--- title: "Ecossistema de software de código aberto transita para modelo mais regulamentado" author: "Gustavo Ramos O. Klein" date: "2026-08-09 07:45:00-03" category: "Segurança & Privacidade" url: "http://desbugados.scale.press/portal/desbugados/post/2026/08/09/ecossistema-de-software-de-codigo-aberto-transita-para-modelo-mais-regulamentado/md" --- ## Resumo - Incidentes de segurança como SolarWinds e Log4Shell impulsionaram mudanças no open source - A CRA da UE cria a categoria de stewards com obrigações específicas de segurança - EmeritOSS da Chainguard mantém projetos como Kaniko, Kubeapps e ingress-nginx com foco em patches - Previsão de divisão entre open source compliant e o tradicional - Stewards devem documentar políticas de cibersegurança e cooperar com autoridades - Projetos não comerciais ficam isentos de obrigações completas - Empresas precisam escolher projetos com suporte sustentado para compliance --- Em 7 de agosto de 2026, o The Hacker News publicou uma análise que descreve como o **software de código aberto**, após uma 'grande infância' de duas décadas, está enfrentando um amadurecimento forçado por incidentes de segurança e novas regulamentações europeias, prometendo uma divisão clara no ecossistema que afeta diretamente as empresas que dependem dessas ferramentas. ## O Amadurecimento Forçado Após Incidentes de Segurança O open source teve uma infância ótima por duas décadas, mas incidentes em torno de 2020 como **SolarWinds**, **Log4Shell**, TeamPCP e Shai-Hulud levaram a ordens executivas e regulamentações europeias que exigem mais accountability dos projetos. Isso significa que um subset do open source se tornará alcançável, patched, accountable com proof of life, security policy e disclosures para empresas reguladas, enquanto o outro lado permanece inalterado, criando uma divisão natural no ecossistema que afeta como as organizações integram essas ferramentas em suas operações diárias e questiona como as equipes podem garantir a segurança em cadeias de suprimentos complexas. Além disso, a previsão indica que o **EmeritOSS** da Chainguard atua como uma espécie de 'casa de repouso' para projetos quando os mantenedores se afastam, oferecendo uma forma de manter a viabilidade a longo prazo sem o desenvolvimento de novas funcionalidades, focando apenas em patches de segurança e atualizações de dependências quando possível, o que permite que empresas continuem usando esses componentes sem riscos desnecessários. ## A Lei de Resiliência Cibernética e a Criação dos Stewards A Lei de Resiliência Cibernética da União Europeia, conhecida como CRA, inventou a categoria de 'open-source software steward' para entidades legais como fundações ou empresas que fornecem suporte sustentado e sistemático para projetos de código aberto destinados a atividades comerciais, garantindo sua viabilidade. As obrigações incluem colocar em prática e documentar uma política de cibersegurança para desenvolvimento seguro e tratamento de vulnerabilidades, fomentar relatórios voluntários e cooperar com autoridades de vigilância de mercado, sob um regime mais leve que o dos fabricantes, com isenção para projetos não comerciais de FOSS. Você já considerou como essa figura do steward pode atuar como uma ponte diplomática entre o mundo do software livre tradicional e as exigências de compliance das grandes corporações? Essa abordagem permite que o ecossistema se conecte de forma mais interoperável, onde projetos maduros recebem o suporte necessário para atender regulamentos sem perder sua essência aberta, e para entender melhor o contexto europeu, confira o [plano europeu para incentivar o código aberto](https://desbugados.com.br/post/2026/01/12/uniao-europeia-quer-se-livrar-da-big-tech-com-plano-de-incentivo-ao-codigo-aberto). ## O Programa EmeritOSS da Chainguard como Modelo Prático A Chainguard anunciou o programa **EmeritOSS** em 16 de dezembro de 2025 como uma iniciativa focada em estabilidade que preserva e protege projetos maduros de código aberto não mantidos, começando com **Kaniko**, **Kubeapps** e **ingress-nginx**, envolvendo a criação de forks públicos no GitHub mantidos com atualizações mínimas apenas para problemas de segurança. Em janeiro de 2026, o programa expandiu adicionando dez novos projetos, permitindo que equipes dependentes mantenham esses componentes seguros e operacionais sem a necessidade de assumir a manutenção completa. Essa abordagem de stewardship sustentável para a longevidade do OSS significa que, quando um projeto não requer mais atualizações contínuas ou os mantenedores precisam se afastar, o EmeritOSS entra para fornecer suporte de longo prazo, atualizando dependências quando possível e liberando regularmente, sem compromissos com desenvolvimento de features ou correção de bugs, o que responde à pergunta de como as empresas podem continuar usando ferramentas open source críticas de forma segura em um ambiente regulado. ## A Previsão de Divisão no Ecossistema e Suas Consequências A análise prevê uma divisão onde um subset do open source se torna reach able, patched, accountable com proof of life, security policy e disclosures para empresas reguladas, enquanto o outro permanece inalterado, e a multidão do Free Software com licenças GPL é vista como conscientious objectors a essas mudanças. O impacto prático é que empresas em setores regulados precisarão priorizar projetos que tenham políticas de segurança documentadas e que cooperem com autoridades, criando uma interoperabilidade mais estruturada entre comunidades open source e requisitos corporativos de compliance. Como as organizações podem navegar essa transição sem perder o acesso às inovações que o open source proporciona? A resposta está em identificar projetos com stewards ou programas como o EmeritOSS, que funcionam como pontes construídas para conectar o melhor dos dois mundos, garantindo que a segurança não seja um obstáculo mas sim uma base para colaborações mais amplas. ## A Caixa de Ferramentas para Navegar a Transição Para se preparar para essa nova realidade, comece verificando se os projetos open source que sua equipe utiliza têm um steward ou estão incluídos em programas como o EmeritOSS da Chainguard, documentando as políticas de segurança e disclosures disponíveis. Em seguida, avalie a necessidade de compliance com a CRA se sua empresa opera na Europa ou com clientes regulados, priorizando projetos que ofereçam suporte sustentado para evitar riscos em cadeias de suprimentos. Finalmente, considere contribuir ou monitorar iniciativas que promovam a interoperabilidade entre o modelo tradicional e o regulamentado, garantindo que sua organização se beneficie da estabilidade sem abrir mão da inovação aberta.