Akt dotyczący cyberodporności – otwarte oprogramowanie

W jaki sposób agencja ratingowa zajmuje się wolnym i otwartym oprogramowaniem?

Agencja ratingowa uznaje, że w celu wspierania rozwoju i wdrażania wolnego i otwartego oprogramowania należy zwrócić szczególną uwagę na charakter różnych modeli rozwoju oprogramowania dystrybuowanego i rozwijanego na podstawie licencji na wolne i otwarte oprogramowanie.  

Dlatego też wyłącznie bezpłatne i otwarte oprogramowanie, które jest udostępniane na rynku, a zatem dostarczane do dystrybucji lub wykorzystywania w ramach działalności handlowej, wchodzi w zakres aktu dotyczącego cyberodporności. W szczególności dostarczanie produktów z elementami cyfrowymi kwalifikujących się jako wolne i otwarte oprogramowanie, które nie są spieniężane przez ich producentów, nie powinno być uznawane za działalność handlową. Ponadto CRA nie ma zastosowania do programistów, którzy przyczyniają się za pomocą kodu źródłowego do bezpłatnego i otwartego oprogramowania, za które nie są odpowiedzialni.

Ponadto, uznając znaczenie dla cyberbezpieczeństwa wielu produktów z elementami cyfrowymi kwalifikujących się jako wolne i otwarte oprogramowanie, które są publikowane, ale nie są udostępniane na rynku w rozumieniu agencji ratingowej, wprowadza się nową kategorię prawną zarządców otwartego oprogramowania. Są to osoby prawne, które stale wspierają rozwój takich produktów przeznaczonych do działalności handlowej i które odgrywają główną rolę w zapewnianiu ich rentowności oraz podlegają łagodnemu i dostosowanemu do potrzeb systemowi regulacyjnemu.

W sekcji 3 wytycznych Komisji dotyczących agencji ratingowej przedstawiono dalsze wyjaśnienia dotyczące sposobu, w jaki agencja ratingowa stosuje się do bezpłatnego i otwartego oprogramowania.

Jakie są główne obowiązki?  

W przypadku gdy producent wprowadza do obrotu produkt z elementami cyfrowymi, który jest wolnym i otwartym oprogramowaniem, podlega on obowiązkom producentów.

W przypadku gdy osoba prawna nie wprowadza ich do obrotu, ale zapewnia stałe systematyczne wsparcie w opracowywaniu konkretnych produktów z elementami cyfrowymi, kwalifikujących się jako wolne i otwarte oprogramowanie i przeznaczonych do działalności komercyjnej, oraz zapewnia rentowność tych produktów, podlega ona obowiązkom zarządców otwartego oprogramowania.

Opiekunowie otwartego oprogramowania podlegają obowiązkom określonym w art. 24, w szczególności w zakresie wprowadzenia polityki cyberbezpieczeństwa w celu wspierania bezpiecznego opracowywania podatności i postępowania z nimi; współpraca z organami nadzoru rynku; zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów mających wpływ na bezpieczeństwo produktów z elementami cyfrowymi.  Zgodnie z art. 64 ust. 10 zarządcy otwartego oprogramowania nie podlegają administracyjnym karom pieniężnym za naruszenia przepisów agencji ratingowej.

Odpowiednie organy współpracy

Przedstawiciele wolnego i otwartego oprogramowania są członkami grupy ekspertów ds. cyberbezpieczeństwa produktów z elementami cyfrowymi (grupa ekspertów ds. aktu o cyberbezpieczeństwie).

Dokumenty referencyjne i linki

Często zadawane pytania dotyczące wdrażania agencji ratingowych

Wytyczne Komisji dotyczące agencji ratingowej

Zasoby prywatne w społeczności open source w celu wsparcia wdrażania agencji ratingowych

Społeczności otwartego oprogramowania opracowały szereg swobodnie dostępnych zasobów na temat agencji ratingowych. Są to inicjatywy prywatne i są wymienione poniżej wyłącznie w celach informacyjnych. Komisja nie popiera ani nie zaleca żadnej konkretnej inicjatywy i nie sprawdza dokładności informacji zawartych w takich linkach zewnętrznych. Niewyczerpujący wykaz obejmuje:

• OpenChain CRA Compliance Requirements & Lista kontrolna
• Otwarta grupa robocza ds. zgodności regulacyjnej (ORC WG) ds. agencji ratingowych
• Prace w ramach inicjatywy otwartego oprogramowania nad normami zharmonizowanymi
• Kurs OpenSSF na temat agencji ratingowej

Komisja nie ponosi odpowiedzialności za dokładność informacji podanych w powyższych linkach; zachęcamy do skontaktowania się z Tobą, jeśli chcesz wymienić inicjatywy lub zasoby w agencji ratingowej.