Die Organisation Linux Foundation hat eine Analyse der Anwendbarkeit von durch Sanktionen auferlegten Beschränkungen auf Open Source veröffentlicht, die auftretenden Risiken zusammengefasst und Empfehlungen für die Begleitung von Open-Source-Projekten gegeben, die mit der Teilnahme von Personen zu tun haben, die unter Sanktionen stehen.
Die Linux Foundation setzt sich weiterhin für internationale Zusammenarbeit und ein offenes Ökosystem für alle Interessierten ein, unabhängig von Nationalität, Wohnsitz, politischem System, kulturellen Werten und Ideologie. In diesem Zusammenhang handelt die Organisation im rechtlichen Rahmen der USA und ist verpflichtet, die Gesetze und Vorschriften einzuhalten, in denen die Vorstellung von Neutralität und Gleichberechtigung im Bereich der Open Source von der Interpretation vieler Menschen abweichen kann.
Unklarheit besteht hinsichtlich der von der US-amerikanischen Behörde für Auslandsvermögen (OFAC) auferlegten Sanktionen. Die OFAC-Sanktionen gelten für Bürger, Organisationen oder Unternehmen, die auf die spezielle Sanktionsliste (SDN, Specially Designated Nationals and Blocked Persons) gesetzt wurden, sowie für damit verbundene Personen (zum Beispiel Unternehmen, die zu 50 % oder mehr direkt oder indirekt einer Person auf der Sanktionsliste gehören).
Es wird festgestellt, dass in den letzten Jahren bei der Entwicklung der erlassenen restriktiven Gesetze, wie dem Cyber Resilience Act, Interessengruppen, die die Interessen von Open Source vertreten, erfolgreich Ausnahmen vorgeschlagen haben, um die Anwendung dieser Gesetze auf Open-Source-Projekte zu mildern. Der rechtliche Rahmen für OFAC-Sanktionen wurde vor langer Zeit entwickelt, berücksichtigte nicht die Besonderheiten der internationalen Zusammenarbeit im Bereich Open Source und stellte bis vor Kurzem kein Problem für Open Source-Entwickler dar, da die OFAC-Sanktionen nur in seltenen Ausnahmefällen angewendet wurden.
Offizielle Erläuterungen zur Anwendung der OFAC-Sanktionen auf Open-Source-Projekte wurden nicht veröffentlicht, weshalb Juristen die Anforderungen unter Berücksichtigung früherer Sanktionen in ähnlichen Kontexten auslegen müssen und vorsichtig agieren, um den globalen Charakter der Entwicklung zu bewahren und gleichzeitig die Risiken wie hohe Geldstrafen und strafrechtliche Verfolgung zu vermeiden. Neben den OFAC-Sanktionen unterliegen in den USA auch Exportbeschränkungen, die vom US-Handelsministerium gemäß den Exportkontrollgesetzen verhängt werden. Diese Beschränkungen gelten nicht für öffentlich zugängliche Entwicklungen und stellen daher für Open-Source-Projekte kein Problem dar.
Die OFAC-Sanktionen gelten nicht nur für US-Unternehmen und US-Bürger, sondern auch für ausländische Unternehmen, die Handelsbeziehungen zu US-Unternehmen haben oder Finanztransaktionen in US-Dollar durchführen. Für Personen, die auf die OFAC-Sanktionsliste gesetzt werden, gelten solche Einschränkungen wie ein Verbot von Investitionen und finanziellen Transaktionen (einschließlich der Bezahlung von Dienstleistungen); ein Verbot des Imports und Exports von Waren, Technologien und Dienstleistungen; sowie ein Verbot von Eigentumsdeals (einschließlich geistigen Eigentums).
Unternehmen und Organisationen, die internationale Open-Source-Projekte entwickeln und unter die Jurisdiktion der USA fallen oder mit US-Unternehmen interagieren, wurden folgende Empfehlungen gegeben:
- Die OFAC-Sanktionen sehen eine Ausnahme vor, die bei der Verbreitung von Informationsmaterialien gilt. Quellcode wird in der Regel von der OFAC als Informationsmaterial betrachtet, was die einseitige Bereitstellung von Quellcode zulässt.
- Es ist erlaubt, Änderungen von Personen, die mit sanktionierten Unternehmen verbunden sind, anzunehmen, sofern diese Änderungen auf Initiative des Absenders (nicht angefordert) entstanden sind und gemeinsame Projektprobleme ansprechen, ohne den Produkten oder Dienstleistungen des sanktionierten Unternehmens zugutekommen. Beispielsweise könnte die Aufnahme eines Treibers für Hardware, die von einem sanktionierten Unternehmen hergestellt wird, als Verstoß gegen die Sanktionen angesehen werden, während die Annahme eines Patches zur Behebung einer Sicherheitsanfälligkeit die Sanktionen nicht verletzt.
- Im Falle der Annahme von Änderungen von einem sanktionierten Unternehmen wird ein einseitiger Kontakt empfohlen, d.h. alle weiteren Anpassungen des akzeptierten Patches sollten eigenständig erfolgen, ohne die sanktionierte Firma einzubeziehen. Die Einbeziehung des sanktionierten Unternehmens in die Nachbearbeitung, Abstimmung oder Diskussion könnte als Erbringung von Dienstleistungen angesehen werden, die durch Sanktionen verboten sind.
- Es wird nicht empfohlen, Vereinbarungen über die Übertragung von Vermögenswerten (CLA) mit Entwicklern, die mit sanktionierten Unternehmen verbunden sind, zu unterzeichnen, da eine solche Vereinbarung als Verletzung des Verbots von Vereinbarungen im Bereich des geistigen Eigentums angesehen werden könnte.
- Es ist erforderlich, nicht nur die direkte Verbindung von Entwicklern zu sanktionierten Unternehmen zu überprüfen, sondern auch ihre indirekten Beziehungen. Zum Beispiel die Tätigkeit in anderen Unternehmen, die zu 50 % oder mehr sanktionierten Personen gehören, oder die Ausführung von Aufträgen für sanktionierte Unternehmen.
Quelle: opennet.ru
