Verordening cyberweerbaarheid – open source

Hoe pakt het CRA gratis en open-source software aan?

Het RB erkent dat, om de ontwikkeling en uitrol van vrije en opensourcesoftware te bevorderen, bijzondere aandacht moet worden besteed aan de aard van de verschillende ontwikkelingsmodellen van software die wordt gedistribueerd en ontwikkeld in het kader van vrije en opensourcesoftwarelicenties.  

Daarom valt alleen vrije en opensourcesoftware die op de markt wordt aangeboden en dus wordt geleverd voor distributie of gebruik in het kader van een commerciële activiteit, binnen het toepassingsgebied van de verordening cyberweerbaarheid. Met name het aanbieden van producten met digitale elementen die als vrije en opensourcesoftware worden aangemerkt en die door de fabrikanten ervan niet in geld worden uitgedrukt, mag niet als een commerciële activiteit worden beschouwd. Bovendien is het CRA niet van toepassing op ontwikkelaars die met broncode bijdragen aan vrije en opensourcesoftware die niet onder hun verantwoordelijkheid valt.

Voorts wordt de nieuwe juridische categorie van opensourcesoftwarestewards ingevoerd, waarbij het belang voor de cyberbeveiliging wordt erkend van veel producten met digitale elementen die als vrije en opensourcesoftware worden aangemerkt en die worden gepubliceerd, maar niet op de markt worden aangeboden in de zin van het ratingbureau. Dit zijn rechtspersonen die op duurzame basis steun verlenen voor de ontwikkeling van dergelijke producten die bestemd zijn voor commerciële activiteiten en die een belangrijke rol spelen bij het waarborgen van hun levensvatbaarheid, en die onderworpen zijn aan een licht en op maat gemaakt regelgevingsstelsel.

In deel 3 van de richtsnoeren van de Commissie over het ratingbureau wordt nader toegelicht hoe het ratingbureau van toepassing is op vrije en opensourcesoftware.

Wat zijn de belangrijkste verplichtingen?  

Wanneer een fabrikant een product met digitale elementen in de handel brengt dat vrije en opensourcesoftware is, is hij onderworpen aan de verplichtingen van fabrikanten.

Wanneer een rechtspersoon deze producten niet in de handel brengt, maar op duurzame basis systematische ondersteuning biedt voor de ontwikkeling van specifieke producten met digitale elementen die als vrije en opensourcesoftware worden aangemerkt en bestemd zijn voor commerciële activiteiten, en de levensvatbaarheid van die producten waarborgt, is hij onderworpen aan de verplichtingen van beheerders van opensourcesoftware.

Opensourcesoftwarestewards zijn onderworpen aan de verplichtingen van artikel 24, met name het invoeren van een cyberbeveiligingsbeleid om de veilige ontwikkeling en behandeling van kwetsbaarheden te bevorderen; samenwerken met markttoezichtautoriteiten; het melden van actief uitgebuite kwetsbaarheden en ernstige incidenten die gevolgen hebben voor de beveiliging van producten met digitale elementen. Overeenkomstig artikel 64, lid 10, zijn opensourcesoftwarestewards niet onderworpen aan administratieve boetes voor inbreuken op het ratingbureau.

Relevante samenwerkingsorganen

Vertegenwoordigers van vrije en opensourcesoftware zijn lid van de deskundigengroep voor de cyberbeveiliging van producten met digitale elementen (CRA-deskundigengroep).

Referentiedocumenten en links

Veelgestelde vragen over de uitvoering van ratingbureaus

Richtsnoeren van de Commissie inzake het ratingbureau

Particuliere middelen in de opensourcegemeenschap ter ondersteuning van de uitvoering van ratingbureaus

Opensourcegemeenschappen hebben een reeks vrij toegankelijke bronnen op het CRA ontwikkeld. Dit zijn privé-initiatieven en worden hieronder alleen ter informatie vermeld. De Commissie onderschrijft of beveelt geen specifiek initiatief aan en controleert niet de juistheid van de informatie die in dergelijke externe links wordt verstrekt. Een niet-uitputtende lijst omvat:

• OpenChain CRA Compliance Requirements & Checklist
• De Open Regulatory Compliance Working Group (ORC WG) over de CRA
• Het Open Source Initiative werkt aan geharmoniseerde normen
• De OpenSSF-cursus over het CRA

De Commissie is niet verantwoordelijk voor de juistheid van de informatie die in de bovenstaande links wordt verstrekt; u wordt uitgenodigd om contact met ons op te nemen als u initiatieven of middelen op het CRA wilt vermelden.