‘Peut-on sauver le logiciel libre de la directive européenne sur la résilience numérique?’

Lorsque j’étais récemment à Bilbao pour l’événement Open Source Summit Europe, le principal sujet de conversation était l’Acte de résilience en matière de cybersécurité de l’Union européenne (CRA). Tout le monde – et je veux dire tout le monde – en a parlé. Pourquoi? Parce que pratiquement tous ceux qui ont une idée de ce qu’est le logiciel open source considèrent que cela étouffe le développement de logiciels open source. Comme je l’ai mentionné précédemment, la communauté open source savait que le CRA était une mauvaise nouvelle avec un grand B. L’espoir était que le Conseil européen (EC) pourrait être persuadé de modifier le CRA de manière à ce qu’il ne soit pas aussi contraignant pour les développeurs open source. Ils ont échoué. Au lieu de cela, le 13 juillet 2023, le CE a approuvé un projet de CRA que les développeurs open source trouveront très difficile à vivre. Alors que le projet est actuellement renvoyé d’un organisme à l’autre à Bruxelles, il n’y a aucun signe que les choses s’améliorent pour les développeurs open source. Pour être juste, le CRA a de bonnes intentions. Son objectif est de définir des critères de cybersécurité stricts pour les gadgets et les applications vendus dans l’UE. Tout éditeur de logiciels introduisant des produits numériques sur le marché européen doit traiter les vulnérabilités de sécurité identifiées, déployer des mises à jour de logiciels, et inspecter et valider les appareils et les programmes informatiques. Les créateurs de logiciels, et non les utilisateurs finaux, sont responsables de la sécurité du logiciel. Après tout, ce sont les programmeurs qui sont les mieux équipés pour identifier et corriger les faiblesses en matière de sécurité et publier des correctifs.