Die Debian-Entwickler haben eine Erklärung veröffentlicht, die sich auf den Cyber Resilience Act bezieht.

Die Ergebnisse der allgemeinen Abstimmung (GR, allgemeine Resolution) der Entwickler des Debian-Projekts, die an der Paketsupport und der Instandhaltung der Infrastruktur beteiligt sind, wurden veröffentlicht. In diesem wurde der Text einer Erklärung genehmigt, die die Position des Projekts zum im Europäischen Union vorgeschlagenen Gesetzesentwurf zum Cyber Resilience Act (CRA) ausdrückt. Der Gesetzesentwurf führt zusätzliche Anforderungen an Softwarehersteller ein, die auf die Förderung der Sicherheit, die Offenlegung von Vorfällen und die schnelle Behebung von Sicherheitsanfälligkeiten während des gesamten Produktlebenszyklus abzielen.

Im Falle eines Verstoßes wird eine Geldstrafe von bis zu 15 Millionen Euro oder 2,5 % des Jahresumsatzes des Unternehmens eingeführt. Nach der Verabschiedung des Gesetzes sind die Hersteller verpflichtet, Mittel zur Verfügung zu stellen, um Sicherheitsanfälligkeiten zu beheben, die mit Sicherheitsrisiken verbundenen Bewertungen vor der Markteinführung des Produkts durchzuführen, Produkttests (bei kritischen Systemen wird eine externe Prüfung vorgeschrieben) durchzuführen und Sicherheitsanfälligkeiten während des gesamten Lebenszyklus zu beheben sowie Informationen über Sicherheitsvorfälle innerhalb von 24 Stunden nach Entdeckung des Problems weiterzugeben.

Trotz der sich abzeichnenden Tendenzen, dass der Gesetzesentwurf nur Hersteller kommerzieller Software betreffen wird, ist die Gemeinschaft besorgt über die negativen Auswirkungen auf das Ökosystem der Entwicklung von Open-Source-Software und betrachtet den Gesetzesentwurf als einen Faktor, der die Förderung von offenen Projekten behindert und die Entwicklung von Open-Source-Software als internationale Bewegung hemmt. Unternehmen, die Produkte auf der Grundlage internationaler Open-Source-Projekte entwickeln oder offene Bibliotheken nutzen, müssen für Sicherheitsprobleme und unsachgemäße Behebung von Sicherheitsanfälligkeiten im Code verantwortlich gemacht werden, selbst wenn dieser Code von Enthusiasten aus anderen Ländern stammt. Es wird angenommen, dass das Auftreten zusätzlicher Risiken für Unternehmen die Attraktivität der Erstellung von Software auf der Basis von Open-Source-Code verringern wird.

Gleichzeitig können die rechtlichen Konsequenzen auch unabhängige Projekte betreffen, die Code von Herstellern kommerzieller Produkte enthalten. Beispielsweise entsteht Ungewissheit hinsichtlich der Haftung in Fällen, in denen der von einem kommerziellen Unternehmen entwickelte Open-Source-Code an externe, gemeinnützige Projekte weitergegeben werden kann und in Linux-Distributionen verwendet wird.

Der Gesetzesentwurf führt eine rechtliche Verantwortung für die Nichteinhaltung von Sicherheitsanforderungen ein, was im Widerspruch zu den sozialen Verpflichtungen von Debian steht, Software für beliebige Zwecke und ohne Einschränkungen zu verbreiten. Debian verfolgt nicht die Zugehörigkeit von Code zu kommerziellen Projekten, die Beschäftigung von Entwicklern und die Finanzierungsquellen der im Distribution enthaltenen Entwicklungen, weshalb die Verhängung der im Gesetzesentwurf genannten Anforderungen die rechtlichen Risiken bei der Verwendung der Distribution erhöht.

Es besteht die Gefahr, dass Upstream-Projekte aufhören, ihren Code zur Verfügung zu stellen, aus Angst, unter das CRA zu fallen und mit damit verbundenen Geldstrafen konfrontiert zu werden. Das CRA könnte auch die Prozesse zur Übertragung von Open-Source-Code an die Gemeinschaft komplizieren – um den Code einem Entwickler zu öffnen, müsste man die potenziellen rechtlichen Konsequenzen bewerten. Darüber hinaus verringert der Gesetzesentwurf die Attraktivität des offenen Entwicklungsprozesses, da die Arbeit sichtbar und transparent für alle ist, der Code im Entwicklungsprozess verwendet werden kann, was ermöglicht, die Anforderungen des CRA während der Arbeit am Produkt anzuwenden, während proprietäre Software hinter verschlossenen Türen entwickelt wird und nach der endgültigen Veröffentlichung dem Gesetz unterliegt.

Die Entwickler von Debian fordern, den offenen Entwicklungsprozess vollständig aus dem Anwendungsbereich des CRA herauszunehmen und das Gesetz nur auf endgültige Produkte anzuwenden. Außerdem wird vorgeschlagen, die Anforderungen des CRA nicht auf Produkte von Einzelunternehmern und kleinen Unternehmen anzuwenden, da diese nicht in der Lage sind, alle Anforderungen des CRA zu erfüllen, und gezwungen sind, ihr Geschäft einzustellen.

Im Antrag wird auch die fragwürdige Natur der Anforderungen zur Übermittlung von Informationen über Sicherheitsprobleme innerhalb von 24 Stunden nach Feststellung des Problems oder Erhalt von Informationen über eine Schwachstelle an die Europäische Agentur für Netz- und Informationssicherheit (ENISA) erwähnt. Das Ansammeln von Informationen zu allen noch nicht behobenen Schwachstellen an einem Ort kann im Falle eines Informationslecks, der Weitergabe an Geheimdienste oder einer Kompromittierung von ENISA zu erheblichen Problemen für alle Benutzer führen.

Quelle: opennet.ru