Een voorstel voor de Europese Cyber Resilience Act (CRA) vormt een bedreiging voor opensourceprojecten en cybersecurity, zo stelt Mozilla. De Europese Commissie presenteerde afgelopen september de CRA, die voor veiligere hardware en software moet zorgen. Het wetsvoorstel verplicht leveranciers van hardware en software om cybersecurity-maatregelen te nemen om hun producten te beveiligen.

Mozilla had al de nodige zorgen over de oorspronkelijke versie van de Europese Commissie. De Commissie Industrie, onderzoek en energie (ITRE) van het Europees Parlement heeft nu een aangepaste versie gepresenteerd en de aanpassingen zorgen niet voor de benodigde verbeteringen en maken in bepaalde gevallen de CRA-vereisten wat betreft opensourceprojecten juist erger, aldus Mozilla.

Zo zullen opensourceprojecten met "corporate developers" onder de eisen van de CRA gaan vallen. Elk project dat van ontwikkelaars gebruikmaakt die bij een commerciële partij in dienst zijn, zullen als een commercieel project worden gezien. Iets dat volgens Mozilla grote gevolgen voor opensourceprojecten kan hebben, die ontwikkelaars van bedrijven die de opensourcesoftware gebruiken mogelijk zullen weigeren. Ook kan het voorkomen dat bedrijven hun personeel verbieden om aan opensourceprojecten mee te werken.

Verder zullen ook opensourceprojecten die donaties ontvangen aan de eisen van de CRA moeten voldoen. Het gaat dan om terugkerende donaties van commerciële partijen. Het opensourceproject valt dan onder de CRA, ook al is het zelf niet commercieel bezig. "Het in stand houden van opensourceprojecten is geen eenvoudige taak en het accepteren van donaties is een manier om voor financiële onafhankelijkheid te zorgen. Niettemin kan ITRE's versie van de CRA dit ondermijnen", aldus Mozilla.

Als laatste maakt de Firefox-ontwikkelaar zich zorgen om actief misbruikte kwetsbaarheden waarvoor nog geen update beschikbaar is verplicht binnen een bepaalde tijd te melden. Dat zal volgens Mozilla alleen de inspanning voor het ontwikkelen van een update ondermijnen. Ook laat het een misvatting zien dat de Europarlementariërs niet begrijpen hoelang het duurt om kwetsbaarheden te verhelpen en kan het een zorgwekkend wereldwijd precedent scheppen, stelt Mozilla verder.

Volgende week zal de ITRE Commissie over het voorstel stemmen. Als het wordt aangenomen zal deze versie het officiële standpunt worden van het Europees Parlement in de onderhandelingen met de Europese Raad en Europese Commissie. Mozilla roept de ITRE Commissie op om rekening te houden met de gevolgen van het voorstel voor de ontwikkeling van open source in Europa en dat er een openbaar debat komt over de CRA.