CRA e lë shumicën e open source software pa CE mark

CRA e lë shumicën e open source software pa CE mark, duke kufizuar masën në të cilën operatorët DNS dhe organizatat e tjera mund të mbështeten te kjo shenjë kur dëshmojnë sigurinë e supply chain. NLnet Labs thotë se ligji i Bashkimit Evropian i lë kryesisht jashtë fushës së tij kontributet e individëve, ndërsa u ngarkon përgjegjësi të ndryshme prodhuesve komercialë dhe organizatave jofitimprurëse me statusin Open-Source Software Steward.

Cyber Resilience Act (CRA) është një ligj i BE-së që rregullon hardware dhe software të vendosura në tregun evropian. Në një artikull të datës 20 tetor 2026, NLnet Labs tha se grupi i parë i detyrimeve të raportimit kishte hyrë në fuqi pak më shumë se një muaj më parë për Manufacturers, termi që ligji përdor për prodhuesit komercialë të hardware dhe software. Nga 12 dhjetori 2027, do të rregullohen të gjitha produktet e mbuluara që synohen për tregun e BE-së.

Ligji përfundimtar u negociua nga shtetet anëtare të BE-së në Këshill dhe nga Parlamenti Evropian, mbi bazën e një propozimi të Komisionit Evropian. NLnet Labs tha se punoi me të tria institucionet pasi propozimi u paraqit në vitin 2022, duke u përqendruar te mënyra se si legjislacioni do ta trajtonte open source software, domethënë software, kodi i të cilit mund të kontrollohet, ndryshohet dhe ndahet sipas licencës së tij.

Sipas organizatës, teksti i negociuar kërkon që Manufacturers që integrojnë software në produktet e tyre t’i dërgojnë korrigjimet e sigurisë upstream, domethënë te projektet dhe mirëmbajtësit nga të cilët e ka origjinën software. Ai përcaktoi gjithashtu kufij më të hollësishëm për free and open source software. Manufacturers që shesin open source software në klasën e produkteve “të rëndësishme” të CRA mund ta vlerësojnë vetë përputhshmërinë e tyre, në vend që të marrin një vlerësim nga një palë e tretë e pavarur.

Për kontribuuesit, interpretimi i NLnet Labs është i drejtpërdrejtë: shumica e open source software është jashtë fushës së CRA. Personat që kontribuojnë me kod në projektet e saj nuk marrin detyrime sipas CRA vetëm sepse e bëjnë këtë, përfshirë rastet kur kontributi bëhet si pjesë e punësimit të tyre. Për këdo që ka nevojë për hollësitë ligjore, organizata rekomandon që të fillojë me udhëzimet e Komisionit Evropian për CRA mbi open source software. Në veçanti, ajo i drejton lexuesit te diagrami i rrjedhës në fund të Seksionit 3, përpara se të vazhdojnë me 14 faqet e atij seksioni.

Situata ndryshon kur një kompani përfshin open source software në një produkt komercial që shitet në BE. CRA i ngarkon atij Manufacturer një detyrim për due diligence, duke i kërkuar të shqyrtojë dhe të menaxhojë rreziqet përkatëse. Puna bëhet më kërkuese kur një komponent open source mban një ngarkesë kritike operacionale ose kryen një funksion të ndjeshëm për sigurinë, në vend që të jetë një varësi e vogël që mund të shqyrtohet vetëm përmes kontrolleve të automatizuara.

NLnet Labs thotë se software i saj përdoret shpesh në këto role të rëndësishme. Ajo ofron mbështetje profesionale për t’i ndihmuar kompanitë integruese të kryejnë due diligence, ndërsa të ardhurat që krijohen kontribuojnë në mirëmbajtjen afatgjatë. Ky është përshkrimi që organizata i bën modelit të vet të mbështetjes, jo një përjashtim nga përgjegjësitë ligjore të Manufacturer.

