Debiani arendajad avaldasid teadet, mis on seotud küberturvalisuse akti seaduseelnõuga.

Avalikustati Debiani projekti arendajate (GR, üldine resolutsioon) üldhääletuse tulemused, kes osalevad pakettide hoolduses ja infrastruktuuri toetuses, mille käigus kinnitati teate tekst, milles väljendatakse projekti seisukohta Euroopa Liidus edendatava küberturvalisuse akti seaduseelnõu (CRA) suhtes. Seaduseelnõu kehtestab tarkvaratootjatele lisatingimusi, mille eesmärk on edendada ohutuse säilitamist, teavitada intsidentidest ja kiiresti lahendada haavatavusi toote elutsükli vältel.

Kohustuste rikkumise korral on kavandatud trahvid, mis võivad ulatuda kuni 15 miljoni euroni või 2,5% ettevõtte aastasest käibest. Pärast seaduseelnõu vastuvõtmist peavad tootjad tagama vahendid haavatavuste parandamiseks, hindama turvariskidega seotud ohte enne toote turule viimist, läbi viima toote turvateste (kriitiliste süsteemide puhul kehtestatakse kohustuslik väline audit), lahendama haavatavusi läbi kogu elutsükli ning edastama teavet turvaintsidentide kohta 24 tunni jooksul pärast probleemi avastamist.

Kuigi näib, et seaduseelnõu puudutab vaid kommertstarkvara tootjaid, on kogukond mures selle negatiivse mõju pärast avatud lähtekoodiga tarkvara ökosüsteemile ning käsitleb seaduseelnõu kui tegurit, mis takistab avatud projektide edendamist ja piirab avatud tarkvara arendamist kui rahvusvahelist liikumist. Ettevõtted, mis arendavad tooteid rahvusvahelistel avatud projektidel või kasutavad avatud teeke, peavad vastutama turva probleemide ja haavatavuste ebaõige lahendamise eest koodis, isegi kui selle koodi on kirjutanud entusiastid teistest riikidest. Eeldatakse, et täiendavate ärrituste ilmnemine vähendab avatud koodiga tarkvara loomise atraktiivsust.

Samas ajal võivad seaduslikud tagajärjed mõjutada ka sõltumatuid projekte, mis sisaldavad kaubanduslikest toodetest pärit koodi. Näiteks tekib ebakindlus vastutuse osas juhtudel, kui kaubandusettevõtte arendatud avatud kood võidakse edastada kolmandate osapoolte mittetulundusprojektidesse ja kasutada Linuxi jaotustes.

Seaduseelnõu seab seadusliku vastutuse ohutuse nõuete rikkumise eest, mis on vastuolus Debian'i sotsiaalsete kohustustega levitada tarkvara mistahes eesmärkidel ja piiranguteta. Debian ei jälgi koodi seotust kaubandusprojektidega, arendajate tööhõivet ega arenduse rahastamisallikaid, mis sisalduvad jaotuses, seega seaduseelnõus määratud nõuete kehtestamine suurendab õiguslikke riske jaotuse kasutamisel.

On oht, et upstream-projektid lõpetavad oma koodi andmise kartes, et nad jäävad CRA alla ning võivad seetõttu silmitsi seista seotud sanktsioonidega. CRA võib samuti keerulisemaks muuta avatud koodi edastamisprotsesse — arendajal peab olema võimalus hinnata võimalikke õiguslikke tagajärgi, et avada kood. Lisaks vähendab seaduselnõu avatud arendusprotsessi atraktiivsust, kuna töö toimub avalikult ja kõigile nähtavalt ning koodi saab arendusprotsessis kasutada, mis võimaldab CRA nõudeid rakendada tootearenduse jooksul, samas kui kinnine tarkvara arendatakse suletud uste taga ja langeb seaduse alla pärast lõplikku väljaandmist.

Debian'i arendajad kutsevad üles eemaldama avatud arendusprotsessi CRA kohaldamisalast ja rakendama seadust vaid lõplikule toodangule. Samuti soovitatakse mitte rakendada CRA nõudeid füüsilisest isikust ettevõtjate ja väikeste ettevõtete toodetele, kuna neil ei ole võimalik täita kõiki CRA nõudeid ja nad sunnitud oma äri lõpetama.

Avaldus sisaldab ka kahtlusi Euroopa võrgutasakaalu ja teabe julgeoleku agentuurile (ENISA) esitatavate nõuete suhtes, mis puudutavad turvaprobleemide teavitamist 24 tunni jooksul pärast probleemi tuvastamist või teabe saamist haavatavuse kohta. Kõikide veel parandamata haavatavuste kokku kogumine ühte kohta võib põhjustada tõsiseid probleeme kõigile kasutajatele, kui teave lekib, edastatakse julgeolekuteenistustele või ENISA pannakse ohtu.

Allikas: opennet.ru