Algemene resolutie: Verklaring over de EU-wetgeving "Verordening cyberweerbaarheid en Richtlijn productaansprakelijkheid"

Tijdslijn

Discussieperiode: 12-11-2023 03-12-2023
Stemperiode: Zaterdag 09-12-2023 00:00:00 UTC Vrijdag 22-12-2023 23:59:59 UTC

Indiener Voorstel A

Santiago Ruano Rincón [santiago@debian.org] [tekst van het origineel voorstel] [tekst van het gewijzigde voorstel] [definitieve tekst van het gewijzigde voorstel]

Steun Voorstel A

  1. Gunnar Wolf [gwolf@debian.org] [e-mailbericht]
  2. Mattia Rizzolo [mattia@debian.org] [e-mailbericht]
  3. Lisandro Damián Nicanor Pérez Meyer [lisandro@debian.org] [e-mailbericht]
  4. Nicolas Dandrimont [olasd@debian.org] [e-mailbericht]
  5. Simon Quigley [tsimonq2@debian.org] [e-mailbericht]
  6. Pierre-Elliott Bécue [peb@debian.org] [e-mailbericht]
  7. Emmanuel Arias [eamanu@debian.org] [e-mailbericht]

Voorstel A

Keuzemogelijkeid 1: De voorstellen inzake Verordening cyberweerbaarheid en Richtlijn productaansprakelijkheid bevatten regelgeving die nadelig is voor FOSS

Publieke verklaring van Debian over de EU Verordening cyberweerbaarheid en de Richtlijn productaansprakelijkheid

De Europese Unie bereidt momenteel een verordening voor "over horizontale cyberbeveiligingsvereisten voor producten met digitale elementen", bekend als de Verordening cyberweerbaarheid (Cyber ​​Resilience Act - CRA). De verordening bevindt zich momenteel in de laatste “trialoogfase” van het wetgevingsproces. De verordening bevat een reeks essentiële eisen voor fabrikanten op het gebied van cyberbeveiliging en het omgaan met kwetsbaarheden. Producten zullen vergezeld moeten gaan van informatie en instructies voor de gebruiker. Fabrikanten zullen risicobeoordelingen moeten uitvoeren en technische documentatie moeten produceren en, voor kritieke onderdelen, audits door derden moeten laten uitvoeren. Ontdekte beveiligingsproblemen moeten binnen 24 uur aan de Europese autoriteiten worden gemeld (1). De CRA zal worden opgevolgd door de Productaansprakelijkheidsrichtlijn (Product Liability Directive - PLD) die verplichte aansprakelijkheid voor software zal introduceren.

Hoewel veel van deze regels redelijk lijken, gelooft het Debian-project dat er ernstige problemen aan verbonden zijn voor vrijesoftwareprojecten. Daarom geeft het Debian project de volgende verklaring uit:

