Hallo Liste,
um mal auf freie Software zurückzukommen - ich hoffe, Ihr seid alle
informiert über das was in ca. 15 Monaten auf (fast) alle Entwickler
freier Software zukommt: das CE-Zeichen für Software - und noch einiges
anderes.
Sehr schön zusammengefasst hier:
https://blog.documentfoundation.org/blog/2023/01/24/tdf-position-on-eus-proposed-cyber-resilience-act/
und, etwas älter, hier:
https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/13410-Cyber-resilience-act-new-cybersecurity-rules-for-digital-products-and-ancillary-services/F3376542_en
Was dort nicht erwähnt wird (weil es nicht FOSS-spezifisch ist), ist der
richtige Klopper in Art. 11 CRA:
(1) Der Hersteller meldet der ENISA unverzüglich, jedenfalls aber
innerhalb von 24 Stunden, nachdem er davon Kenntnis erlangt hat, jede
aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen
Elementen enthalten ist. ...
(2) Der Hersteller meldet der ENISA unverzüglich, jedenfalls aber
innerhalb von 24 Stunden, nachdem er davon Kenntnis erlangt hat, jeden
Vorfall, der sich auf die Sicherheit des Produkts mit digitalen
Elementen auswirkt. ...
(3) Die ENISA übermittelt dem Europäischen Netzwerk der
Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe), ... die gemäß
den Absätzen 1 und 2 gemeldeten Informationen, ...
Quelle:
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A52022PC0454
Hinter verschlossenen Türen wird gesagt, dass die Meldekette von ENISA
an die für "legal interception" zuständigen nationalen Behörden gehen
wird. Das ist das Ende von responsible disclosure.
Viele Grüße
Ilu
_______________________________________________
FSFE-de mailing list
FSFE-de@lists.fsfe.org
https://lists.fsfe.org/mailman/listinfo/fsfe-de
Diese Mailingliste wird durch den Verhaltenskodex der FSFE abgedeckt.
Alle Teilnehmer werden gebeten, sich gegenseitig vorbildlich zu
behandeln: https://fsfe.org/about/codeofconduct
