Opublikowano wyniki og\u00f3lnego g\u0142osowania (GR, og\u00f3lna rezolucja) programist\u00f3w projektu Debian, bior\u0105cych udzia\u0142 w utrzymywaniu pakiet\u00f3w i infrastruktury, gdzie zatwierdzono tekst o\u015bwiadczenia wyra\u017caj\u0105cego stanowisko projektu w sprawie wspieranego w Unii Europejskiej projektu ustawy Cyber Resilience Act (CRA). Ustawa wprowadza dodatkowe wymagania dla producent\u00f3w oprogramowania, maj\u0105ce na celu pobudzanie utrzymania bezpiecze\u0144stwa, ujawnianie informacji o incydentach oraz szybkie usuwanie luk w zabezpieczeniach w trakcie cyklu \u017cycia produktu. <\/p>\n
W przypadku naruszenia wymaga\u0144 planuje si\u0119 wprowadzenie kar, kt\u00f3re mog\u0105 osi\u0105gn\u0105\u0107 15 milion\u00f3w euro lub 2,5% rocznego obrotu firmy. Po przyj\u0119ciu ustawy producenci b\u0119d\u0105 zobowi\u0105zani do zapewnienia \u015brodk\u00f3w na dostarczanie poprawek do luk, przeprowadzania oceny zwi\u0105zanych z bezpiecze\u0144stwem ryzyk przed wprowadzeniem produktu na rynek, przeprowadzania test\u00f3w bezpiecze\u0144stwa produktu (dla system\u00f3w o krytycznym znaczeniu wprowadzony zostanie obowi\u0105zkowy zewn\u0119trzny audyt), usuwania luk w zabezpieczeniach przez ca\u0142y cykl \u017cycia oraz przekazywania informacji o incydentach zwi\u0105zanych z bezpiecze\u0144stwem w ci\u0105gu 24 godzin od wykrycia problemu. <\/p>\n
Mimo \u017ce, s\u0105dz\u0105c po zachodz\u0105cych tendencjach, projekt ustawy b\u0119dzie dotyczy\u0142 jedynie producent\u00f3w komercyjnego oprogramowania, spo\u0142eczno\u015b\u0107 obawia si\u0119 jego negatywnego wp\u0142ywu na ekosystem rozwoju otwartego oprogramowania i postrzega ustaw\u0119 jako czynnik powstrzymuj\u0105cy rozw\u00f3j otwartych projekt\u00f3w oraz utrudniaj\u0105cy rozw\u00f3j otwartego oprogramowania jako mi\u0119dzynarodowego ruchu. Firmy rozwijaj\u0105ce produkty oparte na mi\u0119dzynarodowych projektach otwartych lub korzystaj\u0105ce z otwartych bibliotek b\u0119d\u0105 musia\u0142y ponosi\u0107 odpowiedzialno\u015b\u0107 za problemy z bezpiecze\u0144stwem i niew\u0142a\u015bciwe usuwanie luk w kodzie, nawet je\u015bli ten kod zosta\u0142 napisany przez entuzjast\u00f3w z innych kraj\u00f3w. Zak\u0142ada si\u0119, \u017ce pojawienie si\u0119 dodatkowych ryzyk dla biznesu obni\u017cy atrakcyjno\u015b\u0107 tworzenia oprogramowania opartego na kodzie otwartym. <\/p>\n
Jednocze\u015bnie konsekwencje prawne mog\u0105 dotkn\u0105\u0107 tak\u017ce niezale\u017cne projekty, kt\u00f3re zawieraj\u0105 kod od producent\u00f3w komercyjnych. Na przyk\u0142ad pojawia si\u0119 niepewno\u015b\u0107 dotycz\u0105ca odpowiedzialno\u015bci w przypadkach, gdy otwarty kod stworzony przez firm\u0119 komercyjn\u0105 mo\u017ce by\u0107 przenoszony do zewn\u0119trznych projekt\u00f3w non-profit i wykorzystywany w dystrybucjach Linuxa. <\/p>\n
Projekt ustawy wprowadza odpowiedzialno\u015b\u0107 prawn\u0105 za niedotrzymywanie wymog\u00f3w bezpiecze\u0144stwa, co k\u0142\u00f3ci si\u0119 z spo\u0142ecznymi zobowi\u0105zaniami Debian do rozpowszechniania oprogramowania do dowolnych cel\u00f3w i bez ogranicze\u0144. Debian nie \u015bledzi powi\u0105za\u0144 kodu z projektami komercyjnymi, zatrudnieniem programist\u00f3w oraz \u017ar\u00f3d\u0142ami finansowania rozwoju dostarczanego w dystrybucji, dlatego narzucenie wymog\u00f3w zawartych w projekcie ustawy zwi\u0119ksza ryzyko prawne zwi\u0105zane z u\u017cywaniem dystrybucji. <\/p>\n
Istnieje niebezpiecze\u0144stwo, \u017ce projekty upstream przestan\u0105 udost\u0119pnia\u0107 sw\u00f3j kod z obawy przed wdro\u017ceniem CRA i zwi\u0105zanymi z tym sankcjami. CRA mo\u017ce r\u00f3wnie\u017c skomplikowa\u0107 procesy przekazywania do spo\u0142eczno\u015bci otwartego kodu \u2014 aby udost\u0119pni\u0107 kod, deweloperzy b\u0119d\u0105 musieli oceni\u0107 potencjalne konsekwencje prawne. Ponadto projekt ustawy zmniejsza atrakcyjno\u015b\u0107 otwartego procesu rozwoju, gdy\u017c prace s\u0105 prowadzone na widoku i s\u0105 przezroczyste dla wszystkich, a kod mo\u017ce by\u0107 u\u017cywany w trakcie rozwoju, co pozwala na zastosowanie wymog\u00f3w CRA podczas pracy nad produktem, podczas gdy oprogramowanie zastrze\u017cone jest rozwijane za zamkni\u0119tymi drzwiami i podlega przepisom dopiero po finalnym wydaniu. <\/p>\n
Programi\u015bci Debiana wzywaj\u0105 do ca\u0142kowitego wy\u0142\u0105czenia otwartego procesu rozwoju spod dzia\u0142ania CRA i stosowania ustawy tylko do ostatecznych produkt\u00f3w. Proponuje si\u0119 r\u00f3wnie\u017c, aby nie stosowa\u0107 wymog\u00f3w CRA do produkt\u00f3w indywidualnych przedsi\u0119biorc\u00f3w i ma\u0142ych firm, poniewa\u017c nie maj\u0105 one mo\u017cliwo\u015bci spe\u0142nienia wszystkich wymog\u00f3w narzuconych przez CRA i b\u0119d\u0105 zmuszone zako\u0144czy\u0107 swoj\u0105 dzia\u0142alno\u015b\u0107. <\/p>\n