  1. Vrije Software is altijd een geschenk geweest, vrijelijk gegeven aan de maatschappij, om te nemen en te gebruiken naar eigen goeddunken, voor welk doel dan ook. Vrije Software heeft bewezen een aanwinst te zijn in ons digitale tijdperk en de voorgestelde EU Verordening cyberweerbaarheid zal daar afbreuk aan doen.
    1. Zoals het Debian Sociaal Contract stelt, is ons doel "het beste systeem te maken dat we kunnen, zodat vrije werken wijd en zijd zullen worden verspreid en gebruikt." Het opleggen van eisen zoals voorgesteld in de verordening maakt het juridisch gevaarlijk voor anderen om ons werk te verspreiden en brengt onze belofte in gevaar om "een geïntegreerd systeem van materiaal van hoge kwaliteit aan te bieden zonder wettelijke beperkingen die dergelijk gebruik van het systeem zouden verhinderen". (2)
    2. Weten of software commercieel is of niet is niet haalbaar, noch in Debian noch in de meeste vrije software projecten - we houden de arbeidsstatus of geschiedenis van mensen niet bij, noch controleren we wie bovenstroomse projecten financiert (de originele projecten die we integreren in ons besturingssysteem).
    3. Als bovenstroomse projecten stoppen met het beschikbaar stellen van hun code uit angst om in het bereik van CRA en de financiële gevolgen daarvan te komen, dan zal de beveiliging van systemen eerder slechter dan beter worden.
    4. Juridisch advies moeten inwinnen voordat men een gift doet aan de samenleving zal veel ontwikkelaars ontmoedigen, vooral degenen zonder een bedrijf of andere organisatie die hen steunt.
  2. Debian staat bekend om zijn beveiliging dankzij verantwoordelijke openbaarmaking en coördinatie met bovenstroomse ontwikkelaars en andere vrijesoftwareprojecten. We streven ernaar om de belofte na te komen die is gemaakt in het Debian Sociaal Contract: "We zullen problemen niet verbergen." (3)
    1. De vrijesoftwaregemeenschap heeft een verfijnd en beproefd systeem ontwikkeld van verantwoordelijke openbaarmaking in geval van beveiligingsproblemen, dat teniet wordt gedaan door de verplichte melding aan de Europese autoriteiten binnen 24 uur. (Art. 11 CRA).
    2. Debian besteedt veel tijd aan het vrijwillig oplossen van beveiligingsproblemen, biedt snelle beveiligingsupdates en werkt nauw samen met bovenstroomse projecten en in coördinatie met andere leveranciers. Om haar gebruikers te beschermen, neemt Debian regelmatig deel aan beperkte embargo's om oplossingen voor beveiligingsproblemen te coördineren, zodat alle andere grote Linux-distributies ook een complete oplossing kunnen bieden wanneer de kwetsbaarheid wordt bekendgemaakt.
    3. Het opsporen en verhelpen van beveiligingsproblemen is opzettelijk gedecentraliseerd en gedistribueerd. Het rapporteren van beveiligingsproblemen aan ENISA en de beoogde verspreiding naar andere autoriteiten en nationale overheden zou alle softwarekwetsbaarheden op één plaats verzamelen. Dit verhoogt het risico op het lekken van informatie over kwetsbaarheden naar kwaadwillende actoren, wat een bedreiging vormt voor alle gebruikers over de hele wereld, inclusief Europese burgers.
    4. Activisten gebruiken Debian (bijvoorbeeld via derivaten zoals Tails) onder andere om zichzelf te beschermen tegen autoritaire regeringen. Het aanreiken van vatbaarheden voor aanvallen aan kwaadwillende actoren waarmee ze deze kunnen gebruiken voor onderdrukking, is in strijd met waar Debian voor staat.
    5. Ontwikkelaars en bedrijven zullen beveiligingsproblemen bagatelliseren omdat een "beveiligingsprobleem" nu juridische implicaties met zich meebrengt. Minder duidelijkheid over wat echt een beveiligingsprobleem is, zal gebruikers schaden door ze kwetsbaar te maken.
  3. Terwijl propriëtaire software achter gesloten deuren wordt ontwikkeld, gebeurt de ontwikkeling van vrije software in het openbaar, transparant voor iedereen. Om gelijkwaardig te blijven met propriëtaire software moet het open ontwikkelingsproces volledig vrijgesteld zijn van de CRA-vereisten, net zoals de ontwikkeling van propriëtaire software. Een "beschikbaarstelling op de markt" kan pas worden overwogen nadat de ontwikkeling is afgerond en de software is vrijgegeven.
  4. Zelfs als enkel "commerciële activiteiten" onder het toepassingsgebied van CRA vallen, zal de vrijesoftwaregemeenschap - en bijgevolg iedereen - heel wat kleine projecten verliezen. CRA zal veel kleine bedrijven en waarschijnlijk alle zelfstandige ontwikkelaars uit de markt drukken omdat ze simpelweg niet kunnen voldoen aan de eisen die CRA oplegt. Debian en andere Linux-distributies zijn afhankelijk van hun werk. Als CRA ongewijzigd wordt geaccepteerd, zal het niet alleen een gevestigde gemeenschap ondermijnen, maar ook een bloeiende markt. CRA heeft een vrijstelling nodig voor kleine bedrijven en, op zijn minst, eenmansbedrijven.

