Il CRA si applica al mio prodotto? / Libreria open source
Open source e CRA: quando i maintainer sono esenti
Il software libero sviluppato o fornito al di fuori di un'attività commerciale è escluso — il testo finale del CRA protegge espressamente i maintainer amatoriali e comunitari. Il confine è comportamentale, non di licenza: monetizza la fornitura e puoi entrare nell'ambito.
Cosa significa concretamente per te
- ▸Sicuro: donazioni, essere pagati per contribuire a un progetto che non monetizzi, progetti comunitari sotto fondazioni (per gli «steward» c'è un regime alleggerito).
- ▸Rischioso: doppia licenza, supporto o hosting a pagamento del software, open core con funzioni a pagamento, sponsorware — somiglia a fornitura commerciale.
- ▸Le aziende che integrano la tua libreria nei loro prodotti portano gli obblighi per i loro prodotti — e ti chiederanno SBOM, contatto di sicurezza e SLA di correzione. La pressione dell'ecosistema arriva a prescindere dal tuo stato giuridico.
- ▸Se in più vendi un prodotto costruito sul tuo stesso open source, il prodotto è nell'ambito anche se la libreria da sola non lo è.
La trappola in cui cade la maggior parte dei team
Considerare l'esenzione permanente. Il giorno in cui lanci funzioni «Pro» o hosting cloud a pagamento, il tuo orologio di conformità parte — recuperare SBOM e processi di divulgazione sotto pressione fa molto più male che costruirli adesso con calma.
Le scadenze
2026-09-11
Inizio degli obblighi di segnalazione: le vulnerabilità attivamente sfruttate e gli incidenti gravi vanno segnalati entro 24 h / 72 h tramite la piattaforma unica dell'ENISA.
2027-12-11
Applicazione piena: requisiti essenziali, documentazione tecnica, dichiarazione di conformità UE e marcatura CE diventano obbligatori per vendere nell'UE.
A che punto è il tuo prodotto, concretamente?
Il Risk Check gratuito (in inglese) ti dà in 3 minuti il verdetto sull'ambito, la classe di rischio, un punteggio di preparazione e una lista di azioni prioritizzata. Senza registrazione.
Oppure lascia fare a CRAdar in modo continuativo — ti avvisiamo al lancio:
Altri tipi di prodotto
Guida editoriale sul regolamento (UE) 2024/2847 — non è consulenza legale.