Foram publicados os resultados da vota\u00e7\u00e3o geral (GR, resolu\u00e7\u00e3o geral) dos desenvolvedores do projeto Debian, que participam do suporte a pacotes e da manuten\u00e7\u00e3o da infraestrutura, onde o texto da declara\u00e7\u00e3o foi aprovado, expressando a posi\u00e7\u00e3o do projeto em rela\u00e7\u00e3o ao projeto de lei Cyber Resilience Act (CRA), promovido na Uni\u00e3o Europeia. O projeto de lei introduz requisitos adicionais para fabricantes de software, visando estimular a manuten\u00e7\u00e3o da seguran\u00e7a, a divulga\u00e7\u00e3o de informa\u00e7\u00f5es sobre incidentes e a r\u00e1pida corre\u00e7\u00e3o de vulnerabilidades durante o ciclo de vida do produto. <\/p>\n
Em caso de viola\u00e7\u00e3o das exig\u00eancias, prev\u00ea-se a aplica\u00e7\u00e3o de multas que podem chegar a 15 milh\u00f5es de euros ou 2,5% do faturamento anual da empresa. Ap\u00f3s a aprova\u00e7\u00e3o do projeto de lei, os fabricantes estar\u00e3o obrigados a fornecer meios para a entrega de corre\u00e7\u00f5es de vulnerabilidades, realizar a avalia\u00e7\u00e3o dos riscos relacionados \u00e0 seguran\u00e7a antes de colocar o produto no mercado, realizar testes de seguran\u00e7a do produto (para sistemas cr\u00edticos, ser\u00e1 exigida uma auditoria externa obrigat\u00f3ria), corrigir vulnerabilidades ao longo de todo o ciclo de vida e reportar informa\u00e7\u00f5es sobre incidentes de seguran\u00e7a dentro de 24 horas ap\u00f3s a detec\u00e7\u00e3o do problema. <\/p>\n
Apesar das tend\u00eancias observadas, que indicam que o projeto de lei afetar\u00e1 apenas fabricantes de software comercial, a comunidade est\u00e1 preocupada com seu impacto negativo sobre o ecossistema de desenvolvimento de software livre e v\u00ea o projeto como um fator que inibe a promo\u00e7\u00e3o de projetos abertos e dificulta o desenvolvimento de software livre como um movimento internacional. As empresas que desenvolvem produtos com base em projetos internacionais abertos ou utilizam bibliotecas abertas ser\u00e3o respons\u00e1veis por problemas de seguran\u00e7a e pela inadequada corre\u00e7\u00e3o de vulnerabilidades no c\u00f3digo, mesmo que esse c\u00f3digo tenha sido escrito por entusiastas de outros pa\u00edses. Espera-se que a apari\u00e7\u00e3o de riscos adicionais para os neg\u00f3cios diminua a atratividade de criar software baseado em c\u00f3digo aberto. <\/p>\n
Ao mesmo tempo, as consequ\u00eancias legais podem afetar tamb\u00e9m projetos independentes que incluem c\u00f3digo de fabricantes de produtos comerciais. Por exemplo, surge incerteza em termos de responsabilidade quando o c\u00f3digo aberto desenvolvido por uma empresa comercial pode ser transferido para projetos n\u00e3o comerciais de terceiros e utilizado em distribui\u00e7\u00f5es Linux. <\/p>\n
O projeto de lei introduz responsabilidade legal por n\u00e3o cumprimento dos requisitos de seguran\u00e7a, o que conflita com os compromissos sociais do Debian de distribuir software para quaisquer fins e sem restri\u00e7\u00f5es. O Debian n\u00e3o rastreia a participa\u00e7\u00e3o do c\u00f3digo em projetos comerciais, a contrata\u00e7\u00e3o de desenvolvedores e as fontes de financiamento para desenvolvimentos fornecidos na distribui\u00e7\u00e3o, portanto, a imposi\u00e7\u00e3o dos requisitos mencionados no projeto de lei aumenta os riscos legais ao usar a distribui\u00e7\u00e3o. <\/p>\n
H\u00e1 um risco de que projetos upstream deixem de fornecer seu c\u00f3digo devido a preocupa\u00e7\u00f5es em cair sob a jurisdi\u00e7\u00e3o da CRA e a aplica\u00e7\u00e3o das san\u00e7\u00f5es relacionadas. A CRA tamb\u00e9m pode complicar os processos de transfer\u00eancia para a comunidade de c\u00f3digo aberto \u2014 para abrir o c\u00f3digo, o desenvolvedor ter\u00e1 que avaliar as poss\u00edveis consequ\u00eancias legais. Al\u00e9m disso, o projeto de lei diminui a atratividade do processo de desenvolvimento aberto, pois o trabalho \u00e9 feito \u00e0 vista e de forma transparente para todos, e o c\u00f3digo pode ser utilizado durante o desenvolvimento, permitindo a aplica\u00e7\u00e3o dos requisitos da CRA durante o trabalho no produto, enquanto o software propriet\u00e1rio \u00e9 desenvolvido a portas fechadas e est\u00e1 sujeito \u00e0 lei ap\u00f3s o lan\u00e7amento final. <\/p>\n
Os desenvolvedores do Debian pedem para que o processo aberto de desenvolvimento seja completamente isento da CRA e que a lei se aplique apenas a produtos finais. Tamb\u00e9m \u00e9 sugerido que os requisitos da CRA n\u00e3o sejam aplicados a produtos de empres\u00e1rios individuais e pequenas empresas, uma vez que n\u00e3o t\u00eam condi\u00e7\u00f5es de atender a todas as exig\u00eancias da CRA e ficariam for\u00e7ados a fechar seus neg\u00f3cios. <\/p>\n