Vrije software bevindt zich niet langer in een adoptiefase. Het komt in een regulatiefase. De Europese teksten die de afgelopen twee jaar zijn aangenomen, herdefiniëren de verplichtingen van uitgevers, integrators en overheden die open code implementeren. Het begrijpen van deze regelgevende bewegingen is net zo strategisch geworden als het volgen van de commits op een Git-repository.
Cyber Resilience Act en vrije software: wat verandert het nieuwe veiligheidskader
De Europese Cyber Resilience Act (CRA) legt nu concrete verplichtingen op aan software-uitgevers die op de markt worden gebracht: beheer van kwetsbaarheden, levering van een SBOM en beveiligingsupdates gedurende de levenscyclus van het product. Voor open source-projecten die in een commerciële context worden verspreid, zijn deze eisen van toepassing, ongeacht het businessmodel.
Zie ook : De laatste trends en essentiële informatie uit de zakenwereld om te ontdekken
Het regime voorziet echter in een verlichte behandeling voor niet-commerciële open source. Een vrijwillige maintainer die code publiceert op een openbare forge is niet onderworpen aan dezelfde verplichtingen als een uitgever die deze code in een betaalde aanbieding integreert. De grens tussen deze twee statussen blijft echter vaag in verschillende gebruiksgevallen, met name voor stichtingen die vooraf gecompileerde binaries leveren.
We zien dat deze onderscheid sommige projecten aanzet om hun governance te formaliseren. Het produceren van een bruikbare SBOM vereist het traceren van elke afhankelijkheid, inclusief tijdelijke. Voor middelgrote community-projecten is dit een aanzienlijke inspanning op het gebied van tooling, die verder gaat dan de bestaande documentatie. De beschikbare middelen op https://www.espacelibre.net/ maken het mogelijk om de evolutie van deze kwesties rond vrije software en zijn gemeenschappen te volgen.
Verder lezen : De beste tips en trucs om de magie van het ouderschap te ondersteunen
ANSSI en open source industriële politiek in Frankrijk
De ANSSI heeft in februari 2026 haar houding ten opzichte van open source veranderd. Het agentschap beperkt zich niet langer tot het aanbevelen van goede beveiligingspraktijken voor vrije bouwstenen: het presenteert nu vrije software als een instrument voor industriële politiek. Vragen over licenties, overdracht van projecten tussen entiteiten en het interne gebruik van open source-oplossingen door het agentschap zelf maken deel uit van deze nieuwe benadering.
Deze verandering in discours is niet cosmetisch. Door vrije software te positioneren als een instrument voor technische soevereiniteit, stuurt de ANSSI een signaal naar publieke opdrachtgevers. De overheden die aarzelen om vrije software in hun aanbestedingen op te nemen, beschikken nu over een expliciet institutioneel steun.
Exportcontrole en open source-licenties
Een onderwerp dat nog weinig is behandeld in de gemeenschapskringen betreft de exportcontrole die van toepassing is op open source-software. Regimes voor dubbel gebruik kunnen theoretisch van toepassing zijn op code die onder een vrije licentie is gepubliceerd, zodra deze cryptografische functies of surveillancemogelijkheden bevat. De vraag wordt met een nieuwe urgentie gesteld voor Europese projecten die samenwerken met bijdragers in jurisdicties onder sancties.
Europese interoperabiliteit: de 100-dagen sprints
De Europese Unie heeft een versnelde samenwerkingsvorm gelanceerd in de vorm van 100-dagen sprints gewijd aan de interoperabiliteit van open source-bouwstenen. De eerste doelstelling richt zich op La Suite Numérique française en zijn Duitse en Nederlandse equivalenten. Het doel is om soevereine tools die onafhankelijk zijn ontwikkeld, te laten convergeren naar gemeenschappelijke protocollen.
Dit formaat wijkt af van de gebruikelijke cycli van Europese standaardisatie, die zich over meerdere jaren uitstrekken. Het concentreren van technisch werk op een beperkte scope met kortetermijndoelstellingen dwingt teams om de echte pijnpunten (bestandsformaten, gefedereerde authenticatie, identiteitsbeheer) te prioriteren in plaats van theoretische specificaties te produceren.
We raden aan om deze werkzaamheden nauwlettend te volgen. Als de sprints concrete resultaten opleveren, kunnen ze een replicabel model worden voor andere domeinen, met name de gezondheidszorg of het onderwijs, waar vrije suites naast elkaar bestaan zonder te interopereren.
Initiatief Akrites: coördinatie van open source-kwetsbaarheden in het tijdperk van AI
De Linux Foundation en haar partners hebben Akrites gelanceerd, een open source-initiatief voor cyberbeveiliging die tot doel heeft de onthulling en correctie van kwetsbaarheden in vrije projecten beter te coördineren. De context is specifiek: AI versnelt de ontdekking van kwetsbaarheden, en handmatige triageprocessen kunnen niet meer bijbenen.
Akrites vervangt geen CVE’s of bestaande meldkanalen. Het project structureert een coördinatielaag tussen maintainers, beveiligingsonderzoekers en industriële gebruikers. Drie assen komen naar voren:
- Een coördinerend onthullingsprotocol dat is aangepast aan community-projecten die geen toegewijd beveiligingsteam hebben
- Automatische triagetools om kwetsbaarheden te prioriteren op basis van hun werkelijke exploitatie, niet alleen op basis van hun CVSS-score
- Een downstream notificatiemechanisme voor distributies en integrators die open source-afhankelijkheden bevatten
De link met de CRA is direct. Uitgevers die onder de Europese verordening vallen, moeten aantonen dat ze actief de kwetsbaarheden van hun afhankelijkheden beheren. Akrites biedt een gedeelde infrastructuur om aan deze verplichting te voldoen, wat de individuele last voor elk project vermindert.
Open source AI: de spanning tussen openheid en controle
De rol van open source in kunstmatige intelligentie heeft een nieuwe dimensie gekregen. Een groot deel van de taalmodellen en trainingsframeworks is gebaseerd op open code. Maar het begrip open source dat van toepassing is op AI is onderwerp van debat: het publiceren van de gewichten van een model zonder de trainingsgegevens of de preprocessing-code voldoet niet aan de klassieke criteria van softwarevrijheid.
Deze ambiguïteit heeft concrete gevolgen. De zogenaamde “open” modellen die door grote industriële spelers worden gepubliceerd, gebruiken vaak restrictieve licenties die bepaalde commerciële toepassingen verbieden of voorwaarden voor herdistributie opleggen die onverenigbaar zijn met traditionele vrije licenties. De term open source die van toepassing is op AI dekt zeer verschillende juridische realiteiten afhankelijk van de projecten.
De inwerkingtreding van de Europese verordening inzake AI voegt een laag van complexiteit toe. De verplichtingen tot transparantie en documentatie variëren afhankelijk van het risiconiveau van het systeem. Een model dat onder een vrije licentie is gepubliceerd maar is geïntegreerd in een hoogrisicosysteem, erft de regelgevende beperkingen van het eindsysteem, niet die van zijn licentie.
Vrije software verandert van aard wanneer het van een ontwikkeltool naar een gereguleerde bouwsteen gaat. De gemeenschappen die deze verschuiving anticiperen, door hun governance te structureren, hun compliance-keten te voorzien van tools en deel te nemen aan normalisatie-initiatieven, positioneren zich om relevant te blijven in een ecosysteem waar alleen code niet meer voldoende is.