Die Ergebnisse der allgemeinen Abstimmung (GR, allgemeine Resolution) der Entwickler des Debian-Projekts, die an der Paketsupport und der Instandhaltung der Infrastruktur beteiligt sind, wurden ver\u00f6ffentlicht. In diesem wurde der Text einer Erkl\u00e4rung genehmigt, die die Position des Projekts zum im Europ\u00e4ischen Union vorgeschlagenen Gesetzesentwurf zum Cyber Resilience Act (CRA) ausdr\u00fcckt. Der Gesetzesentwurf f\u00fchrt zus\u00e4tzliche Anforderungen an Softwarehersteller ein, die auf die F\u00f6rderung der Sicherheit, die Offenlegung von Vorf\u00e4llen und die schnelle Behebung von Sicherheitsanf\u00e4lligkeiten w\u00e4hrend des gesamten Produktlebenszyklus abzielen. <\/p>\n
Im Falle eines Versto\u00dfes wird eine Geldstrafe von bis zu 15 Millionen Euro oder 2,5 % des Jahresumsatzes des Unternehmens eingef\u00fchrt. Nach der Verabschiedung des Gesetzes sind die Hersteller verpflichtet, Mittel zur Verf\u00fcgung zu stellen, um Sicherheitsanf\u00e4lligkeiten zu beheben, die mit Sicherheitsrisiken verbundenen Bewertungen vor der Markteinf\u00fchrung des Produkts durchzuf\u00fchren, Produkttests (bei kritischen Systemen wird eine externe Pr\u00fcfung vorgeschrieben) durchzuf\u00fchren und Sicherheitsanf\u00e4lligkeiten w\u00e4hrend des gesamten Lebenszyklus zu beheben sowie Informationen \u00fcber Sicherheitsvorf\u00e4lle innerhalb von 24 Stunden nach Entdeckung des Problems weiterzugeben. <\/p>\n
Trotz der sich abzeichnenden Tendenzen, dass der Gesetzesentwurf nur Hersteller kommerzieller Software betreffen wird, ist die Gemeinschaft besorgt \u00fcber die negativen Auswirkungen auf das \u00d6kosystem der Entwicklung von Open-Source-Software und betrachtet den Gesetzesentwurf als einen Faktor, der die F\u00f6rderung von offenen Projekten behindert und die Entwicklung von Open-Source-Software als internationale Bewegung hemmt. Unternehmen, die Produkte auf der Grundlage internationaler Open-Source-Projekte entwickeln oder offene Bibliotheken nutzen, m\u00fcssen f\u00fcr Sicherheitsprobleme und unsachgem\u00e4\u00dfe Behebung von Sicherheitsanf\u00e4lligkeiten im Code verantwortlich gemacht werden, selbst wenn dieser Code von Enthusiasten aus anderen L\u00e4ndern stammt. Es wird angenommen, dass das Auftreten zus\u00e4tzlicher Risiken f\u00fcr Unternehmen die Attraktivit\u00e4t der Erstellung von Software auf der Basis von Open-Source-Code verringern wird. <\/p>\n
Gleichzeitig k\u00f6nnen die rechtlichen Konsequenzen auch unabh\u00e4ngige Projekte betreffen, die Code von Herstellern kommerzieller Produkte enthalten. Beispielsweise entsteht Ungewissheit hinsichtlich der Haftung in F\u00e4llen, in denen der von einem kommerziellen Unternehmen entwickelte Open-Source-Code an externe, gemeinn\u00fctzige Projekte weitergegeben werden kann und in Linux-Distributionen verwendet wird. <\/p>\n
Der Gesetzesentwurf f\u00fchrt eine rechtliche Verantwortung f\u00fcr die Nichteinhaltung von Sicherheitsanforderungen ein, was im Widerspruch zu den sozialen Verpflichtungen von Debian steht, Software f\u00fcr beliebige Zwecke und ohne Einschr\u00e4nkungen zu verbreiten. Debian verfolgt nicht die Zugeh\u00f6rigkeit von Code zu kommerziellen Projekten, die Besch\u00e4ftigung von Entwicklern und die Finanzierungsquellen der im Distribution enthaltenen Entwicklungen, weshalb die Verh\u00e4ngung der im Gesetzesentwurf genannten Anforderungen die rechtlichen Risiken bei der Verwendung der Distribution erh\u00f6ht. <\/p>\n
Es besteht die Gefahr, dass Upstream-Projekte ihren Code nicht mehr bereitstellen, aus Angst, dem CRA (Copyright Restrictions Act) zu unterfallen und damit verbundenen Strafen ausgesetzt zu sein. Der CRA k\u00f6nnte auch dazu f\u00fchren, dass die Prozesse zur \u00dcbergabe an die Open-Source-Community komplizierter werden \u2014 um den Code einem Entwickler bereitzustellen, muss dieser die m\u00f6glichen rechtlichen Konsequenzen abw\u00e4gen. Dar\u00fcber hinaus verringert der Gesetzesentwurf die Attraktivit\u00e4t des offenen Entwicklungsprozesses, da die Arbeit f\u00fcr alle sichtbar und transparent erfolgt und der Code w\u00e4hrend der Entwicklung verwendet werden kann, was dazu f\u00fchrt, dass die Anforderungen des CRA w\u00e4hrend der Arbeit am Produkt angewendet werden k\u00f6nnen, w\u00e4hrend propriet\u00e4re Software hinter verschlossenen T\u00fcren entwickelt wird und nach der endg\u00fcltigen Ver\u00f6ffentlichung unter das Gesetz f\u00e4llt. <\/p>\n
Die Entwickler von Debian fordern, den offenen Entwicklungsprozess vollst\u00e4ndig aus dem Anwendungsbereich des CRA herauszunehmen und das Gesetz nur auf endg\u00fcltige Produkte anzuwenden. Au\u00dferdem wird vorgeschlagen, die Anforderungen des CRA nicht auf Produkte von Einzelunternehmern und kleinen Unternehmen anzuwenden, da diese nicht in der Lage sind, alle Anforderungen des CRA zu erf\u00fcllen, und gezwungen sind, ihr Gesch\u00e4ft einzustellen. <\/p>\n