bitsea Curator, accessibile anche tramite l’istanza OCCTET. Lo strumento affianca all’analisi automatizzata una revisione umana dei risultati, in modo da verificare le informazioni sui componenti software, determinare se una vulnerabilità riguarda effettivamente il prodotto, stabilirne la priorità e registrare le decisioni prese.
Queste informazioni possono essere utilizzate per produrre documenti Vulnerability Exploitability eXchange (VEX). Il VEX consente di associare a una vulnerabilità conosciuta informazioni sul suo effettivo impatto su uno specifico prodotto, distinguendo quindi la semplice presenza di un componente vulnerabile dalla sua concreta esposizione al problema.
È una distinzione importante anche dal punto di vista della compliance: la gestione delle vulnerabilità richiede non soltanto di individuarle, ma di poter documentare come siano state analizzate e perché siano state considerate applicabili o meno a uno specifico prodotto.
Un database federato per non ripetere la stessa analisi
Un’altra componente del progetto riguarda il riutilizzo delle informazioni già disponibili sui componenti open source. Il Federated OSS Assessment Database permette di condividere metadati relativi a origine dei pacchetti, licenze, vulnerabilità, security advisory e SBOM.
Tra i servizi collegati figura VulnerableCode, che associa informazioni sulle vulnerabilità ai pacchetti software interessati. La piattaforma utilizza il Package URL (PURL) come identificatore comune dei componenti della supply chain, rendendo più semplice correlare informazioni provenienti da fonti differenti.
Il dimostratore pubblico PurlDB copre oltre 20 milioni di pacchetti e permette di generare SBOM di riferimento in formato CycloneDX. Il principio è evitare che ogni azienda debba ricostruire da zero informazioni già raccolte e validate altrove, creando invece una base riutilizzabile per successive attività di analisi.
Test su dieci ecosistemi e supply chain software complesse
La toolchain non è stata verificata soltanto attraverso piccoli progetti dimostrativi. OCCTET è stata validata su scenari caratterizzati da strutture di dipendenza complesse appartenenti a dieci ecosistemi tecnologici differenti.
I test hanno compreso progetti open source ampiamente utilizzati, analisi su larga scala dell’intero portafoglio di progetti di Eclipse Foundation e un numero crescente di casi d’uso provenienti da PMI.
Le verifiche hanno riguardato, tra gli altri aspetti, la capacità di ricostruire dipendenze software complesse, individuare vulnerabilità, generare SBOM, assistere la revisione umana dei risultati e monitorare nel tempo l’evoluzione delle informazioni di sicurezza.
La questione è particolarmente rilevante nei prodotti moderni, nei quali il software sviluppato direttamente dal produttore rappresenta spesso soltanto una parte dell’insieme: framework, librerie, package e altre dipendenze open source introducono una supply chain che deve essere conosciuta e documentata per poter gestire efficacemente le vulnerabilità.
Dal toolkit alla preparazione complessiva al CRA
OCCTET riunisce aziende, specialisti di cybersecurity, rappresentanti delle PMI e organizzazioni open source con l’obiettivo di rendere meno onerosi i processi di sicurezza e conformità. Il progetto è finanziato dal Digital Europe Programme nell’ambito della convenzione di sovvenzione numero 101190474.
Il toolkit si affianca alle altre attività avviate da Eclipse Foundation sul Cyber Resilience Act. Il gruppo di lavoro Open Regulatory Compliance (ORC) sta sviluppando specifiche, linee guida, formazione e risorse dedicate all’applicazione del regolamento nell’ecosistema open source.
Tra queste rientra l’ORC Learning Hub, che organizza la formazione in funzione dei diversi ruoli coinvolti: sviluppatori, maintainer, open source steward, team di prodotto e professionisti responsabili di sicurezza e compliance.
Il confronto proseguirà anche con Code & Compliance, l’evento del gruppo ORC che riunisce sviluppatori open source, responsabili di progetto, esperti normativi, specialisti della conformità, policy maker e aziende. La prossima edizione è prevista a Bruxelles il 27 ottobre 2026.
Con l’avvio degli obblighi di reporting del CRA, la questione per le imprese si sposta quindi dalla preparazione teorica alla capacità di conoscere in modo continuativo la composizione del proprio software e trasformare analisi delle dipendenze, vulnerability management, SBOM e decisioni tecniche in evidenze documentabili. OCCTET prova a coprire l’intero percorso con una toolchain gratuita e open source, rivolta in particolare alle organizzazioni per le quali costruire internamente un sistema equivalente comporterebbe costi e competenze difficili da sostenere.
