Les législateurs de l’UE finalisent des règles de cybersécurité qui ont paniqué les développeurs open source.

Le Parlement européen et le Conseil ont finalement trouvé un accord sur la Cyber-résilience Act (CRA), mettant ainsi fin au long processus de réglementation de la sécurité, ainsi qu’avec de nouvelles règles exemptant les logiciels open source. La CRA avait été proposée par la Commission européenne en septembre 2022 et impose des exigences de sécurité en matière de cybersécurité aux fabricants de matériel et de logiciels, des moniteurs pour bébés aux routeurs, comme l’a déclaré la Commission européenne. Une fois en vigueur, 20 jours après son adoption par le Parlement et le Conseil, la CRA exigera aux fabricants de matériel et de logiciels de respecter des objectifs impressionnants. La règle inclut notamment un délai de 24 heures pour toute nouvelle faille de sécurité activement exploitée, cinq ans de support pour les correctifs de sécurité, une documentation complète de toutes les fonctionnalités de sécurité, et plus encore. Les fabricants, les importateurs et les distributeurs auront 36 mois pour adopter les exigences, sous peine d’amendes allant jusqu’à 15 millions d’euros ou 2,5% du chiffre d’affaires mondial annuel total. Si une meilleure sécurité est toujours la bienvenue, des inquiétudes ont été soulevées quant à l’effet potentiel que la CRA pourrait avoir sur les logiciels open source, souvent maintenus par peu de personnes en dépit de l’importance qu’ils peuvent souvent avoir pour les produits plus larges. Les mainteneurs de logiciels open source pourraient avoir du mal à respecter les délais courts imposés pour les correctifs, la documentation et la divulgation.