Обявени са резултатите от общото гласуване (GR, обща резолюция) на разработчиците на проекта Debian, участващи в поддръжката на пакети и инфраструктура, върху текста на декларацията, изразяваща позицията на проекта относно законопроекта за киберустойчивост (CRA), който се предлага в Европейския съюз. Законопроектът въвежда допълнителни изисквания към производителите на софтуер, целящи да насърчат поддържането на сигурността, разкриването на информация за инциденти и бързото отстраняване на уязвимости през целия жизнен цикъл на продукта.
В случай на нарушение на изискванията се предвиждат глоби, които могат да достигнат 15 милиона евро или 2,5% от годишния оборот на компанията. След приемането на законопроекта производителите ще бъдат задължени да предоставят средства за доставка на корекции на уязвимости, да извършват оценка на свързаните с безопасността рискове преди пускането на продукта на пазара, да провеждат тестове за сигурност на продукта (за критично важни системи се въвежда задължителен външен одит), да отстраняват уязвимости през целия жизнен цикъл, и да предават информация за инциденти със сигурността в рамките на 24 часа след откритие на проблема.
Въпреки че, според наслоилите се тенденции, законопроектът ще засегне само производителите на търговски софтуер, общността е загрижена за негативното му влияние върху екосистемата на отворения софтуер и разглежда законопроекта като фактор, който възпрепятства напредъка на отворените проекти и пречи на развитието на свободния софтуер като международно движение. Компании, развиващи продукти на базата на международни отворени проекти или използващи отворени библиотеки, ще трябва да поемат отговорност за проблеми със сигурността и неадекватното отстраняване на уязвимости в кода, дори ако този код е написан от ентусиасти от други държави. Предполага се, че появата на допълнителни рискове за бизнеса ще намали привлекателността на създаването на софтуер на базата на отворен код.
В същото време, юридическите последици могат да засегнат и независими проекти, включващи код от производители на търговски продукти. Например, възниква несигурност относно отговорността в случаите, когато разработен от търговска компания отворен код може да бъде предаден на трети некомерсиални проекти и използван в дистрибуции на Linux.
Законопроектът въвежда юридическа отговорност за неспазване на изискванията за безопасност, което противоречи на социалните задължения на Debian да разпространява софтуер за всякакви цели и без ограничения. Debian не проследява връзките на кода с търговски проекти, наемането на разработчици и източниците на финансиране на разработките, предоставяни в дистрибуцията, така че налагането на изискванията, посочени в законопроекта, увеличава юридическите рискове при използването на дистрибуцията.
Съществува опасност, че upstream-проектите ще спрат да предоставят своя код от страх да не попаднат под действието на CRA и свързаните с него наказателни санкции. CRA също така може да усложни процесите на предаване на отворен код на общността — за да предостави код на разработчик, ще трябва да оцени възможните юридически последици. Освен това, законопроектът намалява привлекателността на отворения процес на разработка, тъй като работата се извършва на видно място и е прозрачна за всички, а кодът може да се използва в процеса на разработка, което позволява прилагането на изискванията на CRA по време на работа над продукта, докато проприетарният софтуер се разработва зад затворени врати и попада под действието на закона след финалното издаване.
Разработчиците на Debian призовават напълно да изключат отворения процес на разработка от обхвата на CRA и да се прилага законът само към окончателните продукти. Също така се предлага да не се прилагат изискванията на CRA към продуктите на индивидуални предприемачи и малки предприятия, тъй като те не могат да изпълнят всички изисквания, поставени от CRA, и ще бъдат принудени да закрият бизнеса си.
В заявлението също се споменава съмнителният характер на изискванията за предоставяне на информация за проблеми със сигурността на Европейската агенция за мрежова и информационна сигурност (ENISA) в срок от 24 часа след установяване на проблема или получаване на информация за уязвимост. Натрупването на информация за всички все още неотстранени уязвимости на едно място може да доведе до сериозни проблеми за всички потребители в случай на изтичане на информация, предаване на данни на специални служби или компрометиране на ENISA.
Източник: opennet.ru
