Foram publicados os resultados da votação geral (GR, resolução geral) dos desenvolvedores do projeto Debian, que participam do suporte a pacotes e da manutenção da infraestrutura, onde o texto da declaração foi aprovado, expressando a posição do projeto em relação ao projeto de lei Cyber Resilience Act (CRA), promovido na União Europeia. O projeto de lei introduz requisitos adicionais para fabricantes de software, visando estimular a manutenção da segurança, a divulgação de informações sobre incidentes e a rápida correção de vulnerabilidades durante o ciclo de vida do produto.
Em caso de violação das exigências, prevê-se a aplicação de multas que podem chegar a 15 milhões de euros ou 2,5% do faturamento anual da empresa. Após a aprovação do projeto de lei, os fabricantes estarão obrigados a fornecer meios para a entrega de correções de vulnerabilidades, realizar a avaliação dos riscos relacionados à segurança antes de colocar o produto no mercado, realizar testes de segurança do produto (para sistemas críticos, será exigida uma auditoria externa obrigatória), corrigir vulnerabilidades ao longo de todo o ciclo de vida e reportar informações sobre incidentes de segurança dentro de 24 horas após a detecção do problema.
Apesar das tendências observadas, que indicam que o projeto de lei afetará apenas fabricantes de software comercial, a comunidade está preocupada com seu impacto negativo sobre o ecossistema de desenvolvimento de software livre e vê o projeto como um fator que inibe a promoção de projetos abertos e dificulta o desenvolvimento de software livre como um movimento internacional. As empresas que desenvolvem produtos com base em projetos internacionais abertos ou utilizam bibliotecas abertas serão responsáveis por problemas de segurança e pela inadequada correção de vulnerabilidades no código, mesmo que esse código tenha sido escrito por entusiastas de outros países. Espera-se que a aparição de riscos adicionais para os negócios diminua a atratividade de criar software baseado em código aberto.
Ao mesmo tempo, as consequências legais podem afetar também projetos independentes que incluem código de fabricantes de produtos comerciais. Por exemplo, surge incerteza em termos de responsabilidade quando o código aberto desenvolvido por uma empresa comercial pode ser transferido para projetos não comerciais de terceiros e utilizado em distribuições Linux.
O projeto de lei introduz responsabilidade legal por não cumprimento dos requisitos de segurança, o que conflita com os compromissos sociais do Debian de distribuir software para quaisquer fins e sem restrições. O Debian não rastreia a participação do código em projetos comerciais, a contratação de desenvolvedores e as fontes de financiamento para desenvolvimentos fornecidos na distribuição, portanto, a imposição dos requisitos mencionados no projeto de lei aumenta os riscos legais ao usar a distribuição.
Há o perigo de que projetos upstream deixem de fornecer seu código devido a preocupações em serem abrangidos pela CRA e à aplicação das sanções relacionadas. A CRA também pode complicar os processos de transferência de código aberto para a comunidade — para abrir o código, o desenvolvedor terá que avaliar as possíveis consequências legais. Além disso, o projeto de lei diminui a atratividade do processo aberto de desenvolvimento, uma vez que o trabalho é feito de forma visível e transparente para todos, e o código pode ser utilizado no processo de desenvolvimento, o que permite aplicar os requisitos da CRA durante o trabalho no produto, enquanto o software proprietário é desenvolvido a portas fechadas e fica sujeito à lei após o lançamento final.
Os desenvolvedores do Debian pedem para que o processo aberto de desenvolvimento seja completamente isento da CRA e que a lei se aplique apenas a produtos finais. Também é sugerido que os requisitos da CRA não sejam aplicados a produtos de empresários individuais e pequenas empresas, uma vez que não têm condições de atender a todas as exigências da CRA e ficariam forçados a fechar seus negócios.
A declaração também menciona a natureza duvidosa da exigência de transmissão de informações sobre problemas de segurança para a Agência Europeia de Segurança de Redes e Informação (ENISA) dentro de 24 horas após a identificação do problema ou recebimento de informações sobre a vulnerabilidade. Acumular informações sobre todas as vulnerabilidades ainda não corrigidas em um único lugar pode causar grandes problemas para todos os usuários em caso de vazamento de informações, transmissão de dados a serviços de inteligência ou comprometimento da ENISA.
Fonte: opennet.ru
