10 を超えるオープンソース業界団体が、 公開書簡を発行しました 欧州委員会 (EC) に、その提案の側面を再検討するよう求める サイバーレジリエンス法 (CRA) は、現在の形で実装された場合、オープン ソース ソフトウェア開発に「ぞっとする効果」があると述べています。
Eclipse Foundation、Linux Foundation Europe、Open Source Initiative (OSI) を含む 13 の組織も、サイバー レジリエンス法が「EU に不必要な経済的および技術的リスクをもたらす」と指摘しています。
この書簡の目的は、CRA が欧州議会を通過するにつれて、オープンソース コミュニティが CRA の進化においてより大きな発言権を獲得することであると思われます。
手紙には次のように書かれています。
私たちは、これまでのサイバー レジリエンス法の策定中に、より大きなオープン ソース コミュニティが過小評価されてきたことへの懸念を表明するために手紙を書き、私たちの支援を提供することによって、これが共同立法プロセス全体で是正されることを確実にしたいと考えています。 オープン ソース ソフトウェアは、ヨーロッパのデジタル要素を備えた製品に存在するソフトウェアの 70% 以上を占めています。 しかし、私たちのコミュニティは、共同議員との確立された関係の恩恵を受けていません。
私たちが生み出したソフトウェアやその他の技術的成果物は、デジタル主権と関連するさまざまなレベルでの経済的利益とともに、テクノロジー業界への貢献において前例のないものです。 CRA により、ヨーロッパのソフトウェアの 70% 以上が詳細な協議なしに規制されようとしています。
初期段階
9 月に草案が初めて発表されたサイバー レジリエンス法は、欧州連合で販売されるコネクテッド製品のサイバーセキュリティのベスト プラクティスを法制化することを目指しています。 この法律は、インターネット対応のおもちゃや「スマート」冷蔵庫の製造業者など、インターネットに接続されたハードウェアおよびソフトウェアの製造業者を強化して、自社製品が堅牢で、最新のセキュリティ アップデートで最新の状態に保たれるようにすることを目的としています。
違反に対する罰則には、最大 1,500 万ユーロ、または世界の売上高の 2.5% の罰金が含まれる場合があります。
サイバー レジリエンス法はまだ初期段階にあり、近い将来、実際の法律に移行する予定はありません。 すでに警鐘を鳴らしている オープンソースの世界で。 これは 推定 Web ブラウザーからサーバーに至るまで、最新のソフトウェア製品の 70 ～ 90% がオープン ソース コンポーネントで構成されていますが、多くのオープン ソース プロジェクトは、個人または小規模なチームによって空き時間に開発されています。 したがって、CRA の延長の意図は、 CEマーキング すべてのソフトウェア開発者が自分のソフトウェアが船型であることを証明しなければならないソフトウェアに対する自己認証システムは、新しい法律に違反することを恐れて、オープンソース開発を抑圧する可能性があります。
の 法案の起草 現状では、実際にこれらの懸念のいくつかに対処する方向に進んでいます。 それは言います（私たちのものを強調してください）：
イノベーションや研究を阻害しないために、 商業活動の過程以外で開発または提供されたフリーでオープンソースのソフトウェアは、 この規則の対象. これは特に、オープンに共有され、自由にアクセス可能で、使用可能、変更可能、再配布可能なソフトウェア (そのソース コードと変更されたバージョンを含む) に当てはまります。 ソフトウェアの文脈では、商業活動は、製品の価格を請求するだけでなく、技術サポート サービスの価格を請求すること、製造業者が他のサービスを収益化するソフトウェア プラットフォームを提供すること、または使用によって特徴付けられる場合があります。ソフトウェアのセキュリティ、互換性、または相互運用性を改善するためだけでなく、個人データの使用。
しかし、現状の言語は、オープンソースの世界から懸念を引き起こしています。 このテキストは、非商用のオープン ソース ソフトウェアをその範囲から除外しているように見えますが、「非商用」の意味を定義しようとするのは簡単なことではありません。 GitHub ポリシー ディレクターの Mike Linksvayer として 了解しました 先月のブログ投稿では、開発者は「さまざまな有料および無料のコンテキストでオープン ソースを作成および維持する」ことがよくあります。これには、企業、政府、非営利団体、学術機関などが含まれる場合があります。
「非営利組織は、オープンソース ソフトウェアのテクニカル サポートとして有料のコンサルティング サービスを提供しています」と Linksvayer 氏は書いています。 「そして、ますます多くの開発者は、彼らの努力に対してスポンサーシップ、助成金、およびその他の形の財政的支援を受けています。 これらのニュアンスには、オープン ソースに対する別の免除が必要です。」
つまり、すべては言語に帰着します — オープン ソース ソフトウェア開発者は、特定のコンポーネントを使用するダウンストリーム製品のセキュリティの失敗について責任を問われないことを明確にします。
「サイバーレジリエンス法は、完成品に焦点を当てることで改善できます」と Linksvayer 氏は付け加えました。 「オープンソース ソフトウェアが有料または収益化された製品として提供されていない場合、それは免除されるべきです。」
「冷え効果」
ヨーロッパで提案されている規制の数が増えていることは、オープン ソース ソフトウェアが繰り返し取り上げられるテーマであり、技術的展望全体に懸念を引き起こしています。 実際、CRA をめぐる問題は、認識されたリスクに基づいて AI アプリケーションを管理しようとする EU の次期 AI 法に直面している問題をいくらか連想させます。 GitHub の CEO である Thomas Dohke は最近、オープンソース ソフトウェアの開発者は、この法律が施行された場合、この法律の適用範囲から除外されるべきであると意見を述べました。テクノロジー企業。
サイバー レジリエンス法に関しては、オープン ソース ソフトウェア コミュニティからのメッセージは非常に明確です。彼らは自分たちの声が聞かれていないと感じており、提案された法律に変更が加えられなければ、大きなロングテール インパクトをもたらす可能性があります。
「私たちの声と専門知識が聞かれ、公的機関の決定を知らせる機会が与えられるべきです」と書簡には書かれています。 「もしCRAが実際に書かれた通りに実施されれば、それはグローバルな取り組みとしてのオープンソースソフトウェア開発に萎縮効果をもたらし、イノベーション、デジタル主権、将来の繁栄のためにEU自身が表明した目標を弱体化させるという最終的な影響をもたらすでしょう. 」
署名者の完全なリストには次のものが含まれます。 Linux Foundation ヨーロッパ; オープン ソース イニシアチブ (OSI); オープン フォーラム ヨーロッパ (OFE); Associaçāo de Empresas de Software Open Source Portuguesas (ESOP); CNLL; ドキュメント財団 (TDF); 欧州オープン ソース ソフトウェア ビジネス協会 (APELL); COSS – フィンランドのオープン システムおよびソリューション センター。 オープン ソース ビジネス アライアンス (OSBA); オープン システムとソリューション (COSS); OW2、およびソフトウェア ヘリテージ ファンデーション。