Nařízení (EU) 2024/2847 (akt o kybernetické odolnosti) · Kapitola II · Povinnosti hospodářských subjektů a otevřený software
Čl. 24 · Povinnosti správců softwaru s otevřeným zdrojovým kódem
Znění
-
Správci softwaru s otevřeným zdrojovým kódem zavedou a ověřitelným způsobem zdokumentují politiku kybernetické bezpečnosti, která podporuje vývoj bezpečného produktu s digitálními prvky a efektivní řešení zranitelností vývojáři daného produktu. Tato politika podporuje také dobrovolné hlášení zranitelností vývojáři daného produktu, jak je stanoveno v článku 15, a zohledňuje specifickou povahu správce softwaru s otevřeným zdrojovým kódem a právní a organizační opatření, která se na něj vztahují. Tato politika zahrnuje především aspekty související s dokumentací, řešením a odstraňováním zranitelností a podporuje sdílení informací týkajících se zjištěných zranitelností v rámci komunity zabývající se vývojem softwaru s otevřeným zdrojovým kódem.
-
Správci softwaru s otevřeným zdrojovým kódem spolupracují, jsou-li o to požádáni, s orgány dozoru nad trhem na zmírnění kybernetických bezpečnostních rizik, která představuje produkt s digitálními prvky považovaný za svobodný software s otevřeným zdrojovým kódem.
Na základě odůvodněné žádosti orgánu dozoru nad trhem poskytnou správci softwaru s otevřeným zdrojovým kódem tomuto orgánu dokumentaci uvedenou v odstavci 1, a to v tištěné nebo elektronické podobě a v jazyce, který je pro něj snadno srozumitelný.
- Povinnosti stanovené v čl. 14 odst. 1 se na správce softwaru s otevřeným zdrojovým kódem uplatní do té míry, do jaké jsou zapojeni do vývoje produktů s digitálními prvky. Povinnosti stanovené v čl. 14 odst. 3 a 8 se na správce softwaru s otevřeným zdrojovým kódem uplatní do té míry, do jaké závažné incidenty s dopadem na bezpečnost produktů s digitálními prvky ovlivňují síť a informační systémy poskytované správci softwaru s otevřeným zdrojovým kódem k vývoji takových produktů.
Znění: Úřední věstník EU, L, 2024/2847 z 20. 11. 2024.
Komentář
Zvláštní, výrazně mírnější režim pro správce softwaru s otevřeným zdrojovým kódem. Musí zavést a ověřitelně zdokumentovat politiku kybernetické bezpečnosti a spolupracovat s dozorem; povinnosti podle čl. 14 na ně dopadají jen v rozsahu, v jakém se podílejí na vývoji produktu.
Související ustanovení: čl. 3 (definice správce); čl. 13; čl. 14; čl. 25; čl. 52 a násl.
Obsah výkladu
I.Proč vůbec zvláštní režim1 II.Co správce musí (odst. 1 a 2)3 III.Ohlašování v omezeném rozsahu (odst. 3)6I. Proč vůbec zvláštní režim
1 Otevřený software vyvíjený mimo obchodní činnost není produktem dodaným na trh a povinnosti výrobce na něj nedopadají. Nařízení ale zavádí mezikategorii, správce softwaru s otevřeným zdrojovým kódem. Podle definice v čl. 3 bodu 14 jde o právnickou osobu jinou než výrobce, jejímž účelem nebo cílem je systematicky a dlouhodobě podporovat vývoj konkrétních produktů považovaných za svobodný software s otevřeným zdrojovým kódem a určených pro obchodní činnost, a která zajišťuje životaschopnost těchto produktů. Rozhodovací vliv ani nezisková povaha znakem definice nejsou.
2 Je to jeden z nejsledovanějších kompromisů celého nařízení. Bez něj by nadace a komunitní projekty spadly buď do plného režimu výrobce, nebo úplně mimo.
II. Co správce musí (odst. 1 a 2)
3 Správce zavede a ověřitelným způsobem zdokumentuje politiku kybernetické bezpečnosti, která podporuje bezpečný vývoj a účinné řešení zranitelností a která zohledňuje specifickou povahu správce a jeho právní a organizační uspořádání.
4 Politika má zahrnovat zejména dokumentaci, řešení a odstraňování zranitelností, podporovat dobrovolné hlášení zranitelností vývojáři podle čl. 15 a sdílení informací o zjištěných zranitelnostech uvnitř komunity. Není to tedy vnitřní předpis pro zaměstnance, ale pravidla pro projekt.
5 Správce spolupracuje s orgány dozoru nad trhem na zmírnění rizik a na odůvodněnou žádost jim politiku poskytne v tištěné nebo elektronické podobě v jazyce, který je pro ně snadno srozumitelný.
III. Ohlašování v omezeném rozsahu (odst. 3)
6 Povinnost hlásit aktivně zneužívané zranitelnosti podle čl. 14 odst. 1 dopadá na správce jen do té míry, do jaké jsou zapojeni do vývoje produktu. U závažných incidentů podle čl. 14 odst. 3 a 8 je kritérium jiné: rozhoduje, do jaké míry incident ovlivňuje sítě a informační systémy, které správce poskytuje k vývoji takových produktů. Nejde tedy o dopad na produkt u uživatele, ale na vývojovou infrastrukturu.
7 Formulace „do té míry” je měkčí než u výrobce a je to záměr. Správce nemá povinnost sledovat, kde všude se jeho kód používá, což by u knihoven s tisíci nasazeními nešlo splnit.
8 Praktický důsledek pro české prostředí: spolek nebo nadace, která zaštiťuje otevřený projekt, není bez dalšího výrobcem, ale musí mít napsanou a doložitelnou bezpečnostní politiku. To je splnitelné a je to podstatně méně než čl. 13.