Sono stati pubblicati i risultati della votazione generale (GR, risoluzione generale) degli sviluppatori del progetto Debian, coinvolti nella manutenzione dei pacchetti e nella gestione dell'infrastruttura, riguardo al testo della dichiarazione che esprime la posizione del progetto in merito alla proposta di legge Cyber Resilience Act (CRA) promossa nell'Unione Europea. La proposta di legge introduce ulteriori requisiti per i produttori di software, mirati a stimolare il mantenimento della sicurezza, la divulgazione delle informazioni sugli incidenti e la risposta rapida alle vulnerabilità durante il ciclo di vita del prodotto.
In caso di violazione dei requisiti, si prevede l'introduzione di sanzioni che possono raggiungere i 15 milioni di euro o il 2,5% del fatturato annuale dell'azienda. Dopo l'adozione della proposta di legge, i produttori saranno obbligati a fornire mezzi per la consegna delle correzioni delle vulnerabilità, effettuare valutazioni dei rischi legati alla sicurezza prima del lancio del prodotto sul mercato, eseguire test di sicurezza del prodotto (per i sistemi critici è previsto un audit esterno obbligatorio), risolvere le vulnerabilità per tutto il ciclo di vita e trasmettere informazioni sugli incidenti di sicurezza entro 24 ore dalla scoperta del problema.
Nonostante le tendenze emergenti, la proposta di legge sembrerebbe riguardare solo i produttori di software commerciale, la comunità è preoccupata per il suo impatto negativo sull'ecosistema dello sviluppo del software libero e considera la proposta come un fattore che ostacola la promozione di progetti aperti e compromette lo sviluppo del software libero come movimento internazionale. Le aziende che sviluppano prodotti basati su progetti aperti internazionali o utilizzano librerie aperte saranno tenute responsabili per i problemi di sicurezza e la correzione inadeguata delle vulnerabilità nel codice, anche se quel codice è scritto da appassionati di altri Paesi. Si prevede che l'emergere di ulteriori rischi per le aziende ridurrà l'attrattiva della creazione di software basato su codice aperto.
Allo stesso tempo, le conseguenze legali possono riguardare anche i progetti indipendenti che includono codice di produttori di prodotti commerciali. Ad esempio, c'è incertezza riguardo alla responsabilità nei casi in cui il codice aperto sviluppato da un'azienda commerciale possa essere trasferito a progetti non profit di terze parti e utilizzato nelle distribuzioni Linux.
La proposta di legge introduce la responsabilità legale per la non conformità ai requisiti di sicurezza, il che contrasta con gli impegni sociali di Debian di distribuire software per qualsiasi scopo e senza restrizioni. Debian non monitora il coinvolgimento del codice in progetti commerciali, l'occupazione degli sviluppatori e le fonti di finanziamento per gli sviluppi forniti nella distribuzione, pertanto l'imposizione dei requisiti previsti dalla proposta di legge aumenta i rischi legali nell'uso della distribuzione.
C'è il rischio che i progetti upstream smettano di fornire il loro codice a causa della preoccupazione di cadere sotto l'ambito del CRA e l'applicazione delle relative sanzioni. Il CRA potrebbe anche complicare i processi di trasferimento del codice aperto alla comunità — per rendere il codice accessibile, gli sviluppatori dovranno valutare le possibili conseguenze legali. Inoltre, la proposta di legge rende meno attraente il processo di sviluppo aperto, poiché il lavoro è svolto in modo trasparente e visibile a tutti, e il codice può essere utilizzato durante lo sviluppo, consentendo di applicare i requisiti del CRA mentre il software proprietario viene sviluppato dietro porte chiuse e rientra sotto la giurisdizione della legge solo dopo il rilascio finale.
Gli sviluppatori di Debian chiedono di escludere completamente il processo di sviluppo aperto dall'ambito di applicazione del CRA e di applicare la legge solo ai prodotti finali. Si propone inoltre di non applicare i requisiti del CRA ai prodotti degli imprenditori individuali e delle piccole imprese, poiché non hanno le risorse per soddisfare tutti i requisiti richiesti dal CRA e sarebbero costretti a chiudere la propria attività.
La dichiarazione menziona anche il carattere discutibile del requisito di trasmettere all'Agenzia Europea per la Sicurezza delle Reti e dell'Informazione (ENISA) informazioni sulle problematiche di sicurezza entro 24 ore dalla scoperta del problema o dalla ricezione di informazioni sulle vulnerabilità. L'accumulo di informazioni su tutte le vulnerabilità non riparate in un unico luogo può portare a grandi problemi per tutti gli utenti in caso di fuga di dati, trasmissione di informazioni ai servizi segreti o compromissione dell'ENISA.
Fonte: opennet.ru
