De resultaten van de algemene stemming (GR, algemene resolutie) van de ontwikkelaars van het Debian-project, die betrokken zijn bij het onderhoud van pakketten en de ondersteuning van de infrastructuur, zijn gepubliceerd. De tekst van de verklaring is goedgekeurd, waarin de standpunten van het project met betrekking tot de in de Europese Unie voorgestelde wet Cyber Resilience Act (CRA) worden weergegeven. Dit wetsvoorstel introduceert aanvullende vereisten voor softwareproducenten om de veiligheid te bevorderen, informatie over incidenten openbaar te maken en kwetsbaarheden gedurende de levenscyclus van het product snel aan te pakken. <\/p>\n
Bij schending van de vereisten zijn er boetes gepland die kunnen oplopen tot 15 miljoen euro of 2,5% van de jaarlijkse omzet van het bedrijf. Na aanneming van het wetsvoorstel zullen producenten verplicht zijn om middelen te bieden voor het afleveren van kwetsbaarheidoplossingen, een beoordeling van veiligheidsrisico\u2019s uit te voeren voordat het product op de markt wordt gebracht, veiligheidstests van het product uit te voeren (voor kritieke systemen is een externe audit verplicht), kwetsbaarheden gedurende de levenscyclus te verhelpen en informatie over beveiligingsincidenten binnen 24 uur na ontdekking van het probleem te verstrekken. <\/p>\n
Ondanks het feit dat, gezien de opkomende trends, het wetsvoorstel alleen commerci\u00eble softwareproducenten lijkt te be\u00efnvloeden, is de gemeenschap bezorgd over de negatieve impact ervan op het ecosysteem van open-sourceontwikkeling en beschouwt zij het wetsvoorstel als een belemmering voor de voortgang van open projecten en de ontwikkeling van open-source software als een internationale beweging. Bedrijven die producten ontwikkelen op basis van internationale open projecten of gebruikmaken van open bibliotheken, zullen verantwoordelijk zijn voor beveiligingsproblemen en gebrekkige oplossingen voor kwetsbaarheden in de code, zelfs als deze code is geschreven door enthousiastelingen uit andere landen. Men verwacht dat de opkomst van aanvullende zakelijke risico\u2019s de aantrekkelijkheid van het ontwikkelen van software op basis van open-sourcecode zal verminderen. <\/p>\n
Tegelijkertijd kunnen de juridische gevolgen ook onafhankelijke projecten treffen die code van commerci\u00eble productproducenten bevatten. Bijvoorbeeld, er ontstaat onduidelijkheid over de aansprakelijkheid in gevallen waarin open source-code die door een commercieel bedrijf is ontwikkeld, kan worden overgedragen aan externe non-profitprojecten en kan worden gebruikt in Linux-distributies. <\/p>\n
Het wetsvoorstel introduceert juridische aansprakelijkheid voor het niet naleven van veiligheidsvereisten, wat in strijd is met de sociale verplichtingen van Debian om software voor elk doel en zonder beperkingen te verspreiden. Debian houdt geen rekening met de betrokkenheid van code bij commerci\u00eble projecten, het werkgelegenheidsniveau van ontwikkelaars en de financieringsbronnen van de ontwikkelingen die in de distributie worden geleverd, waardoor het opleggen van de in het wetsvoorstel genoemde eisen de juridische risico's bij het gebruik van de distributie verhoogt. <\/p>\n
Er bestaat een risico dat upstream-projecten hun code niet langer beschikbaar stellen uit angst voor de gevolgen van de CRA en de bijbehorende sancties. De CRA kan ook leiden tot complicaties in de processen van de overdracht naar de open-source gemeenschap \u2014 ontwikkelaars moeten de mogelijke juridische consequenties evalueren voordat ze code openbaar maken. Bovendien vermindert het wetsvoorstel de aantrekkelijkheid van het open ontwikkelingsproces, omdat het werk onder toezicht staat en transparant is voor iedereen. Code kan tijdens de ontwikkeling worden gebruikt, wat betekent dat de eisen van de CRA al tijdens het ontwikkelingsproces van het product van toepassing zijn, terwijl proprietary software achter gesloten deuren wordt ontwikkeld en onder de wetgeving valt na de uiteindelijke uitgave. <\/p>\n
Debian-ontwikkelaars roepen op om het open ontwikkelingsproces volledig uit de reikwijdte van de CRA te halen en de wet alleen toe te passen op uiteindelijke producten. Tevens wordt voorgesteld om de eisen van de CRA niet toe te passen op producten van zelfstandigen en kleine bedrijven, aangezien zij niet in staat zijn om aan alle eisen van de CRA te voldoen en genoodzaakt zullen zijn hun bedrijf te staken. <\/p>\n