Die Ergebnisse der allgemeinen Umfrage (GR, allgemeine Resolution) der Entwickler des Debian-Projekts wurden ver\u00f6ffentlicht. In dieser Umfrage, die sich mit der Unterst\u00fctzung von Paketen und der Infrastruktur befasst, wurde der Text einer Stellungnahme genehmigt, in der die Position des Projekts zum im Europ\u00e4ischen Parlament vorgelegten Gesetzesentwurf zum Cyber Resilience Act (CRA) erl\u00e4utert wird. Der Gesetzesentwurf f\u00fchrt zus\u00e4tzliche Anforderungen f\u00fcr Softwarehersteller ein, die darauf abzielen, die Sicherheit zu f\u00f6rdern, Informationen \u00fcber Vorf\u00e4lle offenzulegen und Schwachstellen w\u00e4hrend des gesamten Produktlebenszyklus zu beheben. <\/p>\n
Im Falle von Verst\u00f6\u00dfen sind Strafen von bis zu 15 Millionen Euro oder 2,5 % des Jahresumsatzes des Unternehmens vorgesehen. Nach Annahme des Gesetzesentwurfs sind die Hersteller verpflichtet, Mittel f\u00fcr die Bereitstellung von Sicherheitsupdates bereitzustellen, Sicherheitsrisiken vor der Markteinf\u00fchrung des Produkts zu bewerten, Produkttests durchzuf\u00fchren (f\u00fcr kritische Systeme ist eine externe Pr\u00fcfung vorgeschrieben), Schwachstellen w\u00e4hrend des gesamten Lebenszyklus zu beheben und innerhalb von 24 Stunden nach Entdeckung eines Problems Informationen \u00fcber Sicherheitsvorf\u00e4lle weiterzugeben. <\/p>\n
Obwohl Anzeichen darauf hindeuten, dass der Gesetzesentwurf nur kommerzielle Softwarehersteller betreffen wird, ist die Gemeinschaft besorgt \u00fcber seine negativen Auswirkungen auf das \u00d6kosystem der Open-Source-Entwicklung und betrachtet den Entwurf als einen Faktor, der die F\u00f6rderung offener Projekte hemmt und die Entwicklung von Open-Source-Software als internationaler Bewegung behindert. Unternehmen, die Produkte auf der Grundlage internationaler Open-Source-Projekte entwickeln oder \u00f6ffentliche Bibliotheken nutzen, m\u00fcssen f\u00fcr Sicherheitsprobleme und unzureichende Behebung von Schwachstellen im Code verantwortlich gemacht werden, selbst wenn dieser Code von Enthusiasten aus anderen L\u00e4ndern geschrieben wurde. Es wird erwartet, dass zus\u00e4tzliche Gesch\u00e4ftsrisko die Attraktivit\u00e4t der Entwicklung von Software auf Basis von Open-Source-Code verringern. <\/p>\n
Gleichzeitig k\u00f6nnten die rechtlichen Konsequenzen auch unabh\u00e4ngige Projekte betreffen, die Code von kommerziellen Produkten umfassen. Zum Beispiel entsteht Unklarheit hinsichtlich der Haftung in F\u00e4llen, in denen von einem kommerziellen Unternehmen entwickelter Open-Code in nicht-kommerzielle Projekte \u00fcbertragen und in Linux-Distributionen verwendet werden k\u00f6nnte. <\/p>\n
Der Gesetzesentwurf f\u00fchrt eine rechtliche Verantwortung f\u00fcr die Nichteinhaltung von Sicherheitsanforderungen ein, was im Widerspruch zu den sozialen Verpflichtungen von Debian steht, Software zu verbreiten, die f\u00fcr beliebige Zwecke und ohne Einschr\u00e4nkungen genutzt werden kann. Debian verfolgt keine Verbindungen zwischen dem Code und kommerziellen Projekten, den Arbeitsverh\u00e4ltnissen der Entwickler oder den Finanzierungsquellen der in der Distribution gelieferten Entwicklungen, sodass die Einf\u00fchrung der im Gesetzesentwurf angegebenen Anforderungen das rechtliche Risiko bei der Nutzung der Distribution erh\u00f6ht. <\/p>\n
Es besteht die Gefahr, dass Upstream-Projekte ihren Code aus Angst vor den Bestimmungen des CRA und den damit verbundenen Strafen nicht mehr bereitstellen. Der CRA k\u00f6nnte auch die Prozesse der \u00dcbergabe an die Open-Source-Community komplizieren - um den Code einem Entwickler zur Verf\u00fcgung zu stellen, muss er die m\u00f6glichen rechtlichen Konsequenzen bewerten. Dar\u00fcber hinaus verringert der Gesetzesentwurf die Attraktivit\u00e4t des offenen Entwicklungsprozesses, da die Arbeit sichtbar und transparent f\u00fcr alle erfolgt, und der Code w\u00e4hrend der Entwicklung genutzt werden kann, was es erm\u00f6glicht, die Anforderungen des CRA w\u00e4hrend der Produktentwicklung zu ber\u00fccksichtigen, w\u00e4hrend propriet\u00e4re Software hinter verschlossenen T\u00fcren entwickelt wird und erst nach der endg\u00fcltigen Freigabe dem Gesetz unterliegt. <\/p>\n
Die Debian-Entwickler fordern, den offenen Entwicklungsprozess vollst\u00e4ndig aus dem Geltungsbereich des CRA auszuschlie\u00dfen und das Gesetz nur auf endg\u00fcltige Produkte anzuwenden. Au\u00dferdem wird vorgeschlagen, die Anforderungen des CRA nicht auf Produkte von Einzelunternehmern und kleinen Unternehmen anzuwenden, da diese nicht in der Lage sind, alle vom CRA geforderten Anforderungen zu erf\u00fcllen, was sie dazu zwingen w\u00fcrde, ihr Gesch\u00e4ft einzustellen. <\/p>\n