Bronnen:

(1)
CRA-voorstellen en links
PLD-voorstellen en links

(2) Debian Sociaal Contract Nr. 2, 3 en 4

Indiener Voorstel B

Luca Boccassi [bluca@debian.org] [tekst van het voorstel]

Steun Voorstel B

  1. Aigars Mahinovs [aigarius@debian.org] [e-mailbericht]
  2. Chris Hofstaedtler [zeha@debian.org] [e-mailbericht]
  3. Lucas Nussbaum [lucas@debian.org] [e-mailbericht]
  4. Michael Biebl [biebl@debian.org] [e-mailbericht]
  5. Russ Allbery [rra@debian.org] [e-mailbericht]
  6. Holger Levsen [holger@debian.org] [e-mailbericht]

Voorstel B

Keuzemogelijkheid 2: de CRA- en PLD-voorstellen zouden alleen van toepassing mogen zijn op commerciële ondernemingen

Publieke verklaring van Debian over de EU Verordening cyberweerbaarheid en de Richtlijn productaansprakelijkheid

De Europese Unie bereidt momenteel een verordening voor "over horizontale cyberbeveiligingsvereisten voor producten met digitale elementen", bekend als de Verordening cyberweerbaarheid (Cyber ​​Resilience Act - CRA). De verordening bevindt zich momenteel in de laatste “trialoogfase” van het wetgevingsproces. De verordening bevat een reeks essentiële eisen voor fabrikanten op het gebied van cyberbeveiliging en het omgaan met kwetsbaarheden. Producten zullen vergezeld moeten gaan van informatie en instructies voor de gebruiker. Fabrikanten zullen risicobeoordelingen moeten uitvoeren en technische documentatie moeten produceren en, voor kritieke onderdelen, audits door derden moeten laten uitvoeren. Beveiligingsproblemen die actief worden geëxploiteerd, moeten binnen 24 uur aan de Europese autoriteiten worden gemeld (1). De Verordening cyberweerbaarheid (CRA) zal worden opgevolgd door een update van de bestaande Productaansprakelijkheidsrichtlijn (Product Liability Directive - PLD), die onder andere de eis zal introduceren dat producten op de markt die software gebruiken, updates moeten kunnen ontvangen om zwakke plekken in de beveiliging aan te pakken.

Gezien de huidige staat van de markt voor elektronica en computerapparatuur, met te veel onverantwoordelijke leveranciers die niet voldoende voorzorgsmaatregelen nemen om de veiligheid van hun producten te waarborgen en te handhaven, wat resulteert in ernstige problemen zoals de ransomware-plaag (die er onder andere voor heeft gezorgd dat openbare diensten ernstig werden belemmerd of volledig werden stilgelegd, in de Europese Unie en daarbuiten, ten koste van haar burgers), verwelkomt het Debian-project dit initiatief en steunt het de geest en bedoeling ervan.

Het Debian-project is van mening dat projecten van vrije en openbronsoftware zeer goed geplaatst zijn om te reageren op de moderne uitdagingen rond beveiliging en verantwoordelijkheid die deze regelgeving beoogt te verbeteren voor producten die gecommercialiseerd worden op de interne markt. Debian staat bekend om zijn beveiliging door verantwoordelijke openbaarmaking en coördinatie met bovenstroomse ontwikkelaars en andere projecten van vrije en openbronsoftware. Het project streeft ernaar om de belofte na te komen die is gemaakt in het Debian Sociaal Contract: "We zullen problemen niet verbergen." (2)

Het Debian-project verwelkomt de poging van de regelgevers om ervoor te zorgen dat de ontwikkeling van vrije en openbronsoftware niet negatief wordt beïnvloed door deze regelgeving, zoals duidelijk is aangegeven door de Europese Commissie in antwoord op verzoeken van belanghebbenden (1) en zoals vermeld in overweging 10 van de preambule van de CRA:

      'Om innovatie of onderzoek niet te belemmeren, dient vrije en openbronsoftware die buiten het kader van een commerciële activiteit wordt ontwikkeld of geleverd, niet onder deze verordening te vallen.'

