‘Peut-on sauver le logiciel libre de l’acte européen de résilience numérique?’

Quand j’étais récemment à Bilbao pour l’événement Open Source Summit Europe, la principale discussion portait sur le projet de loi européen sur la résilience en matière de cybersécurité (CRA). Tout le monde – et je veux dire tout le monde – l’a mentionné. Pourquoi? Parce que pratiquement tous ceux qui ont une idée de ce qu’est le logiciel open source le voient comme une entrave au développement de ce dernier. Comme je l’ai mentionné précédemment, la communauté open source savait que le CRA était une mauvaise nouvelle avec un grand B. L’espoir était que le Conseil européen (CE) pourrait être persuadé de modifier le CRA de manière à ce qu’il ne soit pas aussi contraignant pour les développeurs open source. Ils ont échoué. Au lieu de cela, le 13 juillet 2023, le CE a approuvé un projet de CRA que les développeurs open source trouveront très difficile à supporter. Alors que le projet est actuellement rebondi entre les différentes agences de Bruxelles, il n’y a aucun signe que les choses s’améliorent pour les développeurs open source. Pour être juste, le CRA a de bonnes intentions. Son objectif est de définir des critères de cybersécurité stricts pour les gadgets et les applications vendus dans l’UE. Tout éditeur de logiciel introduisant des produits numériques sur le marché européen doit faire face aux failles de sécurité identifiées, déployer des mises à jour de logiciel, inspecter et valider les dispositifs et les programmes logiciels. Les créateurs de logiciels, et non les utilisateurs finaux, sont responsables de la sécurisation du logiciel. Après tout, ce sont les programmeurs qui sont les mieux à même d’identifier et de corriger les faiblesses en matière de sécurité et de publier les correctifs.