Se han publicado los resultados de la votaci\u00f3n general (GR, resoluci\u00f3n general) de los desarrolladores del proyecto Debian, que participan en el mantenimiento de paquetes y la infraestructura, en la que se aprob\u00f3 el texto de la declaraci\u00f3n que expresa la posici\u00f3n del proyecto respecto al proyecto de ley de ciberresiliencia (Cyber Resilience Act, CRA) que se promueve en la Uni\u00f3n Europea. Este proyecto de ley introduce requisitos adicionales para los fabricantes de software, destinados a fomentar el mantenimiento de la seguridad, la divulgaci\u00f3n de incidentes y la pronta correcci\u00f3n de vulnerabilidades a lo largo del ciclo de vida del producto. <\/p>\n
En caso de incumplimiento de los requisitos, se prev\u00e9n multas que pueden alcanzar los 15 millones de euros o el 2.5% de la facturaci\u00f3n anual de la empresa. Tras la aprobaci\u00f3n del proyecto de ley, los fabricantes estar\u00e1n obligados a proporcionar medios para la entrega de correcciones de vulnerabilidades, realizar una evaluaci\u00f3n de los riesgos relacionados con la seguridad antes de lanzar el producto al mercado, realizar pruebas de seguridad del producto (para sistemas cr\u00edticos se introduce una auditor\u00eda externa obligatoria), remediar vulnerabilidades a lo largo de todo el ciclo de vida y comunicar informaci\u00f3n sobre incidentes de seguridad dentro de las 24 horas posteriores al descubrimiento del problema. <\/p>\n
A pesar de que, seg\u00fan las tendencias que se han observado, el proyecto de ley solo afectar\u00e1 a los fabricantes de software comercial, la comunidad est\u00e1 preocupada por su impacto negativo en el ecosistema del desarrollo de software de c\u00f3digo abierto y considera el proyecto de ley como un factor que obstaculiza el avance de los proyectos abiertos y dificulta el desarrollo del software de c\u00f3digo abierto como movimiento internacional. Las empresas que desarrollan productos basados en proyectos abiertos internacionales o que utilizan bibliotecas abiertas deber\u00e1n asumir la responsabilidad por los problemas de seguridad y la inadecuada correcci\u00f3n de vulnerabilidades en el c\u00f3digo, incluso si este c\u00f3digo ha sido escrito por entusiastas de otros pa\u00edses. Se prev\u00e9 que la aparici\u00f3n de riesgos adicionales para los negocios reduzca la atractivo de crear software basado en c\u00f3digo abierto. <\/p>\n
Al mismo tiempo, las consecuencias legales tambi\u00e9n pueden afectar a proyectos independientes que incluyan c\u00f3digo de fabricantes de productos comerciales. Por ejemplo, hay incertidumbre en cuanto a la responsabilidad en casos donde el c\u00f3digo de c\u00f3digo abierto desarrollado por una empresa comercial puede ser transferido a proyectos no lucrativos de terceros y utilizado en distribuciones de Linux. <\/p>\n
El proyecto de ley introduce la responsabilidad legal por el incumplimiento de los requisitos de seguridad, lo que contradice los compromisos sociales de Debian de distribuir software para cualquier prop\u00f3sito y sin restricciones. Debian no rastrea la implicaci\u00f3n del c\u00f3digo en proyectos comerciales, el empleo de desarrolladores y las fuentes de financiamiento del desarrollo que se incluye en la distribuci\u00f3n, por lo que imponer los requisitos mencionados en el proyecto de ley aumenta los riesgos legales al usar la distribuci\u00f3n. <\/p>\n
Existe el peligro de que los proyectos upstream dejen de ofrecer su c\u00f3digo debido a preocupaciones por verse afectados por la CRA y por las sanciones asociadas. La CRA tambi\u00e9n puede complicar los procesos de entrega a la comunidad de c\u00f3digo abierto \u2014 para compartir el c\u00f3digo, el desarrollador deber\u00e1 evaluar las posibles consecuencias legales. Adem\u00e1s, el proyecto de ley reduce el atractivo del proceso de desarrollo abierto, ya que el trabajo se realiza al descubierto y es transparente para todos, y el c\u00f3digo puede ser utilizado durante el desarrollo, lo que permite aplicar los requisitos de la CRA mientras se trabaja en el producto, mientras que el software propietario se desarrolla tras puertas cerradas y queda sujeto a la ley solo despu\u00e9s del lanzamiento final. <\/p>\n
Los desarrolladores de Debian llaman a eliminar por completo el proceso de desarrollo abierto del alcance de la CRA y a aplicar la ley solo a los productos finales. Tambi\u00e9n se propone no aplicar los requisitos de la CRA a los productos de empresarios individuales y peque\u00f1as empresas, ya que no tienen la capacidad de cumplir con todos los requisitos exigidos por la CRA y se ver\u00e1n obligados a cerrar sus negocios. <\/p>\n