Les r\u00e9sultats du vote g\u00e9n\u00e9ral (GR, r\u00e9solution g\u00e9n\u00e9rale) des d\u00e9veloppeurs du projet Debian, impliqu\u00e9s dans le maintien des paquets et de l'infrastructure, ont \u00e9t\u00e9 publi\u00e9s, et le texte de la d\u00e9claration exprimant la position du projet sur le projet de loi Cyber Resilience Act (CRA) propos\u00e9 par l'Union europ\u00e9enne a \u00e9t\u00e9 approuv\u00e9. Le projet de loi impose des exigences suppl\u00e9mentaires aux fabricants de logiciels, visant \u00e0 encourager le maintien de la s\u00e9curit\u00e9, la divulgation des incidents et la correction rapide des vuln\u00e9rabilit\u00e9s tout au long du cycle de vie du produit. <\/p>\n
En cas de violation des exigences, des amendes pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel de l'entreprise sont envisag\u00e9es. Apr\u00e8s l'adoption du projet de loi, les fabricants devront fournir des moyens pour d\u00e9livrer des correctifs de vuln\u00e9rabilit\u00e9s, \u00e9valuer les risques li\u00e9s \u00e0 la s\u00e9curit\u00e9 avant la mise sur le march\u00e9 du produit, effectuer des tests de s\u00e9curit\u00e9 du produit (un audit externe obligatoire est impos\u00e9 pour les syst\u00e8mes critiques), corriger les vuln\u00e9rabilit\u00e9s tout au long du cycle de vie, et transmettre des informations sur les incidents de s\u00e9curit\u00e9 dans les 24 heures suivant la d\u00e9tection d'un probl\u00e8me. <\/p>\n
Bien que, selon les tendances observ\u00e9es, le projet de loi ne concernera que les fabricants de logiciels commerciaux, la communaut\u00e9 s'inqui\u00e8te de son impact n\u00e9gatif sur l'\u00e9cosyst\u00e8me du d\u00e9veloppement de logiciels open source et consid\u00e8re le projet de loi comme un frein \u00e0 la promotion des projets ouverts et un obstacle au d\u00e9veloppement du logiciel libre en tant que mouvement international. Les entreprises d\u00e9veloppant des produits bas\u00e9s sur des projets ouverts internationaux ou utilisant des biblioth\u00e8ques ouvertes devront \u00eatre responsables des probl\u00e8mes de s\u00e9curit\u00e9 et de la correction inad\u00e9quate des vuln\u00e9rabilit\u00e9s dans le code, m\u00eame si ce code a \u00e9t\u00e9 \u00e9crit par des passionn\u00e9s d'autres pays. Il est pr\u00e9vu que l'\u00e9mergence de risques suppl\u00e9mentaires pour les entreprises r\u00e9duira l'attrait de la cr\u00e9ation de logiciels bas\u00e9s sur du code ouvert. <\/p>\n
En m\u00eame temps, les cons\u00e9quences juridiques peuvent \u00e9galement affecter des projets ind\u00e9pendants incluant du code de fabricants de produits commerciaux. Par exemple, une incertitude se pose quant \u00e0 la responsabilit\u00e9 dans les cas o\u00f9 du code open source d\u00e9velopp\u00e9 par une entreprise commerciale pourrait \u00eatre transmis \u00e0 des projets non lucratifs tiers et utilis\u00e9 dans des distributions Linux. <\/p>\n
Le projet de loi introduit une responsabilit\u00e9 l\u00e9gale pour le non-respect des exigences de s\u00e9curit\u00e9, ce qui contredit les engagements sociaux de Debian de distribuer des logiciels \u00e0 des fins diverses et sans restrictions. Debian ne suit pas l'implication du code dans des projets commerciaux, l'embauche de d\u00e9veloppeurs et les sources de financement des d\u00e9veloppements fournis dans la distribution, ce qui augmente donc les risques juridiques li\u00e9s \u00e0 l'utilisation de la distribution en raison des exigences impos\u00e9es par le projet de loi. <\/p>\n
Il existe un risque que les projets en amont cessent de fournir leur code en raison de craintes d'\u00eatre soumis \u00e0 la CRA et aux sanctions qui y sont associ\u00e9es. La CRA peut \u00e9galement compliquer les processus de transfert \u00e0 la communaut\u00e9 du code ouvert \u2014 pour ouvrir le code, le d\u00e9veloppeur devra \u00e9valuer les cons\u00e9quences juridiques potentielles. De plus, le projet de loi r\u00e9duit l'attractivit\u00e9 du processus de d\u00e9veloppement ouvert, car le travail se d\u00e9roule \u00e0 la vue de tous et est transparent, et le code peut \u00eatre utilis\u00e9 dans le processus de d\u00e9veloppement, permettant ainsi d'appliquer les exigences de la CRA pendant le travail sur le produit, alors que les logiciels propri\u00e9taires sont d\u00e9velopp\u00e9s \u00e0 huis clos et sont soumis \u00e0 la loi apr\u00e8s leur release finale. <\/p>\n
Les d\u00e9veloppeurs de Debian appellent \u00e0 sortir compl\u00e8tement le processus de d\u00e9veloppement ouvert du champ d'application du CRA et \u00e0 appliquer la loi uniquement aux produits finaux. Il est \u00e9galement propos\u00e9 de ne pas appliquer les exigences du CRA aux produits des entrepreneurs individuels et des petites entreprises, car ils ne sont pas en mesure de respecter toutes les exigences impos\u00e9es par le CRA et seraient contraints de r\u00e9duire leurs activit\u00e9s. <\/p>\n