Het Debian-project merkt echter op dat er niet in alle onderdelen van deze regelgeving genoeg nadruk is gelegd op een duidelijke vrijstelling voor ontwikkelaars en beheerders van vrije en openbronsoftware van dezelfde aansprakelijkheid als commerciële verkopers, wat voor onzekerheid en ongerustheid heeft gezorgd onder deze belanghebbenden.

Daarom vraagt het Debian-project aan de regelgevers om de tekst van deze regels te verbeteren zodat het zonder enige twijfel duidelijk is dat ontwikkelaars en bijdragers van vrije en openbronsoftware niet zullen worden behandeld als commerciële verkopers in de uitoefening van hun taken wanneer ze vrije en openbronsoftware ontwikkelen en publiceren, met speciale nadruk op het verduidelijken van grijze gebieden, zoals donaties, bijdragen van commerciële bedrijven en het ontwikkelen van vrije en openbronsoftware die later kan worden gecommercialiseerd door een commerciële verkoper. Het is van fundamenteel belang voor de belangen van de Europese Unie zelf dat de ontwikkeling van vrije en openbronsoftware kan blijven gedijen en hoogwaardige softwarecomponenten, toepassingen en besturingssystemen kan blijven opleveren. Dit kan alleen gebeuren als ontwikkelaars en bijdragers van vrije en openbronsoftware aan deze projecten kunnen blijven werken zoals ze dat deden vóór deze nieuwe regelgeving, met name maar niet uitsluitend in de context van non-profitorganisaties, zonder dat ze worden gehinderd door wettelijke vereisten die alleen geschikt zijn voor commerciële bedrijven en ondernemingen.

Bronnen:

(1)
CRA-voorstellen en links
PLD-voorstellen en links
Antwoord van de Europese Commissie op een vraag van het Europees Parlement over zijn bewustzijn van FOSS

(2) Debian Sociaal Contract Nr. 2, 3 en 4

Indiener Voorstel C

Bart Martens [bartm@debian.org] [tekst van het voorstel]

Steun Voorstel C

  1. ChangZhuo Chen (陳昌倬) [czchen@debian.org] [e-mailbericht]
  2. Paul Wise [pabs@debian.org] [e-mailbericht]
  3. Simon Richter [sjr@debian.org] [e-mailbericht]
  4. Laura Arjona Reina [larjona@debian.org] [e-mailbericht]
  5. Holger Levsen [holger@debian.org] [e-mailbericht]

Voorstel C

Keuzemogelijkheid 3: De EU zou DFSG 6 en FOSS-licenties niet terzijde mogen schuiven

Publieke verklaring van Debian over de EU Verordening cyberweerbaarheid (Cyber Resilience Act - CRA) en de Richtlijn productaansprakelijkheid (Product Liability Directive - PLD)

De CRA bevat eisen voor fabrikanten van software, gevolgd door de PLD met verplichte aansprakelijkheid voor software. Het Debian-project maakt zich zorgen over de impact ervan op vrije en openbronsoftware (Free and Open-Source Software - FOSS).

De CRA maakt het gebruik van FOSS in commerciële contexten moeilijker. Dit gaat in tegen de filosofie van het Debian-project. In de Debian Richtlijnen voor Vrije Software (Debian Free Software Guidelines - DFSG) staat: "6. Geen discriminatie tegen vakgebieden - De licentie mag niemand beperken in het gebruik van het programma in een specifiek vakgebied." Een belangrijk onderdeel van het succes van FOSS is het gebruik ervan in commerciële contexten. Het moet voor iedereen mogelijk blijven om FOSS te produceren, publiceren en gebruiken, zonder het moeilijker te maken voor commerciële entiteiten of voor welke groep FOSS-gebruikers dan ook.

