Sono stati pubblicati i risultati della votazione generale (GR, general resolution) degli sviluppatori del progetto Debian, che partecipano al supporto dei pacchetti e al mantenimento dell'infrastruttura, in cui \u00e8 stato approvato il testo della dichiarazione esprimente la posizione del progetto riguardo al disegno di legge Cyber Resilience Act (CRA) promosso nell'Unione Europea. Il disegno di legge introduce requisiti aggiuntivi per i produttori di software, finalizzati a stimolare il mantenimento della sicurezza, la divulgazione di dati sugli incidenti e la risoluzione rapida delle vulnerabilit\u00e0 durante il ciclo di vita del prodotto. <\/p>\n
In caso di violazione dei requisiti, si prevede l'introduzione di multe che possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato annuo dell'azienda. Dopo l'approvazione del disegno di legge, i produttori saranno obbligati a fornire mezzi per la consegna delle correzioni delle vulnerabilit\u00e0, eseguire una valutazione dei rischi legati alla sicurezza prima del lancio del prodotto sul mercato, effettuare test di sicurezza del prodotto (per i sistemi critici \u00e8 previsto un audit esterno obbligatorio), risolvere le vulnerabilit\u00e0 durante l'intero ciclo di vita e comunicare informazioni sugli incidenti di sicurezza entro 24 ore dalla scoperta del problema. <\/p>\n
Nonostante, a giudicare dalle tendenze emergenti, il disegno di legge riguardi solo i produttori di software commerciale, la comunit\u00e0 \u00e8 preoccupata per il suo impatto negativo sull'ecosistema di sviluppo del software open source e considera il disegno di legge come un fattore che frena la promozione di progetti aperti e ostacola lo sviluppo del software libero come movimento internazionale. Le aziende che sviluppano prodotti basati su progetti open source internazionali o che utilizzano librerie open source dovranno assumersi la responsabilit\u00e0 per problemi di sicurezza e la corretta risoluzione delle vulnerabilit\u00e0 nel codice, anche se quel codice \u00e8 scritto da appassionati di altri paesi. Si prevede che l'emergere di ulteriori rischi per le imprese riduca l'attrattiva di creare software basato su codice aperto. <\/p>\n
Allo stesso tempo, le conseguenze legali possono riguardare anche progetti indipendenti che includono codice di produttori di prodotti commerciali. Ad esempio, sorge incertezza circa la responsabilit\u00e0 nei casi in cui il codice open source sviluppato da un'azienda commerciale possa essere trasferito in progetti non commerciali di terze parti e utilizzato nelle distribuzioni Linux. <\/p>\n
Il disegno di legge introduce responsabilit\u00e0 legale per il mancato rispetto dei requisiti di sicurezza, il che confligge con gli obblighi sociali di Debian di distribuire software per qualsiasi scopo e senza limitazioni. Debian non monitora il coinvolgimento del codice in progetti commerciali, l'occupazione degli sviluppatori e le fonti di finanziamento per gli sviluppi forniti nella distribuzione, quindi l'imposizione dei requisiti indicati nel disegno di legge aumenta i rischi legali nell'utilizzo della distribuzione. <\/p>\n
C'\u00e8 il rischio che i progetti upstream smettano di fornire il proprio codice a causa delle preoccupazioni di essere sottoposti alla CRA e di eventuali sanzioni correlate. La CRA potrebbe anche complicare i processi di trasferimento alla comunit\u00e0 del codice aperto \u2014 per condividere il codice, gli sviluppatori devono valutare le possibili conseguenze legali. Inoltre, il disegno di legge riduce l'attrattiva del processo di sviluppo aperto, poich\u00e9 il lavoro \u00e8 sotto gli occhi di tutti e trasparente, mentre il codice pu\u00f2 essere utilizzato nel processo di sviluppo, consentendo di applicare i requisiti della CRA durante il lavoro sul prodotto, mentre il software proprietario viene sviluppato a porte chiuse e rientra sotto la legge dopo il rilascio finale. <\/p>\n
Gli sviluppatori di Debian chiedono di escludere completamente il processo di sviluppo open dall'ambito della CRA e di applicare la legge solo ai prodotti finali. Si propone inoltre di non applicare i requisiti della CRA ai prodotti dei professionisti individuali e delle piccole imprese, poich\u00e9 non sono in grado di soddisfare tutti i requisiti imposti dalla CRA e sarebbero costretti a chiudere il proprio business. <\/p>\n