欧盟《网络弹性法案》解读及对开源的影响

      近年来，针对互联网硬件和软件产品的安全攻击事件日益增长，数字产品面临着网络安全威胁，根据欧盟委员会的立法报告，2021年全球网络攻击造成的损失已经达到5.5万亿欧元。数字产品面临的两大问题增加了用户和社会的使用成本：一是数字产品的网络安全水平低，产品普遍存在安全漏洞，安全支持和软件更新不足以修复已知漏洞；二是用户对产品的安全信息缺乏获取和了解的途径，导致无法选择具有足够网络安全性能的产品。欧盟委员会认为，目前漏洞的成本主要由专业用户和消费者承担，限制了制造商投资于安全设计和开发的动力。针对这些问题，欧盟委员会于2022年9月15日提出一项数字产品网络安全法案的提案，即《网络弹性法案》（Cyber Resilience Act，CRA）。（注1）

      所谓“网络弹性”是指网络在面临攻击或其他不利情况时，能够维持其关键功能、快速恢复的能力。CRA对欧盟境内销售的所有数字产品的设计、生产、运营和维护施加了强制性网络安全标准，旨在实现两个立法目标：其一，确保计算机硬件和软件产品以尽可能少的漏洞投放市场，促使制造商在产品的整个生命周期内重视产品的网络安全，以保障数字产品的安全发展；其二，确保用户在购买和使用数字元素产品时，能将其网络安全性能纳入考虑范围，以保障用户的知情权和选择权。该法案要求制造商事先进行软件产品质量评估，确保其满足欧盟符合性声明，并为产品张贴CE标志，因此也被称为“软件产品CE认证”。

      2023年7月19日，欧盟理事会会议就CRA法案提出修正案，并且就该法案的谈判授权达成共识，授权轮值主席国西班牙与欧洲议会就立法的最终版本进行谈判。欧洲议会工业、研究和能源委员会 (ITRE) 以61票赞成、1票反对、10票弃权的结果批准了CRA草案。下一步，该法案提案将提交欧洲议会表决。

      CRA的规制主体包括制造商、进口商和分销商三类，针对不同的主体施加不同的义务，其中重点规定了制造商的义务。

      制造商的义务包括：

      （1）确保投放欧盟市场的产品按照CRA的基本网络安全要求进行设计、开发和生产，以确保产品具备适当的网络安全水平，并在交付时没有任何已知的可利用漏洞；

      （2）为履行前述义务，制造商应当对数字产品进行网络安全风险评估，以降低网络安全风险和防范安全事故；

      （3）系统记录与数字产品相关的网络安全事项，包括自查发现的漏洞以及第三方的反馈意见，并及时更新产品的风险评估报告；

      （4）确保产品的漏洞在预期的产品生命周期内或投放市场后的五年内（以较短者为准）得到有效处理，并且通过适当的措施和程序，处理、修复内部或外部反馈的产品潜在漏洞，特殊情况需及时召回；

      （5）在将产品投放市场之前，制造商必须起草技术文档，进行产品质量评估，确保其满足欧盟符合性声明，并为产品张贴CE标志；

      （6）向用户提供关于数字产品的完整信息和说明，以便用户安全地安装、操作和使用；

      （7）在发现可被利用的漏洞或任何影响数字产品安全事件的24小时内，向欧盟网络安全局(ENISA)报告。

      就进口商和分销商而言，CRA要求其向欧盟市场投放符合网络安全要求的数字产品，确保制造商已完成法案的合规要求，包括进行产品质量评估、起草技术文件、数字产品已张贴CE标志并附有相关信息和说明等。如果进口商和分销商发现产品存在漏洞，必须立即通知制造商。当产品存在重大网络安全风险时，还应当通知市场监管部门。

      CRA第53条对违法行为人规定了严厉的惩罚措施：

      (1）对于不遵守法案附件一中规定的基本网络安全要求、漏洞处理要求和制造商义务的，将处以最高1500万欧元或者企业上一财政年度全球营业额的2.5%的罚款。

      (2）对于不遵守法案规定的其他义务的行为，将处以最高1000万欧元或者企业上一财政年度全球营业额的2%的罚款。

      (3）如果向指定机构和市场监管机构提供不正确、不完整或误导性信息的，将被处以最高500万欧元或企业上一财政年度全球营业额1%的罚款。

      根据CRA 第10条的规定，非商业活动性质开发和提供开源软件的行为不受CRA约束。但对于什么是软件环境中的商业活动，CRA的界定极为广泛，既包括直接定价销售产品，也包括提供技术支持服务、以软件平台通过其它服务变现，甚至包括以提升软件性能以外的原因使用个人数据信息。在实际执法过程中，执法机构具有一定的自由裁量权，商业活动的范畴可能被放大，使得能够被CRA豁免的开源软件开发和提供行为的范围进一步缩小。

      根据该条款规定，明确能够获得豁免的开源软件提供者的范围极为有限，主要是基于个人爱好或公益性质的开发者。对于提供开源软件，同时从事相关经营活动的企业开发者很难被豁免，甚至连接受资助、组织会议或者提供培训的开源基金会，在某些场景中也可能不被豁免。如果CRA法案最终按照当前的条款通过，并在欧盟各成员国实施，在欧盟市场（包括通过互联网进入）提供开源软件的开发者，不得不遭遇“付费合规、免费开源”的困境。

      欧盟委员会在2022年9月提出CRA草案后，许多开源组织和社区对该法案关于开源软件的豁免条款表达了反对或批评意见。Apache基金会公共事务副总裁 Dirk-Willem van Gulik 指出，CRA提出了一系列要求，这些要求要么威胁到开源贡献和公共资源非常脆弱的 ' 双赢 ' 局面，要么违背了行业的良好做法。（注2）OSI（开放源代码促进会）标准主管Simon Phipps认为该立法 “会损害开源”，目前 OSI 已向欧盟委员会提交了反馈，要求“就法案正文要求的开源例外情况开展进一步工作”，希望“任何不直接从软件商业化部署中受益的参与者”都可以免除合规责任。（注3）知名FTP开源软件供应商 Filezilla甚至在官网发布公告，声称CRA将对包括FileZilla在内的整个开源软件的未来产生严重的后果，Filezilla决定不提供该软件任何版本的下载，以表达对欧盟CRA当前文本条款的抗议，并呼吁广大开发者和用户向欧盟委员会提出反对意见。（注4）但欧盟委员会并未接受这些来自开源社区或组织的反对意见，2023年7月19日批准的 CRA 草案，第10条未对开源软件的豁免范围进行实质性的修改。