Die Linux Foundation hat eine Analyse der Anwendbarkeit von durch Sanktionen auferlegten Beschränkungen auf Open Source veröffentlicht, die die entstehenden Risiken zusammenfasst und Empfehlungen für die Begleitpersonen von Open-Source-Projekten gibt, die mit der Beteiligung von Personen unter Sanktionen verbunden sind.
Die Linux Foundation setzt sich weiterhin für internationale Zusammenarbeit und ein offenes Ökosystem für alle Interessierten ein, unabhängig von Nationalität, Wohnsitz, politischem System, kulturellen Werten und Ideologie. Dabei agiert die Organisation im rechtlichen Rahmen der USA und ist verpflichtet, die Gesetze und Vorschriften einzuhalten, wobei das Verständnis von Neutralität und Gleichheit im Open Source-Bereich von der Interpretation vieler Menschen abweichen kann.
Ungewissheit besteht bezüglich der von der U.S. Office of Foreign Assets Control (OFAC) verhängten Sanktionen. Die OFAC-Sanktionen gelten für Bürger, Organisationen oder Unternehmen, die auf eine spezielle Sanktionsliste (SDN, Specially Designated Nationals and Blocked Persons) gesetzt wurden, sowie für mit ihnen verbundene Personen (z. B. Unternehmen, deren 50 Prozent oder mehr direkt oder indirekt einer Person auf der Sanktionsliste gehören).
Es wird angemerkt, dass während der Entwicklung der in den letzten Jahren verabschiedeten restriktiven Gesetze, wie dem Cyber Resilience Act, Interessengruppen, die sich für die Belange von Open Source Software einsetzen, erfolgreiche Ausnahmen gefordert haben, die die Anwendung dieser Gesetze auf offene Projekte abschwächen. Die gesetzliche Grundlage für die OFAC-Sanktionen wurde schon vor langer Zeit geschaffen, berücksichtigte jedoch nicht die Besonderheiten der gemeinschaftlichen internationalen Entwicklung von Open Source Software und stellte bis vor kurzem kein Problem für Open Source-Entwickler dar, da die OFAC-Sanktionen nur in seltenen Ausnahmefällen zur Anwendung kamen.
Offizielle Klarstellungen zu den Anforderungen der OFAC-Sanktionen für Open-Source-Projekte wurden nicht veröffentlicht. Daher müssen Juristen die Anforderungen unter Berücksichtigung der bisherigen Anwendung von Sanktionen in ähnlichen Kontexten auslegen und vorsichtig handeln, indem sie das Bestreben, die globale Natur der Entwicklung zu bewahren, mit den damit verbundenen Risiken, wie hohen Geldstrafen und strafrechtlicher Verfolgung, ausbalancieren. Neben den OFAC-Sanktionen gelten in den USA auch Exportbeschränkungen, die vom Handelsministerium der USA gemäß dem Exportkontrollgesetz eingeführt werden. Diese Beschränkungen finden keine Anwendung auf öffentliche Entwicklungen und stellen daher kein Problem für Open-Source-Projekte dar.
Die OFAC-Sanktionen gelten nicht nur für Unternehmen aus den USA und US-Bürger, sondern auch für ausländische Unternehmen, die Handelsbeziehungen zu US-Unternehmen pflegen oder finanzielle Transaktionen in US-Dollar durchführen. Für Personen, die auf die OFAC-Sanktionsliste gesetzt werden, gelten Einschränkungen wie das Verbot von Investitionen und finanziellen Transaktionen (einschließlich der Bezahlung von Dienstleistungen); das Verbot des Imports und Exports von Waren, Technologien und Dienstleistungen; sowie das Verbot von Immobilientransaktionen (einschließlich solcher, die mit geistigem Eigentum verbunden sind).
Unternehmen und Organisationen, die internationale Open-Source-Projekte entwickeln und unter die Jurisdiktion der USA fallen oder mit US-Unternehmen interagieren, wird Folgendes empfohlen:
- Die OFAC-Sanktionen sehen eine Ausnahme für die Verbreitung von Informationsmaterialien vor. Quellcode wird in der Regel von der OFAC als Informationsmaterial betrachtet, was die einseitige Bereitstellung von Quellcode erlaubt.
- Es ist gestattet, Änderungen von Personen, die mit sanktionierten Unternehmen verbunden sind, anzunehmen, wenn solche Änderungen auf Initiative des Absenders erfolgen (nicht angefordert) und allgemeine Projektprobleme lösen, anstatt den Produkten oder Dienstleistungen des sanktionierten Unternehmens zugutekommen. Zum Beispiel könnte die Annahme eines Treibers für Linux-Kernel von einem sanktionierten Unternehmen als Verstoß gegen die Sanktionen angesehen werden, während die Annahme eines Patches zur Behebung einer Sicherheitsanfälligkeit keine Sanktionen verletzt.
- Im Falle der Annahme von Korrekturen von einem sanktionierten Unternehmen wird eine einseitige Kommunikation empfohlen, d.h. alle weiteren Anpassungen des angenommenen Patches sollten eigenständig, ohne Beteiligung des sanktionierten Unternehmens, durchgeführt werden. Die Einbeziehung des sanktionierten Unternehmens in die Überarbeitung, Abstimmung oder Diskussion könnte als Erbringung verbotener Dienstleistungen interpretiert werden.
- Es wird nicht empfohlen, Vereinbarungen zur Übertragung von Eigentumsrechten (CLA) mit Entwicklern, die mit sanktionierten Unternehmen verbunden sind, zu unterzeichnen, da eine solche Vereinbarung als Verstoß gegen das Verbot von Vereinbarungen im Bereich des geistigen Eigentums angesehen werden kann.
- Es ist notwendig, nicht nur die direkte Verbindung von Entwicklern zu sanktionierten Unternehmen zu überprüfen, sondern auch deren indirekte Beziehungen. Zum Beispiel die Zusammenarbeit mit anderen Firmen, die zu 50 % oder mehr im Besitz von sanktionierten Personen sind, oder die Ausführung von Aufträgen für sanktionierte Unternehmen.
Quelle: opennet.ru
