Open source in Europa: il 44% delle PMI non ha regole di gestione

Cosa dice il rapporto

L'indagine si basa su un questionario a 367 organizzazioni europee, integrato da interviste a manutentori di progetti, decisori pubblici e responsabili IT; per il confronto tra imprese di diversa dimensione il campione comprende 106 PMI (meno di 250 dipendenti) e 210 organizzazioni più grandi. Il 94% degli intervistati considera la sovranità digitale importante per la propria strategia tecnologica e il 61% la giudica molto importante: le motivazioni principali sono sicurezza e privacy (71%), il rischio di dipendenza da un fornitore e dei suoi rincari (55%, sette punti sopra la media mondiale) e l'interesse nazionale o europeo (47%). Il rapporto misura anche il ritorno economico: le organizzazioni con regole di gestione mature dichiarano benefici pari a 4,6 volte i costi sostenuti, contro 3,6 volte per chi non ha alcuna regola. Si tratta di stime fornite dagli stessi intervistati, quindi da leggere come indicazione di tendenza più che come misura contabile.

Il costo nascosto delle versioni modificate in casa

Il capitolo più concreto per chi gestisce l'informatica di un'azienda riguarda i cosiddetti fork privati, cioè le copie di un progetto open source modificate internamente e non condivise con la comunità che lo sviluppa. Il 48% delle organizzazioni europee ne mantiene almeno uno: chi lo fa ne gestisce in media 9,5 e spende circa 311 ore di lavoro a ogni ciclo di rilascio per riallineare le proprie modifiche alle nuove versioni ufficiali. Il 28% non sa nemmeno stimare quanto gli costino. È un problema che le PMI conoscono bene anche in piccolo: il gestionale open source personalizzato dal fornitore di fiducia, il modulo del sito di e-commerce modificato e mai più aggiornato, il plugin adattato che blocca il passaggio alla versione successiva. Il rapporto calcola che contribuire le modifiche al progetto originale rende in media 3,3 volte il costo sostenuto, perché poi la manutenzione la condivide la comunità; tra le PMI, però, solo il 48% contribuisce in qualche forma ai progetti che usa, contro il 64% delle grandi organizzazioni.

Cyber Resilience Act e intelligenza artificiale: due pressioni in più

Il 63% degli intervistati dichiara di aver aumentato gli investimenti nella gestione delle dipendenze open source per effetto delle nuove norme. Il Cyber Resilience Act, il regolamento europeo sulla sicurezza dei prodotti con componenti digitali, impone dall'11 settembre 2026 la segnalazione delle vulnerabilità sfruttate attivamente e degli incidenti gravi, mentre gli obblighi completi scatteranno a dicembre 2027: chi vende un prodotto che incorpora software open source ne risponde come fabbricante e deve sapere quali componenti contiene e come li aggiorna. Il rapporto segnala inoltre che solo il 27% delle organizzazioni valuta in modo sistematico lo stato di salute di un progetto (attività, numero di manutentori, frequenza delle correzioni) prima di adottarlo. Sul fronte dell'intelligenza artificiale, il 94% usa o sperimenta assistenti di programmazione e il 76% sostiene che aiutino a sfruttare meglio il software open source già in uso; nella prefazione Greg Kroah-Hartman, tra i principali manutentori del kernel Linux, avverte però che quasi metà delle modifiche generate dai modelli linguistici esaminate in una sperimentazione si è rivelata errata.

Il commento di PINET

Per una PMI italiana il messaggio pratico non è aprire un ufficio dedicato all'open source, che resta una struttura da grande azienda, ma dotarsi di poche regole scritte: un inventario aggiornato dei componenti e delle licenze in uso, un criterio minimo per scegliere progetti attivi e con più di un manutentore, una clausola nei contratti con i fornitori che imponga di restare sulle versioni ufficiali o di restituire le modifiche al progetto. Anche queste regole hanno un costo reale: qualche giornata di consulenza per impostare l'inventario, strumenti per generare l'elenco dei componenti (SBOM) e il tempo di chi li tiene aggiornati, oltre alla formazione del personale. La scelta di software open source per ragioni di sovranità, come mostrano casi recenti quali la migrazione di Monaco di Baviera da VMware a Proxmox, dà i risultati attesi solo se accompagnata da questa disciplina; e i cambi di licenza come quello di ThingsBoard ricordano che sapere esattamente cosa si usa, e con quale licenza, è la prima difesa. Il rapporto completo è pubblicato in licenza Creative Commons BY-ND 4.0 e i dati grezzi sono disponibili su Zenodo.

Fonte: Linux Foundation, comunicato del 7 ottobre 2026; rapporto 2026 State of Open Source in Europe; resoconto del summit su The Register.

Scheda