En tres años, todas las obligaciones del Acta de Resiliencia Cibernética de la Unión Europea (CRA, por sus siglas en inglés) serán plenamente aplicables, con las obligaciones de reporte de vulnerabilidades a partir de septiembre de 2026. Desde su concepción hasta su implementación, el CRA ha sido un tema central en la agenda de políticas de desarrolladores de GitHub durante casi seis años. Junto con sus socios, GitHub ha colaborado con los legisladores de la UE para garantizar que el CRA evite consecuencias no deseadas para el ecosistema de código abierto, que forma la columna vertebral de cualquier pila de software moderna.


La razón detrás de la regulación del software en la UE es evidente: dispositivos IoT baratos que terminan siendo utilizados en botnets, teléfonos inteligentes que no reciben actualizaciones de seguridad luego de pocos años de su compra, y aplicaciones que filtran información de los clientes accidentalmente. Estos problemas no solo afectan a los consumidores, sino que además pueden ser el punto de partida de ciberataques que debilitan industrias enteras y afectan servicios públicos. Para abordar este problema, el CRA establece requisitos para la ciberseguridad, el mantenimiento y la divulgación de vulnerabilidades para los productos de software en el mercado de la UE.


El código abierto también necesita ciberseguridad, aunque históricamente ha florecido porque se ha ofrecido «tal cual», sin garantías de sus desarrolladores.