Akt o kybernetické odolnosti – otevřený zdrojový kód

Jak ratingová agentura řeší bezplatný software s otevřeným zdrojovým kódem?

Ratingová agentura uznává, že v zájmu podpory vývoje a zavádění svobodného softwaru s otevřeným zdrojovým kódem by měla být zvláštní pozornost věnována povaze různých modelů vývoje softwaru distribuovaného a vyvíjeného na základě bezplatných softwarových licencí s otevřeným zdrojovým kódem.  

Proto do oblasti působnosti aktu o kybernetické odolnosti spadá pouze bezplatný software s otevřeným zdrojovým kódem, který je dodáván na trh, a je tedy dodáván k distribuci nebo použití v rámci obchodní činnosti. Zejména poskytování produktů s digitálními prvky považovaných za svobodný software s otevřeným zdrojovým kódem, které jejich výrobci nezpeněžují, by nemělo být považováno za obchodní činnost. Kromě toho se ratingová agentura nevztahuje na vývojáře, kteří přispívají zdrojovým kódem ke svobodnému softwaru s otevřeným zdrojovým kódem, za který nenesou odpovědnost.

Kromě toho se zavádí nová právní kategorie správců softwaru s otevřeným zdrojovým kódem, která uznává význam mnoha produktů s digitálními prvky kvalifikovaných jako bezplatný software s otevřeným zdrojovým kódem, které jsou zveřejňovány, ale nejsou dodávány na trh ve smyslu ratingové agentury, pro kybernetickou bezpečnost. Jedná se o právnické osoby, které trvale podporují vývoj takových produktů, které jsou určeny pro obchodní činnosti, hrají hlavní úlohu při zajišťování jejich životaschopnosti a podléhají nenáročnému a individuálně uzpůsobenému regulačnímu režimu.

Oddíl 3 pokynů Komise k ratingové agentuře poskytuje další vysvětlení, jak se ratingová agentura vztahuje na bezplatný software s otevřeným zdrojovým kódem.

Jaké jsou hlavní povinnosti?  

Uvádí-li výrobce na trh produkt s digitálními prvky, který je svobodným softwarem s otevřeným zdrojovým kódem, vztahují se na něj povinnosti výrobců.

Pokud je právnická osoba neuvádí na trh, ale trvale poskytuje systematickou podporu pro vývoj konkrétních produktů s digitálními prvky, které jsou považovány za svobodný software s otevřeným zdrojovým kódem a jsou určeny pro obchodní činnosti, a zajišťuje životaschopnost těchto produktů, vztahují se na ni povinnosti správců softwaru s otevřeným zdrojovým kódem.

Na správce softwaru s otevřeným zdrojovým kódem se vztahují povinnosti stanovené v článku 24, zejména zavedení politiky kybernetické bezpečnosti na podporu bezpečného vývoje a řešení zranitelných míst; spolupráce s orgány dozoru nad trhem; Oznamování aktivně zneužívaných zranitelností a závažných incidentů, které mají dopad na bezpečnost produktů s digitálními prvky. V souladu s čl. 64 odst. 10 nepodléhají správci softwaru s otevřeným zdrojovým kódem správním pokutám za porušení nařízení o ratingových agenturách.

Příslušné orgány pro spolupráci

Zástupci svobodného softwaru s otevřeným zdrojovým kódem jsou členy skupiny odborníků pro kybernetickou bezpečnost produktů s digitálními prvky (skupina odborníků CRA).

Referenční dokumenty a odkazy

Často kladené otázky o provádění ratingových agentur

Pokyny Komise k ratingové agentuře

Soukromé zdroje v komunitě s otevřeným zdrojovým kódem na podporu provádění ratingových agentur

Komunity s otevřeným zdrojovým kódem vyvinuly na ratingové agentuře řadu volně přístupných zdrojů. Jedná se o soukromé iniciativy a jsou uvedeny níže pouze pro informační účely. Komise nepodporuje ani nedoporučuje žádnou konkrétní iniciativu a nekontroluje přesnost informací uvedených v těchto externích odkazech. Neúplný seznam zahrnuje:

• OpenChain CRA Compliance Requirements & Kontrolní seznam
• Otevřená pracovní skupina pro dodržování právních předpisů (ORC) pro ratingovou agenturu
• Iniciativa s otevřeným zdrojovým kódem pracuje na harmonizovaných normách
• Kurz OpenSSF o ratingové agentuře

Komise neodpovídá za správnost informací uvedených ve výše uvedených odkazech; pokud si přejete uvést iniciativy nebo zdroje týkající se ratingové agentury, můžete se na nás obrátit.