Resultaten frÄn den allmÀnna omröstningen (GR, allmÀn resolution) bland utvecklarna av Debian-projektet, som Àr involverade i paketunderhÄll och infrastruktur, har publicerats. Texten i ett uttalande som uttrycker projektets stÄndpunkt angÄende det föreslagna EU-lagförslaget Cyber Resilience Act (CRA) har godkÀnts. Lagförslaget introducerar ytterligare krav pÄ programvarutillverkare, inriktade pÄ att frÀmja sÀkerhetsunderhÄll, incidentrapporter och snabb ÄtgÀrd av sÄrbarheter under produktens livscykel.
Vid övertrÀdelse av kraven planeras böter som kan uppgÄ till 15 miljoner euro eller 2,5 % av företagets Ärliga omsÀttning. Efter att lagförslaget antagits kommer tillverkare att vara skyldiga att tillhandahÄlla medel för att leverera sÄrbarhetsfixar, genomföra bedömning av sÀkerhetsrisker innan produkten lanseras pÄ marknaden, utföra sÀkerhetstestning av produkten (för kritiska system införs obligatorisk extern granskning), ÄtgÀrda sÄrbarheter under hela livscykeln, samt rapportera om sÀkerhetsincidenter inom 24 timmar efter att ett problem upptÀckts.
Trots de framvÀxande tendenserna tyder det pÄ att lagförslaget endast kommer att pÄverka producenter av kommersiell programvara. Gemenskapen Àr orolig över dess negativa pÄverkan pÄ ekosystemet för öppen kÀllkod och ser lagförslaget som en faktor som hindrar frÀmjandet av öppna projekt och hindrar utvecklingen av öppen programvara som en internationell rörelse. Företag som utvecklar produkter baserat pÄ internationella öppna projekt eller anvÀnder öppna bibliotek kommer att hÄllas ansvariga för sÀkerhetsproblem och dÄlig hantering av sÄrbarheter i koden, Àven om den koden skrivits av entusiaster frÄn andra lÀnder. Det förutses att ytterligare affÀrsrisker kommer att minska attraktiviteten för att skapa programvara baserad pÄ öppen kÀllkod.
Samtidigt kan de juridiska konsekvenserna Àven pÄverka oberoende projekt som inkluderar kod frÄn tillverkare av kommersiella produkter. Till exempel uppstÄr osÀkerhet nÀr det gÀller ansvar i fall dÀr öppen kod som utvecklats av ett kommersiellt företag kan överföras till externa icke-vinstdrivande projekt och anvÀndas i Linux-distributioner.
Lagförslaget införde juridiskt ansvar för att inte följa sÀkerhetskrav, vilket strider mot Debians sociala Ätaganden att distribuera programvara för alla ÀndamÄl utan begrÀnsningar. Debian spÄrar inte koden kopplingar till kommersiella projekt, anstÀllningen av utvecklare och finansieringskÀllor för utvecklingarna som ingÄr i distributionen, sÄ införandet av de specifikationer som anges i lagförslaget ökar de juridiska riskerna vid anvÀndning av distributionen.
Det finns en risk att upstream-projekt slutar tillhandahĂ„lla sin kod pĂ„ grund av farhĂ„gor för att omfattas av CRA och tillĂ€mpningen av relaterade sanktionsavgifter. CRA kan Ă€ven leda till mer komplicerade processer för att överföra öppen kod till samhĂ€llet â för att öppna koden mĂ„ste utvecklaren bedöma möjliga juridiska konsekvenser. Dessutom minskar lagförslaget attraktiviteten för den öppna utvecklingsprocessen, eftersom arbetet sker öppet och transparent för alla, och koden kan anvĂ€ndas under utvecklingsprocessen, vilket möjliggör implementeringen av CRA-kraven under produktutvecklingen, medan proprietĂ€r programvara utvecklas bakom stĂ€ngda dörrar och omfattas av lagen efter den slutliga lanseringen.
Debian-utvecklare uppmanar att helt utesluta den öppna utvecklingsprocessen frÄn CRA:s tillÀmpning och att tillÀmpa lagen endast pÄ slutprodukter. Det föreslÄs Àven att CRA-kraven inte tillÀmpas pÄ produkter frÄn enskilda företag och smÄföretag, eftersom de inte har möjlighet att uppfylla alla krav som stÀlls av CRA, och de kommer att tvingas att stÀnga sin verksamhet.
I uttalandet nÀmns ocksÄ den tveksamma karaktÀren av kravet pÄ att överföra information om sÀkerhetsproblem till Europeiska byrÄn för nÀtverks- och informationssÀkerhet (ENISA) inom 24 timmar efter att problemet har upptÀckts eller information om sÄrbarhet har erhÄllits. Att samla information om alla Ànnu icke ÄtgÀrdade sÄrbarheter pÄ ett stÀlle kan leda till stora problem för alla anvÀndare i hÀndelse av datalÀckage, överföring av information till underrÀttelsetjÀnster eller kompromettering av ENISA.
KĂ€lla: opennet.ru
