CRA и открытое ПО: различия между участниками разработки, производителями и кураторами

Что это

Состояние на 25 октября 2026 года. CRA рассматривает ПО с открытым исходным кодом в зависимости от способа поставки продукта и роли соответствующего лица. При изменении финансирования, распространения или ответственности заново проверяйте регламент, исправления к нему и рекомендации Еврокомиссии по открытому ПО. Использованные здесь рекомендации обновлены 15 октября 2026 года.

Еврокомиссия поясняет, что ПО с открытым исходным кодом, поставляемое на рынок на коммерческой основе, может подпадать под CRA. Она также выделяет тех, кто вносит вклад в ПО вне своей ответственности, и отдельную категорию кураторов ПО с открытым исходным кодом. Одна открытая лицензия не определяет эту классификацию. Рекомендации Еврокомиссии по открытому ПО.

Почему это важно

Пункт 18 преамбулы отделяет финансирование разработки от коммерческой поставки. Вклад производителей, финансовая поддержка и регулярные выпуски сами по себе не делают деятельность вокруг открытого ПО коммерческой. ПО, которое производитель не монетизирует, не следует на этом основании считать коммерчески поставляемым. И наоборот, бесплатное скачивание не даёт окончательного ответа: пункт 15 преамбулы рассматривает монетизацию через другие услуги и плату за поддержку, превышающую возмещение фактических затрат. Анализировать нужно реальные условия деятельности, а не только лицензию репозитория. Регламент, пункты 15 и 18 преамбулы.

Даты также различаются. Обязанность производителей уведомлять по статье 14 действует с 11 сентября 2026 года. Обязанности кураторов по статье 24, включая уведомления, применяются с 11 декабря 2027 года. На странице Еврокомиссии об уведомлениях это различие указано прямо.

Как применять

• Определите ответственность за каждый продукт. Пункт 18 преамбулы исключает физических и юридических лиц, которые лишь вносят исходный код в открытые продукты вне своей ответственности. Эту формулировку не следует расширять до общего освобождения всех, кого называют мейнтейнерами.
• Изучите роль производителя. Статья 3(13) касается лица, которое разрабатывает продукт или заказывает его разработку и выводит его на рынок под своим именем или товарным знаком. По пояснению Еврокомиссии, если подпадающий под регламент открытый продукт выводится на рынок на коммерческой основе, применяются обязанности производителя. Большинство более широких требований CRA согласно статье 71 применяется с 11 декабря 2027 года; для обязанности уведомлять установлена более ранняя дата.
• Отдельно проверьте определение куратора. Статья 3(14) определяет юридическое лицо, не являющееся производителем, которое на протяжении длительного времени систематически поддерживает разработку определённых открытых продуктов, предназначенных для коммерческой деятельности, и обеспечивает их жизнеспособность. Одно название роли в проекте или пожертвование не доказывает наличия всех этих признаков.
• Изучите специальные обязанности. Статья 24 требует документированной политики кибербезопасности, поддерживающей безопасную разработку и работу с уязвимостями, а также сотрудничества с органами надзора за рынком. Объём уведомлений ограничен: уведомления об уязвимостях зависят от участия куратора в разработке продукта; уведомления о серьёзных инцидентах и указанные обязанности по информированию пользователей касаются инцидентов, затрагивающих сетевые и информационные системы, которые куратор предоставляет для этой разработки. Это не безусловная обязанность сообщать о каждом инциденте у любого последующего пользователя. Эти различия следуют из статей 3 и 24.
• Сохраняйте возможность проверить основания классификации. В качестве организационной меры предлагается фиксировать ответственное лицо, принадлежность продукта, условия распространения, монетизацию и предоставляемую инфраструктуру. Приложите положения, на которые опирается вывод, и укажите неустановленные факты для квалифицированного рассмотрения.

Подводные камни

Освобождение от административных штрафов не означает освобождения от обязанностей куратора. Еврокомиссия заявляет, что на кураторов административные штрафы CRA не распространяются. Читайте статью 64(10) вместе с исправлением от 2 июля 2025 года, которое корректирует диапазон пунктов в этом исключении. Не распространяйте его на производителя только потому, что его продукт использует открытую лицензию.

Наконец, статус исходного проекта не определяет обязанности производителя, включающего его компоненты в другой продукт. Оценивайте участников и продукты отдельно, а не присваивайте один статус всей цепочке зависимостей.