Brief Vrijschrift: EU Cyber Resilience Act zal concurrentievermogen schaden

Open source software speelt een grote rol in de softwarewereld, in de Europese economie, zowel voor grote bedrijven, als voor het MKB, dat voor de EU van cruciaal belang is. ² De Duitse vereniging van de auto-industrie legde in een korte stellingname het belang van vrije en open broncode software voor standaardisatie, kostenefficiëntie, flexibiliteit en samenwerking goed uit. Een citaat:

“De efficiënte samenwerking in de Duitse auto-industrie met behulp van [free and open source software] is cruciaal voor haar concurrentievermogen.” ³

Moderne Nederlandse software bedrijven leunen veelal volledig op open source. DigitalEurope, vertegenwoordiger van 45.000 bedrijven die actief zijn en investeren in Europa, waaronder 102 bedrijven die wereldleiders zijn op hun vakgebied, schrijft in een stellingname met uitgebreide aanbevelingen:

“Wil het CRA zijn doelstellingen kunnen verwezenlijken, dan moet de definitieve tekst maatregelen bevatten die naleving duidelijk en uitvoerbaar maken, in plaats van nieuwe onzekerheden te genereren die het vermogen van Europa om te innoveren en mondiaal te concurreren zouden verstoren.” ⁴

In het Europese Commissievoorstel is onvoldoende rekening gehouden met de unieke eigenschappen van open source software. Anders dan gesloten broncode software, die door één partij achter gesloten deuren wordt ontwikkeld, wordt open source software in het openbaar ontwikkeld door individuele ontwikkelaars, organisaties zonder winstoogmerk, en bedrijven – een kwetsbaar ecosysteem. Het is cruciaal om slechts het los hiervan staande proces van het commercieel op de markt brengen van open source software onder de reikwijdte van de CRA te brengen.

Met betrekking tot het uitzonderen van open source software heeft de Europese Commissie in het voorstel slechts een beperkte overweging opgenomen in de Overwegingen (Recitals). Een overweging heeft echter geen zelfstandige rechtskracht en kan slechts een rol spelen in de interpretatie indien er ook een artikel is om te interpreteren. ⁵ Een dergelijk artikel is wat betreft de reikwijdte van de CRA niet aanwezig.

Medewetgever Raad van de EU heeft in zijn versie amendementen toegevoegd aan de Overwegingen zonder een artikel met betrekking tot de reikwijdte toe te voegen. De amendementen van de Raad blijven hierdoor met betrekking tot de reikwijdte zonder werking. De minister van Economische Zaken en Klimaat bevestigt in een brief aan de Eerste Kamer dat er slechts sprake is van een overweging. De minister laat onvermeld dat overwegingen geen zelfstandige rechtskracht hebben en dat de zorgen dus in het geheel niet “uitgebreid geadresseerd” zijn. ⁶ Pijnlijk, zeker omdat ons concurrentievermogen op het spel staat.

De ITRE commissie van het Europese Parlement heeft in haar versie een belangrijk artikel toegevoegd met betrekking tot de reikwijdte. Verdere noodzakelijke uitzonderingen en definities met betrekking tot de reikwijdte heeft de ITRE commissie slechts toegevoegd als te beperkte en soms contraproductieve overwegingen. Ook de versie van deze medewetgever creëert veel juridische onzekerheid, die juist voor een kwetsbaar ecosysteem schadelijk is. ⁷

De medewetgevers hebben besloten tot een versnelde wetgevingsprocedure (trilogues) hetgeen gezien de staat van de voorstellen onverstandig lijkt. Anders dan in Den Haag worden in Brussel geen of amper wetgevingsexperts betrokken bij het maken van wetten, dat wreekt zich hier. Zonder verbeteringen zal de Cyber Resilience Act het kwetsbare ecosysteem van open source software en daarmee ons concurrentievermogen ernstig schaden, zonder software veiliger te maken. ⁸

We willen u vragen te bevorderen dat het voorstel verbeterd wordt in overleg met open source software organisaties. ⁹ Hierbij dient in het oog gehouden te worden dat slechts artikelen zelfstandige rechtskracht hebben.

Hoogachtend,
namens Stichting Vrijschrift,

Ante Wessels