De verplichte aansprakelijkheid zoals bedoeld in de PLD schuift de gebruikelijke aansprakelijkheidsclausules in FOSS-licenties terzijde. Dit maakt het delen van FOSS met het publiek juridisch riskanter. De verplichte aansprakelijkheid is zinvol voor gelsotenbronsoftware, waarbij de gebruikers volledig afhankelijk zijn van de fabrikanten. Met FOSS hebben gebruikers de mogelijkheid om zichzelf te helpen met de broncode en/of een consultant op de markt in te huren. De gebruikelijke aansprakelijkheidsclausules in FOSS-licenties zouden geldig moeten blijven zonder het risico te lopen door de PLD te worden terzijde geschoven.

Het Debian-project vraagt de EU om geen grens te trekken tussen commercieel en niet-commercieel gebruik van FOSS. In plaats daarvan zou er een grens moeten zijn tussen geslotenbronsoftware en FOSS. FOSS zou volledig vrijgesteld moeten zijn van de CRA en de PLD.

Quorum

Met de huidige lijst van stemgerechtigde ontwikkelaars hebben we: 

 Huidig aantal ontwikkelaars = 1004
 Q ( sqrt(#ontwikkelaars) / 2 ) = 15.8429795177549
 K min(5, Q )           = 5
 Quorum  (3 x Q )       = 47.5289385532646

Quorum

Data en Statistieken

Voor deze GR worden, zoals altijd, periodiek statistieken verzameld over ontvangen stembiljetten en verzonden ontvangstbevestigingen tijdens de stemperiode. Bovendien wordt de lijst van stemmers geregistreerd. Ook zal de scoretabel ter inzage worden gelegd.

Meerderheidsvereiste

Alle voorstellen vereisen een gewone meerderheid.

Meerderheid

Uitslag

Grafische weergave van de resultaten

In de bovenstaande grafiek duiden alle roze gekleurde knooppunten erop dat de optie de meerderheid niet heeft gehaald, het blauwe geeft de winnaar aan. Een achthoek wordt gebruikt voor de opties die het niet haalden van de standaard.

In de volgende tabel geeft het vak[rij x][kol y] weer hoeveel keer optie x verkozen werd boven optie y. Een meer gedetailleerde uitleg over de vergelijkingsmatrix kan helpen om de tabel te begrijpen. Om inzicht te krijgen in de Condorcet-methode, is het Wikipedia-artikel redelijk leerzaam.

De vergelijkingsmatrix
 Optie
  1 2 3 4
Optie 1   72 71 121
Optie 2 67   73 119
Optie 3 58 64   114
Optie 4 35 32 39  

Bekijken we rij 2, kolom 1, dan blijkt dat De voorstellen voor CRA en PLD zouden alleen van toepassing mogen zijn op commerciële ondernemingen
67 keer verkozen werd boven De voorstellen voor CRA en PLD bevatten regelgeving die nadelig is voor FOSS

Bekijken we rij 1, kolom 2, dan blijkt dat De voorstellen voor CRA en PLD bevatten regelgeving die nadelig is voor FOSS
72 keer verkozen werd boven De voorstellen voor CRA en PLD zouden alleen van toepassing mogen zijn op commerciële ondernemingen.

Paarsgewijze vergelijking

De Schwartz-verzameling bevat

De winnaars

Debian gebruikt de Condorcet-methode bij stemmingen. Simpel gesteld kan de gewone Condorcet-methode als volgt worden uitgedrukt:
Bekijk alle mogelijke wedlopen in twee richtingen tussen kandidaten. De Condorcet-winnaar, als er een is, is de kandidaat die elke andere kandidaat kan verslaan in een wedloop met die kandidaat in de twee richtingen. Het probleem is dat er bij complexe verkiezingen wel eens sprake kan zijn van een circulaire relatie waarin A B verslaat, B C verslaat en C A verslaat. De meeste variaties op Condorcet gebruiken verschillende manieren om deze onbesliste stand op te lossen. Zie de methode van het kloonbestendig sequentieel uitrangeren in een Schwartz-verzameling voor details. De variatie die Debian gebruikt wordt beschreven in de statuten, meer bepaald in sectie A.5.

Debian-projectsecretaris