Article 14 ЕС: что ждёт open source-разработчиков с 11 сентября

Прочитал, что с 11 сентября 2026 года вступает в силу Article 14 Европейского закона о киберустойчивости — теперь даже разработчики open source-проектов должны сообщать о активно эксплуатируемых уязвимостях в течение 24 часов. Это касается не только коммерческих продуктов, но и бесплатных, если они ведутся юридическим лицом или с доходом. Основное — не просто найти уязвимость, а вовремя оповестить Европейский центр по кибербезопасности через единую платформу, с отчётом в три этапа.

Считаю, что это серьёзно меняет правила игры. Раньше уязвимости могли «лежать» годами, пока кто-то не начнёт их использовать. Теперь даже если никто не атакует — но есть доказательства, что уязвимость уже в эксплуатации, — срочно нужно сообщать. Платформа требует ручного заполнения трёх форм, MFA, и 24 часа — это не шутка. Никакой отсрочки. На практике это значит: либо есть система, которая сама отслеживает активные атаки, либо ты не успеваешь.

На мой взгляд, ключевое — не в штрафах, а в том, что теперь уязвимость не может оставаться скрытой. Если проект не отреагирует, его могут вывести из европейского рынка. Это уже не просто риск для безопасности — это риск для существования. Особенно для проектов с широким распространением, где уязвимость может быть использована массово.

Уже начал смотреть, как это работает в практике. У себя веду несколько open source-проектов, и теперь понимаю, что нужно не просто обновлять, а иметь систему мониторинга активных эксплуатаций. Проверяю, как Patchstack предлагает решать это: они отслеживают KEV (known exploited vulnerabilities), уведомляют, могут выступать в роли представителя и заполнять отчёты. Всё это — бесплатно на старте. Пока не внедряю, но в ближайшую неделю поставлю в план проверить, как это работает в реальных условиях.