Digitālās ierīces ir neatņemama mūsu ikdienas sastāvdaļa, sākot no viedtelefoniem līdz pat mājas automatizācijas sistēmām. Līdz ar to pieaug arī nepieciešamība nodrošināt to kiberdrošību. Eiropas Savienība (ES) ir nākusi klajā ar Cyber Resilience Act (CRA), lai radītu vienotus minimālos drošības standartus visā digitālo produktu dzīves ciklā. Kopš 2024. gada decembra šī regula jau ir spēkā, taču daudziem joprojām trūka skaidrības par tās praktisko piemērošanu, it īpaši attiecībā uz atvērto kodu jeb Open Source.
Jaunais ceļvedis - solis skaidrības virzienā
Lai kliedētu neskaidrības un palīdzētu uzņēmumiem, izstrādātājiem un citām iesaistītajām pusēm laicīgi un juridiski pareizi ieviest jaunās prasības, ES Komisija ir publicējusi aptuveni 80 lappuses garu vadlīniju dokumentu. Šis ceļvedis ir kā praktisks palīgs, kas skaidro, kā interpretēt Cyberezilientuma regulu. Tas aptver dažādus jautājumus, piemēram, kuri produkti vispār ietilpst CRA darbības jomā, kā klasificēt būtiskus programmatūras atjauninājumus un noteikt atbalsta periodus. Īpaša uzmanība pievērsta mazajiem un vidējiem uzņēmumiem (MVU), lai mazinātu birokrātisko slogu un veicinātu vieglāku pielāgošanos jaunajiem noteikumiem.
Atvērtais kods un komerciāla darbība: kur ir robeža?
Viens no galvenajiem bažu avotiem sarunās par CRA bija atvērto kodu kopiena. Izstrādātāji baidījās, ka jaunās atbildības un dokumentācijas prasības varētu atturēt brīvprātīgos projektus. Labā ziņa ir tā, ka brīvi pieejama Open Source programmatūra, ja tā netiek laista tirgū kā komerciāla darbība, principā neietilpst CRA regulējumā.
Ceļvedis precizē, kas tiek uzskatīts par komerciālu darbību. Piemēram, ja Open Source programmatūra tiek pārdota, tiek piedāvātas maksas “Enterprise” versijas vai citi pakalpojumi, kas monetizēti ar programmatūras palīdzību, tās izstrādātājs tiek uzskatīts par ražotāju CRA izpratnē. Tāpat arī, ja lietotājiem ir jāsniedz personas dati citiem mērķiem, nevis drošībai vai savietojamībai, vai ziedojumi faktiski ir priekšnoteikums programmatūras vai būtisku atjauninājumu pieejamībai. Tomēr brīvprātīgi ziedojumi, valsts finansējums vai sponsorēšana vien paši par sevi neveido komerciālu darbību. Arī maksas konsultāciju, apmācību vai atbalsta piedāvājumi nepadara Open Source projektu par CRA regulējuma subjektu, ja pati programmatūra paliek brīvi pieejama.
Kas ir “Open Source pārvaldnieks” un kādas ir viņa atbildības?
Daudziem izstrādātājiem svarīga ir arī atšķirība starp projekta vadītājiem un piegādātājiem. Tie, kas tikai labo kļūdas vai iesniedz jaunas funkcijas, principā nenes atbildību saskaņā ar CRA. Atbildība gulstas uz personām vai organizācijām, kuras publicē projektu un kontrolē laidienus, attīstības plānus un pārvaldību. Ceļvedis arī precizē “pārvaldnieku” (Stewards) lomu - tās var būt fondācijas vai citas organizācijas, kas nodrošina Open Source projektu organizatorisku vai tehnisku atbalstu bez komercializācijas. Viņu pienākumi atkarīgi no iesaistes intensitātes: mazāka iesaiste (piemēram, kopienas darbs) nozīmē mazākas saistības, bet infrastruktūras uzturēšana vai aktīva dalība izstrādē un drošības pārvaldībā rada lielākas saistības, tostarp ziņošanas pienākumus par drošības incidentiem.
Būtiskas izmaiņas un termiņi
Ceļvedis sniedz arī skaidrību par to, kas tiek uzskatīts par “būtisku” izmaiņu produktā. Atjauninājumi, kas tikai novērš ievainojamības vai saglabā/uzlabo esošo drošības līmeni, parasti neprasa jaunu atbilstības novērtēšanas procedūru. Savukārt jaunas funkcijas, kas maina produkta riska profilu vai rada papildu uzbrukumu virsmas, var izraisīt šādu procedūru. Ceļvedis precizē arī remontu jautājumus: ja tiek piegādātas tikai identiskas rezerves daļas, tas netiek uzskatīts par atkārtotu produkta laišanu tirgū.
Lai gan ceļvedis nav juridiski saistošs, tas būs izšķirošs orientieris ražotājiem un nacionālajām tirgus uzraudzības iestādēm, piemēram, Vācijas Federālajam Informācijas tehnoloģiju drošības birojam (BSI), regulas praktiskajā interpretācijā. Pirmie ziņošanas pienākumi stāsies spēkā 2026. gada 11. septembrī, savukārt pilnīga ražotāju atbilstība regulai jānodrošina līdz 2027. gada 11. decembrim. Šīs izmaiņas ir īpaši aktuālas, ņemot vērā jaudīgu AI modeļu ar kiberdrošības spējām attīstību. Ko tu domā par šiem jaunajiem noteikumiem un to ietekmi uz digitālo drošību?
Iezīmē tekstu un spied ziņot par kļūdu.
