Resultaterne af den generelle afstemning (GR, general resolution) blandt Debian-projektudviklerne, der deltager i vedligeholdelsen af pakker og infrastrukturen, er offentliggjort. Teksten til erklæringen, der udtrykker projektets holdning til den i EU foreslåede lovgivning om Cyber Resilience Act (CRA), blev godkendt. Lovforslaget indfører yderligere krav til softwareproducenter, der har til formål at fremme opretholdelse af sikkerhed, offentliggørelse af hændelser og hurtig udbedring af sårbarheder i hele produktets livscyklus.
Ved overtrædelse af kravene planlægges der bøder, der kan nå op på 15 millioner euro eller 2,5% af virksomhedens årlige omsætning. Efter lovforslagets vedtagelse vil producenterne være forpligtet til at sikre midler til udbredelse af rettelser til sårbarheder, gennemføre vurderinger af sikkerhedsrelaterede risici, før produkter bringes på markedet, udføre sikkerhedstest af produkter (for kritisk vigtige systemer indføres obligatorisk ekstern revision), udbedre sårbarheder i hele livscyklussen og rapportere om sikkerhedshændelser inden for 24 timer efter opdagelsen af problemet.
Selvom det ser ud til, at lovgivningen kun vil påvirke producenter af kommerciel software, er fællesskabet bekymret for dens negative indvirkning på økosystemet for åben kildekodeudvikling og betragter lovgivningen som en hindring for fremdrift af åbne projekter og hæmmer udviklingen af open source som en international bevægelse. Virksomheder, der udvikler produkter baseret på internationale åbne projekter eller bruger åbne biblioteker, vil blive holdt ansvarlige for sikkerhedsproblemer og utilstrækkelig udbedring af sårbarheder i koden, selvom denne kode er skrevet af entusiaster fra andre lande. Det forventes, at fremkomsten af yderligere risici for virksomhederne vil mindske tiltrækningskraften ved at udvikle software baseret på åben kilde.
Samtidig kan de juridiske konsekvenser også påvirke uafhængige projekter, der inkluderer kode fra producenter af kommercielle produkter. For eksempel opstår der usikkerhed vedrørende ansvar i tilfælde, hvor åben kode udviklet af en kommerciel virksomhed overdrages til uafhængige non-profit projekter og anvendes i distributioner af Linux.
Loven indfører juridisk ansvar for at overholde sikkerhedskrav, hvilket strider imod Debian's sociale forpligtelser til at distribuere software til enhver formål uden begrænsninger. Debian sporer ikke forbindelserne mellem kode og kommercielle projekter, ansættelsen af udviklere og finansieringskilderne bag udviklingerne, der leveres i distributionen, så pålæggelsen af kravene i lovforslaget øger de juridiske risici ved brug af distributionen.
Der er en risiko for, at upstream-projekter vil stoppe med at levere deres kode af frygt for at falde ind under CRA's anvendelse og de tilhørende sanktioner. CRA kan også medføre, at processerne for overførsel af åben kode til fællesskabet bliver mere komplicerede — for at åbne koden skal udvikleren vurdere de mulige juridiske konsekvenser. Endvidere reducerer lovforslaget attraktiviteten ved den åbne udviklingsproces, da arbejdet foregår i det åbne og er gennemsigtigt for alle, og koden kan anvendes under udviklingen, hvilket gør det muligt at påføre kravene i CRA under arbejdet på produktet, mens proprietær software udvikles bag lukkede døre og falder ind under loven efter den endelige frigivelse.
Debian-udviklere opfordrer til fuldstændigt at undtage den åbne udviklingsproces fra CRA's anvendelse og kun anvende loven på de endelige produkter. Det foreslås også ikke at anvende kravene i CRA på produkter fra enkeltpersoner og små virksomheder, da de ikke vil være i stand til at opfylde alle de krav, der stilles af CRA, og vil være tvunget til at nedlægge deres virksomhed.
Erklæringen nævner også den tvivlsomme karakter af kravet om at overføre oplysninger om sikkerhedsproblemer til Det Europæiske Agentur for Net- og Informationssikkerhed (ENISA) inden for 24 timer efter opdagelsen af et problem eller modtagelsen af oplysninger om en sårbarhed. At samle oplysninger om alle uoverkomne sårbarheder ét sted kan føre til store problemer for alle brugere i tilfælde af informationslækager, overførsel af oplysninger til efterretningstjenester eller kompromittering af ENISA.
Kilde: opennet.ru
