Resultaterne af den generelle afstemning (GR, general resolution) blandt Debian-projektudviklerne, der deltager i vedligeholdelsen af pakker og infrastrukturen, er offentliggjort. Teksten til erkl\u00e6ringen, der udtrykker projektets holdning til den i EU foresl\u00e5ede lovgivning om Cyber Resilience Act (CRA), blev godkendt. Lovforslaget indf\u00f8rer yderligere krav til softwareproducenter, der har til form\u00e5l at fremme opretholdelse af sikkerhed, offentligg\u00f8relse af h\u00e6ndelser og hurtig udbedring af s\u00e5rbarheder i hele produktets livscyklus. <\/p>\n
Ved overtr\u00e6delse af kravene planl\u00e6gges der b\u00f8der, der kan n\u00e5 op p\u00e5 15 millioner euro eller 2,5% af virksomhedens \u00e5rlige oms\u00e6tning. Efter lovforslagets vedtagelse vil producenterne v\u00e6re forpligtet til at sikre midler til udbredelse af rettelser til s\u00e5rbarheder, gennemf\u00f8re vurderinger af sikkerhedsrelaterede risici, f\u00f8r produkter bringes p\u00e5 markedet, udf\u00f8re sikkerhedstest af produkter (for kritisk vigtige systemer indf\u00f8res obligatorisk ekstern revision), udbedre s\u00e5rbarheder i hele livscyklussen og rapportere om sikkerhedsh\u00e6ndelser inden for 24 timer efter opdagelsen af problemet. <\/p>\n
Selvom det ser ud til, at lovgivningen kun vil p\u00e5virke producenter af kommerciel software, er f\u00e6llesskabet bekymret for dens negative indvirkning p\u00e5 \u00f8kosystemet for \u00e5ben kildekodeudvikling og betragter lovgivningen som en hindring for fremdrift af \u00e5bne projekter og h\u00e6mmer udviklingen af open source som en international bev\u00e6gelse. Virksomheder, der udvikler produkter baseret p\u00e5 internationale \u00e5bne projekter eller bruger \u00e5bne biblioteker, vil blive holdt ansvarlige for sikkerhedsproblemer og utilstr\u00e6kkelig udbedring af s\u00e5rbarheder i koden, selvom denne kode er skrevet af entusiaster fra andre lande. Det forventes, at fremkomsten af yderligere risici for virksomhederne vil mindske tiltr\u00e6kningskraften ved at udvikle software baseret p\u00e5 \u00e5ben kilde. <\/p>\n
Samtidig kan de juridiske konsekvenser ogs\u00e5 p\u00e5virke uafh\u00e6ngige projekter, der inkluderer kode fra producenter af kommercielle produkter. For eksempel opst\u00e5r der usikkerhed vedr\u00f8rende ansvar i tilf\u00e6lde, hvor \u00e5ben kode udviklet af en kommerciel virksomhed overdrages til uafh\u00e6ngige non-profit projekter og anvendes i distributioner af Linux. <\/p>\n
Loven indf\u00f8rer juridisk ansvar for at overholde sikkerhedskrav, hvilket strider imod Debian's sociale forpligtelser til at distribuere software til enhver form\u00e5l uden begr\u00e6nsninger. Debian sporer ikke forbindelserne mellem kode og kommercielle projekter, ans\u00e6ttelsen af udviklere og finansieringskilderne bag udviklingerne, der leveres i distributionen, s\u00e5 p\u00e5l\u00e6ggelsen af kravene i lovforslaget \u00f8ger de juridiske risici ved brug af distributionen. <\/p>\n
Der er en risiko for, at upstream-projekter vil stoppe med at udlevere deres kode p\u00e5 grund af frygt for at falde ind under CRA og anvendelse af relaterede sanktioner. CRA kan ogs\u00e5 f\u00f8re til en komplicering af processen med at overdrage open source-kode til samfundet \u2014 for at \u00e5bne koden skal udvikleren vurdere de mulige juridiske konsekvenser. Desuden mindsker lovforslaget attraktiviteten af den \u00e5bne udviklingsproces, da arbejdet foreg\u00e5r i offentlighedens lys og er gennemsigtigt for alle, og koden kan anvendes under udviklingen, hvilket g\u00f8r, at kravene fra CRA kan anvendes under produktets udvikling, mens proprietary software udvikles bag lukkede d\u00f8re og er omfattet af loven efter den endelige udgivelse. <\/p>\n
Debian-udviklere opfordrer til fuldst\u00e6ndigt at undtage den \u00e5bne udviklingsproces fra CRA's anvendelse og kun anvende loven p\u00e5 de endelige produkter. Det foresl\u00e5s ogs\u00e5 ikke at anvende kravene i CRA p\u00e5 produkter fra enkeltpersoner og sm\u00e5 virksomheder, da de ikke vil v\u00e6re i stand til at opfylde alle de krav, der stilles af CRA, og vil v\u00e6re tvunget til at nedl\u00e6gge deres virksomhed. <\/p>\n