Organizatat jofitimprurëse që zhvillojnë dhe publikojnë open source software përfshihen në një pjesë tjetër të CRA. NLnet Labs e identifikon veten si një Open-Source Software Steward dhe ka dokumentuar se cilat projekte i konsideron nën stewardship-in e saj, së bashku me detyrimet përkatëse. Ky status nuk mbulon të gjithë punën e saj. Projektet kërkimore që nuk janë synuar kurrë për veprimtari komerciale dhe projektet e shpallura end of life nuk krijojnë ose nuk mbartin më detyrime të tilla për organizatën.

Ky dallim ka rëndësi për operatorët që mbulohen nga NIS2, kuadri i BE-së për sigurinë kibernetike që u ngarkon detyrime për sigurinë e supply chain organizatave ku përfshihen operatorët DNS, regjistrat top-level domain (TLD) dhe Internet Exchanges. Një regjistër TLD operon një mbaresë domain-i, siç është një prapashtesë shtetërore ose e përgjithshme, ndërsa një Internet Exchange është infrastrukturë përmes së cilës rrjete të veçanta shkëmbejnë trafik. CRA synon t’i bëjë më të lehta këto vlerësime, duke lejuar që një CE mark të dallojë produktet që përmbushin kërkesat e BE-së për sigurinë e produkteve nga ato që nuk i përmbushin.

Megjithatë, NLnet Labs vëren se, përveç disa përjashtimeve, shumica e open source software në supply chain të një operatori nuk do të ketë CE mark. Projektet e mirëmbajtura nga individë janë jashtë fushës së CRA, ndaj këta mirëmbajtës nuk mund ta vendosin CE mark. Software i mbështetur nga një Open-Source Software Steward jofitimprurës përfshihet në një regjim të CRA, por as ky steward nuk mund t’i vendosë CE mark. Sipas organizatës, i vetmi open source software që mund ta mbajë këtë shenjë është free and open source software (FOSS) i shitur nga një Manufacturer. Ai Manufacturer mund të mos jetë upstream maintainer i projektit dhe produkte të tilla ka të ngjarë të përfaqësojnë vetëm një pjesë të vogël të FOSS në supply chain të një operatori.

Prandaj, operatorëve do t’u nevojiten prova të tjera se po i menaxhojnë me përgjegjësi varësitë e tyre. NLnet Labs paralajmëron se zgjedhja e një alternative me CE mark vetëm sepse software i parapëlqyer është open source do të ishte një rezultat i dobët, veçanërisht nëse kjo nënkupton heqjen dorë nga një software më i mirë. Organizata argumenton se modeli i stewardship i CRA mund t’i ndihmojë organizatat të dëshmojnë mirëmbajtje të përgjegjshme ndërsa zhvillohet trajtimi rregullator i NIS2.

Ky model e bashkon financimin përmes organizatave steward që mbështesin mirëmbajtësit, në vend që t’i kërkojë çdo operatori të krijojë një marrëdhënie të veçantë. Open source u lejon gjithashtu operatorëve të zhvillojnë ekspertizën e tyre për diagnostikimin e problemeve të supply chain. Organizatat që nuk e bëjnë këtë investim të brendshëm mund të marrin mbështetje të specializuar. Udhëzimet e Agjencisë së Bashkimit Evropian për Sigurinë Kibernetike (ENISA) thonë se kontratat e mbështetjes duhet të trajtojnë të gjithë ciklin jetësor të sistemit, duke përfshirë menaxhimin e vjetërsimit dhe datën deri në të cilën do të vazhdojë mbështetja.

Për organizatat që vendosin si ta menaxhojnë këtë punë, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë në plan të parë, një mundësi e përshtatshme kur nevojitet ndihmë teknike nga jashtë.

Mesazhi praktik është se mungesa e një CE mark nuk tregon në vetvete se një komponent open source është i pasigurt ose pa mbështetje. Operatorët DNS, bizneset e website-ve dhe ekipet IT duhet ende të identifikojnë se kush e mirëmban çdo komponent të rëndësishëm, të dokumentojnë si mbërrijnë korrigjimet, të përcaktojnë sa gjatë do të vazhdojë mbështetja dhe të ruajnë prova se software supply chain e tyre po menaxhohet në mënyrë aktive.