Die Ergebnisse der allgemeinen Umfrage (GR, allgemeine Resolution) der Entwickler des Debian-Projekts wurden veröffentlicht. In dieser Umfrage, die sich mit der Unterstützung von Paketen und der Infrastruktur befasst, wurde der Text einer Stellungnahme genehmigt, in der die Position des Projekts zum im Europäischen Parlament vorgelegten Gesetzesentwurf zum Cyber Resilience Act (CRA) erläutert wird. Der Gesetzesentwurf führt zusätzliche Anforderungen für Softwarehersteller ein, die darauf abzielen, die Sicherheit zu fördern, Informationen über Vorfälle offenzulegen und Schwachstellen während des gesamten Produktlebenszyklus zu beheben.
Im Falle von Verstößen sind Strafen von bis zu 15 Millionen Euro oder 2,5 % des Jahresumsatzes des Unternehmens vorgesehen. Nach Annahme des Gesetzesentwurfs sind die Hersteller verpflichtet, Mittel für die Bereitstellung von Sicherheitsupdates bereitzustellen, Sicherheitsrisiken vor der Markteinführung des Produkts zu bewerten, Produkttests durchzuführen (für kritische Systeme ist eine externe Prüfung vorgeschrieben), Schwachstellen während des gesamten Lebenszyklus zu beheben und innerhalb von 24 Stunden nach Entdeckung eines Problems Informationen über Sicherheitsvorfälle weiterzugeben.
Obwohl Anzeichen darauf hindeuten, dass der Gesetzesentwurf nur kommerzielle Softwarehersteller betreffen wird, ist die Gemeinschaft besorgt über seine negativen Auswirkungen auf das Ökosystem der Open-Source-Entwicklung und betrachtet den Entwurf als einen Faktor, der die Förderung offener Projekte hemmt und die Entwicklung von Open-Source-Software als internationaler Bewegung behindert. Unternehmen, die Produkte auf der Grundlage internationaler Open-Source-Projekte entwickeln oder öffentliche Bibliotheken nutzen, müssen für Sicherheitsprobleme und unzureichende Behebung von Schwachstellen im Code verantwortlich gemacht werden, selbst wenn dieser Code von Enthusiasten aus anderen Ländern geschrieben wurde. Es wird erwartet, dass zusätzliche Geschäftsrisko die Attraktivität der Entwicklung von Software auf Basis von Open-Source-Code verringern.
Gleichzeitig könnten die rechtlichen Konsequenzen auch unabhängige Projekte betreffen, die Code von kommerziellen Produkten umfassen. Zum Beispiel entsteht Unklarheit hinsichtlich der Haftung in Fällen, in denen von einem kommerziellen Unternehmen entwickelter Open-Code in nicht-kommerzielle Projekte übertragen und in Linux-Distributionen verwendet werden könnte.
Der Gesetzesentwurf führt eine rechtliche Verantwortung für die Nichteinhaltung von Sicherheitsanforderungen ein, was im Widerspruch zu den sozialen Verpflichtungen von Debian steht, Software zu verbreiten, die für beliebige Zwecke und ohne Einschränkungen genutzt werden kann. Debian verfolgt keine Verbindungen zwischen dem Code und kommerziellen Projekten, den Arbeitsverhältnissen der Entwickler oder den Finanzierungsquellen der in der Distribution gelieferten Entwicklungen, sodass die Einführung der im Gesetzesentwurf angegebenen Anforderungen das rechtliche Risiko bei der Nutzung der Distribution erhöht.
Es besteht die Gefahr, dass upstream-Projekte ihre Software aufgrund der Befürchtungen, unter das CRA zu fallen und mit den damit verbundenen Strafen konfrontiert zu werden, nicht mehr bereitstellen. Das CRA könnte auch die Prozesse zur Bereitstellung von Open-Code an die Gemeinschaft komplizieren — um den Code einem Entwickler zugänglich zu machen, muss eine mögliche rechtliche Konsequenz bewertet werden. Zudem verringert der Gesetzesentwurf die Attraktivität des offenen Entwicklungsprozesses, da die Arbeit transparent und für alle sichtbar erfolgt und der Code während der Entwicklung verwendet werden kann, was zur Anwendung der Anforderungen des CRA während der Produktentwicklung führt, während proprietäre Software hinter verschlossenen Türen entwickelt wird und erst nach der endgültigen Veröffentlichung dem Gesetz unterliegt.
Die Debian-Entwickler fordern, den offenen Entwicklungsprozess vollständig aus dem Geltungsbereich des CRA auszuschließen und das Gesetz nur auf endgültige Produkte anzuwenden. Außerdem wird vorgeschlagen, die Anforderungen des CRA nicht auf Produkte von Einzelunternehmern und kleinen Unternehmen anzuwenden, da diese nicht in der Lage sind, alle vom CRA geforderten Anforderungen zu erfüllen, was sie dazu zwingen würde, ihr Geschäft einzustellen.
In der Stellungnahme wird auch auf die fragwürdige Natur der Anforderung hingewiesen, Informationen über Sicherheitsprobleme innerhalb von 24 Stunden nach der Entdeckung oder dem Erhalt von Informationen über Schwachstellen an die Europäische Agentur für Cybersicherheit (ENISA) weiterzugeben. Die Ansammlung von Informationen über alle noch unbehobenen Schwachstellen an einem Ort könnte zu erheblichen Problemen für alle Benutzer führen, insbesondere im Falle eines Datenlecks, der Weitergabe von Informationen an Geheimdienste oder der Kompromittierung von ENISA.
Quelle: opennet.ru
