Byly zveřejněny výsledky obecného hlasování (GR, general resolution) vývojářů projektu Debian, kteří se podílejí na údržbě balíčků a správě infrastruktury, a byl schválen text prohlášení vyjadřující postoj projektu k navrhovanému zákonu Cyber Resilience Act (CRA), který je prosazován v Evropské unii. Tento návrh zákona zavádí další požadavky na výrobce software, které mají za cíl podpořit udržování bezpečnosti, odhalování incidentů a rychlé odstranění zranitelností během celého životního cyklu produktu.
V případě porušení požadavků se plánují pokuty, které mohou dosáhnout až 15 milionů eur nebo 2,5 % ročního obratu společnosti. Po přijetí zákona budou výrobci povinni poskytovat prostředky na dodání oprav zranitelností, provádět hodnocení s bezpečností souvisejících rizik před uvedením produktu na trh, testovat bezpečnost produktu (pro kritické systémy se zavádí povinný externí audit), odstraňovat zranitelnosti po celou dobu životního cyklu a předávat informace o bezpečnostních incidentech do 24 hodin od zjištění problému.
I když soudě podle nastupujících trendů bude tento návrh zákona zasahovat pouze výrobce komerčního software, je společnost znepokojena jeho negativním dopadem na ekosystém vývoje otevřeného software a považuje ho za faktor, který brání rozvoji otevřených projektů a omezuje pokrok OSS jako mezinárodního hnutí. Firmy vyvíjející produkty na základě mezinárodních otevřených projektů nebo využívající otevřené knihovny budou muset nést odpovědnost za bezpečnostní problémy a nesprávné opravování zranitelností v kódu, i když byl tento kód napsán nadšenci z jiných zemí. Očekává se, že vznik dalších rizik pro podnikání sníží atraktivitu vývoje software založeného na otevřeném kódu.
Zároveň mohou právní důsledky zasáhnout i nezávislé projekty zahrnující kód od výrobců komerčních produktů. Například vzniká nejistota ohledně odpovědnosti v případech, kdy může být otevřený kód vyvinutý komerční společností předán třetím stranám v nekomerčních projektech a používán v distribucích Linuxu.
Návrh zákona zavádí právní odpovědnost za nedodržování bezpečnostních požadavků, což je v rozporu se sociálními závazky Debiana, šířit software pro jakékoli účely a bez omezení. Debian nesleduje zapojení kódu do komerčních projektů, zaměstnání vývojářů a zdroje financování vývoje dodávaného v distribuci, a proto vnucení požadavků uvedených v návrhu zákona zvyšuje právní rizika při používání distribuce.
Existuje nebezpečí, že upstream projekty přestanou poskytovat svůj kód ze strachu z možného působení CRA a souvisejících sankcí. CRA může také způsobit komplikace v procesech předávání otevřeného kódu komunitě — pro otevření kódu se vývojář bude muset zabývat možnými právními důsledky. Kromě toho návrh zákona snižuje atraktivitu otevřeného procesu vývoje, jelikož práce probíhá na očích a je transparentní pro všechny, a kód může být použit v procesním vývoji, což umožňuje aplikaci požadavků CRA během vývoje produktu, zatímco proprietární software je vyvíjen za zavřenými dveřmi a podléhá zákonu po konečném vydání.
Vývojáři Debiana vyzývají k tomu, aby byl otevřený proces vývoje zcela vyňat z oblasti působnosti CRA a aby se zákon vztahoval pouze na konečné produkty. Také se navrhuje, aby se požadavky CRA neuplatňovaly na produkty individuálních podnikatelů a malých podniků, protože nemohou splnit všechny požadavky stanovené CRA a budou nuceni své podnikání ukončit.
Ve vyjádření je také zmíněná pochybnost ohledně požadavku na předávání informací o bezpečnostních problémech do Evropské agentury pro kybernetickou bezpečnost (ENISA) do 24 hodin po zjištění problému nebo obdržení informací o zranitelnosti. Shromažďování informací o všech dosud neopravených zranitelnostech na jednom místě může vést k vážným problémům pro všechny uživatele v případě úniku informací, předání údajů tajným službám nebo ohrožení ENISA.
Zdroj: opennet.ru
