Les législateurs de l’UE finalisent les règles de cybersécurité qui ont paniqué les développeurs open source.

Le Parlement européen et le Conseil ont finalement trouvé un accord sur la proposition de règlement sur la cybersécurité (CRA), mettant ainsi fin aux négociations et ouvrant la voie à une adoption définitive du texte, accompagnée de nouvelles règles exemptant les logiciels libres. La CRA avait été proposée par la Commission européenne en septembre 2022 et imposait des exigences de cybersécurité obligatoires pour tous les produits matériels et logiciels, des moniteurs pour bébés aux routeurs, comme l’a déclaré la Commission européenne. Une fois en vigueur, ce qui aura lieu 20 jours après son adoption par le Parlement et le Conseil, la CRA exigera des fabricants de matériel et de logiciel de respecter des objectifs intimidants. La règle prévoit notamment un délai de 24 heures pour toute nouvelle faille de sécurité activement exploitée, cinq ans de support pour les correctifs de sécurité, une documentation complète de toutes les fonctionnalités de sécurité, etc. Les fabricants, importateurs et distributeurs auront 36 mois pour se conformer aux exigences, sous peine de sanctions pouvant aller jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel. Si une meilleure sécurité est toujours une bonne chose, des inquiétudes ont été exprimées quant aux effets potentiels que la CRA pourrait avoir sur les logiciels libres, souvent maintenus par peu de personnes en raison de leur importance pour les produits plus importants. Les mainteneurs de logiciels libres pourraient avoir du mal à respecter les délais brefs imposés pour les correctifs, la documentation et la divulgation.