• O regulamento europeu sobre ciberresiliência (CRA) está prestes a redefinir a forma como os produtos digitais são regulamentados na União Europeia.
  • Durante a apresentação da comunidade RIPE doRIPE NCCpublicada em 12 de dezembro de 2024, o especialista em privacidade e conformidade August Bournique detalhou as implicações do CRA, especialmente para software open source.

O que aconteceu

OCRA,que foi oficialmente adotado em 2024, é a mais recente iniciativa da UE para garantir a segurança e a transparência dos produtos digitais que possuem componentes de rede. Até 2027, todos os produtos afetados deverão cumprir exigências de segurança rigorosas. Este cronograma inclui várias fases, começando pela notificação obrigatória de violações e vulnerabilidades pelos fabricantes em 2026.

A partir de 2027, os fabricantes deverão cumprir normas de documentação técnica e obter certificações para seus produtos. O CRA também introduz uma marcação visível pelos consumidores para indicar a conformidade de um produto com as normas da UE. Embora isso vise harmonizar a segurança entre os estados membros, traz desafios, especialmente para pequenas entidades como projetos open source.

Leia também:Comissão Europeia publica FAQ sobre finanças sustentáveis
Leia também:Virkkunen e Ribera liderarão a regulação de telecomunicações da UE em 2024

Bournique destacou que projetos open source são geralmente excluídos do CRA, a menos que tenham uma dimensão comercial. No entanto, determinar o que constitui um projeto open source "comercial" permanece obscuro. Por exemplo, receber doações ou fornecer serviços de manutenção não qualifica necessariamente um projeto como comercial. Por outro lado, projetos explicitamente vendidos para serem integrados em produtos comerciais podem entrar no escopo do CRA.

A lei também depende fortemente de autoavaliação e certificação, o que, segundo Bournique, pode ser problemático devido aos recursos limitados para a aplicação. A Agência Europeia para a Cibersegurança, ENISA, e as equipes nacionais devem supervisionar a conformidade, mas com apenas cerca de cem funcionários no principal órgão regulador, o ônus pode recair sobre os fabricantes para garantir que cumpram os requisitos.

Por que isso é importante

O CRA visa fortalecer a confiança dos consumidores e unificar as normas de cibersegurança, mas seu amplo escopo pode ter consequências imprevistas. Desenvolvedores open source, que frequentemente operam fora dos quadros comerciais tradicionais, enfrentam incertezas sobre como o CRA se aplica ao seu trabalho, ou mesmo se se aplica. Embora a maioria dos projetos não comerciais provavelmente seja isenta, projetos usados em produtos comerciais ainda podem enfrentar obstáculos de conformidade.

Bournique mencionou que mesmo com isenções, pequenas organizações podem ter dificuldades com a ambiguidade legal e os custos potenciais da conformidade. Para projetos open source comerciais, navegar pelo CRA pode significar contratar um consultor jurídico ou arriscar penalidades. No entanto, existem concessões para pequenas empresas, como multas reduzidas, e esforços estão em andamento para estabelecer normas específicas do setor por meio de ONGs como a Linux Foundation.

O CRA também sinaliza uma mudança na forma como os reguladores percebem a segurança dos produtos digitais. Ao priorizar a cibersegurança desde a fase de desenvolvimento, a UE espera prevenir violações em vez de simplesmente reagir a elas. No entanto, como Bournique observou, a aplicação provavelmente evoluirá com o tempo, com as interpretações da lei moldando sua aplicação prática.

A apresentação de Bournique no evento do RIPE NCC foi particularmente oportuna, dadas as implicações do CRA para a comunidade open source. Com sua experiência no gerenciamento de questões de privacidade e conformidade, ele forneceu insights essenciais sobre como essa regulamentação pode desafiar as práticas atuais. Como o ecossistema open source desempenha um papel vital no desenvolvimento de tecnologias de rede, o CRA representa tanto um obstáculo quanto uma oportunidade para repensar a abordagem da segurança digital.

À medida que o prazo de 2027 se aproxima, organizações e desenvolvedores precisarão acompanhar de perto a evolução dessas regulamentações, garantindo que seu trabalho permaneça viável em um cenário digital cada vez mais regulamentado.