Kyberresilienssisäädös on Euroopan unionin asetus, joka vaatii tuotteillta ja ohjelmistoilta tiettyjen kyberturvallisuusvaatimuksien noudattamista. Asetus koskee sekä valmistajia että jälleenmyyjiä. Asetuksen tavoitteina on, että: digitaalisen komponentin sisältäviä tuotteita koskevat yhdenmukaiset säännöt; tuotteiden suunnittelussa, kehityksessä, valmistuksessa ja ylläpidossa koko ketjun kautta noudatetaan vaatimuksia; sekä tuotteiden elinkaaren ajan on tarjottava tukea.
Ehdotus asetuksesta julkaistiin syyskuussa 2022. Keväällä 2023 asetusta kritisoitiin sen aiheuttamista ongelmista avoimen lähdekoodin ohjelmistojen kehityksessä. Eri tahot kuten Eclipse Foundation kirjoittivat yhdessä avoimeen kirjeen Euroopan komissiolle näkökohtien huomioon ottamiseksi. Esimerkiksi Mozilla tuki asetuksen ajatusta, mutta halusi selvennyksiä mitä "kaupallinen aktiviteetti" tarkoittaa avoimen lähdekoodin ohjelmistoille. Open Source Initiative kiinnitti huomiota "kaupallisen" epämääräiseen määrittelyyn, joka on määritelty EU:n "sinisessä oppaassa". Kritiikin kohteena oli myös, että useilla avoimen lähdekoodin kehittäjillä ei ole liikevaihtoa eikä resursseja vaadittuun tasoon. The Registerin mukaan ohjelmistoja eivät kehitä vain yritykset, vaan yksittäisellä elintärkeän ohjelmiston kehittäjällä ei ole liikevaihtoa eikä kontrollia sen käyttäjistä.
1. joulukuuta 2023 ilmoitettiin lainsäätäjien yhteisymmärryksestä. Avoimen lähdekoodin edustajat olivat tyytyväisiä annetun palautteen huomiointiin ja muutokset otettiin hyvin vastaan. Muun muassa täsmällisempää ymmärrystä kiitettiin ja edustajan rooli säätiöiden tapauksessa huomattiin.
Asetus julkaistiin joulukuussa 2023. Asetus on jatkoa vuoden 2020 kyberturvallisuusstrategialle. Asetus tulee voimaan vuoden 2024 puolivälissä ja avoimen lähdekoodin kehitykseen tulee edustajien roolit, jotka ovat valmistajien kaltaisia rooleja. Arvioiden mukaan vapaa ja avoin lähdekoodi kattaa noin 70-90 prosenttia moderneista ohjelmistoratkaisuista.
Useimmat vaatimukset ovat yleisesti hyväksyttyjä parhaita käytäntöjä, kuten turvalliset oletusasetukset, tietoturvapäivitykset, suojaus luvattomalta pääsyltä ja julkaisut ilman tunnettuja haavoittuvuuksia. Osa vaatimuksista on vaikeammin määriteltäviä. Jokaisen tuotteen (joka tarkoittaa jokaista ohjelmiston julkaisua) on sisällytettävä arvio kyberturvallisuusriskeistä sekä julkaisuun liittyvä dokumentaatio, jossa on muun muassa ennakoidut käyttökohteet, tuen aikajakso ja tietoturvapäivityksien asennusmenetelmä. Ohjelmistot voidaan sijoittaa eri luokkiin, jossa luokan II ohjelmistojen on käytävä läpi pakollinen ulkoinen tietoturva-arviointi, ja luokan I ohjelmistojen vain tietyissä tapauksissa.
Lähteet
Luokka:Euroopan unionin asetukset Luokka:Tietoturva