De resultaten van de algemene stemming (GR, algemene resolutie) van de ontwikkelaars van het Debian-project, die betrokken zijn bij het onderhoud van pakketten en de ondersteuning van de infrastructuur, zijn gepubliceerd. De tekst van de verklaring is goedgekeurd, waarin de standpunten van het project met betrekking tot de in de Europese Unie voorgestelde wet Cyber Resilience Act (CRA) worden weergegeven. Dit wetsvoorstel introduceert aanvullende vereisten voor softwareproducenten om de veiligheid te bevorderen, informatie over incidenten openbaar te maken en kwetsbaarheden gedurende de levenscyclus van het product snel aan te pakken.
Bij schending van de vereisten zijn er boetes gepland die kunnen oplopen tot 15 miljoen euro of 2,5% van de jaarlijkse omzet van het bedrijf. Na aanneming van het wetsvoorstel zullen producenten verplicht zijn om middelen te bieden voor het afleveren van kwetsbaarheidoplossingen, een beoordeling van veiligheidsrisicoās uit te voeren voordat het product op de markt wordt gebracht, veiligheidstests van het product uit te voeren (voor kritieke systemen is een externe audit verplicht), kwetsbaarheden gedurende de levenscyclus te verhelpen en informatie over beveiligingsincidenten binnen 24 uur na ontdekking van het probleem te verstrekken.
Ondanks het feit dat, gezien de opkomende trends, het wetsvoorstel alleen commerciĆ«le softwareproducenten lijkt te beĆÆnvloeden, is de gemeenschap bezorgd over de negatieve impact ervan op het ecosysteem van open-sourceontwikkeling en beschouwt zij het wetsvoorstel als een belemmering voor de voortgang van open projecten en de ontwikkeling van open-source software als een internationale beweging. Bedrijven die producten ontwikkelen op basis van internationale open projecten of gebruikmaken van open bibliotheken, zullen verantwoordelijk zijn voor beveiligingsproblemen en gebrekkige oplossingen voor kwetsbaarheden in de code, zelfs als deze code is geschreven door enthousiastelingen uit andere landen. Men verwacht dat de opkomst van aanvullende zakelijke risicoās de aantrekkelijkheid van het ontwikkelen van software op basis van open-sourcecode zal verminderen.
Tegelijkertijd kunnen de juridische gevolgen ook onafhankelijke projecten treffen die code van commerciƫle productproducenten bevatten. Bijvoorbeeld, er ontstaat onduidelijkheid over de aansprakelijkheid in gevallen waarin open source-code die door een commercieel bedrijf is ontwikkeld, kan worden overgedragen aan externe non-profitprojecten en kan worden gebruikt in Linux-distributies.
Het wetsvoorstel introduceert juridische aansprakelijkheid voor het niet naleven van veiligheidsvereisten, wat in strijd is met de sociale verplichtingen van Debian om software voor elk doel en zonder beperkingen te verspreiden. Debian houdt geen rekening met de betrokkenheid van code bij commerciƫle projecten, het werkgelegenheidsniveau van ontwikkelaars en de financieringsbronnen van de ontwikkelingen die in de distributie worden geleverd, waardoor het opleggen van de in het wetsvoorstel genoemde eisen de juridische risico's bij het gebruik van de distributie verhoogt.
Er is een gevaar dat upstream-projecten zullen stoppen met het aanbieden van hun code uit angst voor de reikwijdte van de CRA en de daaropvolgende strafmaatregelen. De CRA kan ook leiden tot complicaties in de processen van het delen van open source-code ā om code open te stellen, moet de ontwikkelaar de mogelijke juridische gevolgen beoordelen. Bovendien verlaagt het wetsvoorstel de aantrekkelijkheid van het open ontwikkelingsproces, omdat het werk zichtbaar en transparant voor iedereen is, en code kan worden gebruikt tijdens de ontwikkeling, waardoor de eisen van de CRA tijdens de productontwikkeling kunnen worden toegepast, terwijl propriĆ«taire software achter gesloten deuren wordt ontwikkeld en onder de wet valt na de uiteindelijke release.
Debian-ontwikkelaars roepen op om het open ontwikkelingsproces volledig uit de reikwijdte van de CRA te halen en de wet alleen toe te passen op uiteindelijke producten. Tevens wordt voorgesteld om de eisen van de CRA niet toe te passen op producten van zelfstandigen en kleine bedrijven, aangezien zij niet in staat zijn om aan alle eisen van de CRA te voldoen en genoodzaakt zullen zijn hun bedrijf te staken.
In de verklaring wordt ook de twijfelachtige aard van het verzoek om gegevens over beveiligingsproblemen binnen 24 uur na ontdekking van een probleem of het ontvangen van informatie over een kwetsbaarheid aan het Europees Agentschap voor Netwerk- en Informatiebeveiliging (ENISA) te verstrekken, genoemd. Het verzamelen van informatie over alle nog niet verholpen kwetsbaarheden op Ć©Ć©n plek kan leiden tot grote problemen voor alle gebruikers in het geval van datalekken, overdracht van informatie aan inlichtingendiensten of compromittering van ENISA.
Bron: opennet.ru
