Regulamentul privind reziliența cibernetică – sursă deschisă

Cum abordează CRA software-ul gratuit și cu sursă deschisă?

Agenția de rating de credit recunoaște că, pentru a încuraja dezvoltarea și implementarea de software liber și cu sursă deschisă, ar trebui să se acorde o atenție deosebită naturii diferitelor modele de dezvoltare a software-ului distribuit și dezvoltat în cadrul licențelor pentru software liber și cu sursă deschisă.  

Acesta este motivul pentru care numai software-ul gratuit și cu sursă deschisă care este pus la dispoziție pe piață și, prin urmare, furnizat pentru distribuție sau utilizare în cursul unei activități comerciale intră în domeniul de aplicare al Regulamentului privind reziliența cibernetică. În special, furnizarea de produse cu elemente digitale care se califică drept software gratuit și cu sursă deschisă și care nu sunt monetizate de producătorii lor nu ar trebui să fie considerată o activitate comercială. În plus, CRA nu se aplică dezvoltatorilor care contribuie cu cod sursă la software-uri gratuite și cu sursă deschisă care nu se află sub responsabilitatea lor.

În plus, recunoscând importanța pentru securitatea cibernetică a multor produse cu elemente digitale care se califică drept software liber și cu sursă deschisă și care sunt publicate, dar nu sunt puse la dispoziție pe piață în sensul ARC, se introduce noua categorie juridică de administratori de software cu sursă deschisă. Acestea sunt persoane juridice care oferă sprijin susținut pentru dezvoltarea unor astfel de produse destinate activităților comerciale și care joacă un rol principal în asigurarea viabilității lor și fac obiectul unui regim de reglementare ușor și adaptat.

Secțiunea 3 din orientările Comisiei privind agențiile de rating de credit oferă explicații suplimentare cu privire la modul în care agențiile de rating de credit se aplică programelor informatice gratuite și cu sursă deschisă.

Care sunt principalele obligații?  

În cazul în care un producător introduce pe piață un produs cu elemente digitale care este un software gratuit și cu sursă deschisă, acesta este supus obligațiilor producătorilor.

În cazul în care o persoană juridică nu le introduce pe piață, dar oferă sprijin sistematic și susținut pentru dezvoltarea unor produse specifice cu elemente digitale, care se califică drept software liber și cu sursă deschisă și sunt destinate activităților comerciale, și asigură viabilitatea produselor respective, aceasta este supusă obligațiilor administratorilor de software cu sursă deschisă.

Administratorii de software cu sursă deschisă fac obiectul obligațiilor prevăzute la articolul 24, în special instituirea unei politici de securitate cibernetică pentru a promova dezvoltarea și gestionarea în condiții de siguranță a vulnerabilităților; cooperarea cu autoritățile de supraveghere a pieței; raportarea vulnerabilităților exploatate activ și a incidentelor grave care au un impact asupra securității produselor cu elemente digitale. În conformitate cu articolul 64 alineatul (10), administratorii de software cu sursă deschisă nu fac obiectul unor amenzi administrative pentru încălcări ale CRA.

Organismele de cooperare relevante

Reprezentantul software-ului liber și cu sursă deschisă este membru al Grupului de experți privind securitatea cibernetică a produselor cu elemente digitale (Grupul de experți CRA).

Documente de referință și linkuri

Întrebări frecvente privind punerea în aplicare a CRA

Orientările Comisiei privind agențiile de rating de credit

Resurse private în comunitatea cu sursă deschisă pentru a sprijini punerea în aplicare a agențiilor de rating de credit

Comunitățile cu sursă deschisă au dezvoltat o serie de resurse accesibile în mod liber cu privire la agențiile de rating de credit. Acestea sunt inițiative private și sunt enumerate mai jos doar în scop informativ. Comisia nu aprobă și nu recomandă nicio inițiativă specifică și nu verifică exactitatea informațiilor furnizate în astfel de linkuri externe. O listă neexhaustivă include:

• OpenChain CRA Cerințe de conformitate & Listă de verificare
• Grupul de lucru deschis privind conformitatea cu reglementările (GL ORC) privind agențiile de rating de credit
• Inițiativa privind sursele deschise lucrează la standarde armonizate
• Cursul OpenSSF pe CRA

Comisia nu este responsabilă pentru exactitatea informațiilor furnizate în linkurile de mai sus; vă invităm să luați legătura dacă doriți să includeți inițiative sau resurse în lista agențiilor de rating de credit.