Les législateurs de l’UE finalisent les règles de cybersécurité qui ont paniqué les développeurs open source.

Le Parlement européen et le Conseil ont trouvé un accord sur la loi sur la résilience en matière de cybersécurité (CRA), mettant ainsi la longue-attendue réglementation sur la sécurité sur la voie de son approbation finale et de son adoption, ainsi que de nouvelles règles exemptant le logiciel libre. La CRA a été proposée par la Commission européenne en septembre 2022 et impose des exigences en matière de cybersécurité obligatoires pour tous les produits matériels et logiciels, des moniteurs pour bébés aux routeurs, comme l’a déclaré la Commission européenne. Une fois en vigueur, ce qui se produira 20 jours après son adoption par le Parlement et le Conseil, la CRA exigera des fabricants de matériel et de logiciel qu’ils respectent des objectifs impressionnants. La règle comprend un délai de divulgation de 24 heures pour toute faille de sécurité nouvellement découverte en cours d’exploitation, un support de correctif de sécurité de cinq ans, une documentation complète de toutes les fonctionnalités de sécurité, et bien plus encore. Les fabricants, les importateurs et les distributeurs auront 36 mois pour adopter les exigences ou s’exposeront à des amendes allant jusqu’à 15 millions d’euros ou 2,5% du chiffre d’affaires mondial total annuel. Si une meilleure sécurité est toujours la bienvenue, des inquiétudes ont été exprimées quant aux effets potentiels que la CRA pourrait avoir sur le logiciel libre, souvent maintenu par peu de personnes en dépit de son importance pour les produits plus importants. Les mainteneurs de logiciels libres pourraient avoir du mal à respecter les délais courts pour les correctifs, la documentation et la divulgation.