Cybersécurité - le texte du CRA a été finalisé

Posté par  (site web personnel) . Édité par Benoît Sibaud, gUI et Ysabeau 🧶 🧦. Modéré par Benoît Sibaud. Licence CC By‑SA.
Étiquettes :
36
10
jan.
2024
Justice

Le texte final du CRA, projet de directive qui a pour objectif d’améliorer la cybersécurité des produits numériques en Europe, a été adopté par à l’issue du trilogue entre les institutions de l’Union Européenne. Il est probable qu’il sera adopté prochainement lors d’un vote au Parlement européen, et qu’il entrera en vigueur dans environ deux ans. À la clef, des pénalités très fortes pour les entreprises qui ne respecteront pas les critères.

Le texte prévoit que la Commission doit préparer des guides, notamment à l’intention des PME :

La Commission devra élaborer des guides pour aider les opérateurs économiques, en particulier les micro, petites et moyennes entreprises, à appliquer le présent règlement. Ces guides devront porter notamment sur le champ d’application du présent règlement, en particulier la notion de traitement des données à distance et les implications pour les développeurs de logiciels libres, l’application des critères utilisés pour déterminer la période de maintenance des produits comportant des éléments numériques, l’interaction entre le présent règlement et d’autres textes législatifs de l’Union et la notion de « modifications substantielles ».

Par ailleurs, l’UE a chargé le CEN/CENELEC d’élaborer des normes de développement de logiciels sécurisés et invite les communautés du logiciel libre à contribuer à ce processus, directement ou indirectement:

(6b) Lors de l’élaboration des mesures de mise en œuvre du présent règlement, la Commission consulte et tient compte des avis des parties prenantes concernées, tels que les autorités compétentes des États membres, le secteur privé, y compris les micro, petites et moyennes entreprises, la communauté des logiciels libres, les associations de consommateurs, le monde universitaire et les agences ou organes de l’Union compétents ou les groupes d’experts établis au niveau de l’Union.

Le consensus des observateurs sur le document final semble être que celui-ci a « patché » les problèmes les plus graves qui ont été soulevés par les acteurs du logiciel libre au cours du processus législatif. Néanmoins il reste à la fois des problèmes de fond (le texte donne une définition des « logiciels libres et open source » qui se démarque sensiblement des définitions de la FSF et de l’OSI) dont l’impact juridique à long terme n’est pas encore connu, ainsi que toutes les questions pratiques de la mise en œuvre de la directive et des normes associées par les entreprises, avec un surcoût pour les PME qui reste estimé à 30% des coûts de développement.

CRA: L’Europe va-t-elle jeter le bébé du logiciel libre avec l’eau du bain de la cyber-insécurité ?

Posté par  (site web personnel) . Édité par Benoît Sibaud et Arkem. Modéré par Benoît Sibaud. Licence CC By‑SA.
52
17
juil.
2023
Justice

Le Cyber Resilience Act ou CRA est un sujet qui a déjà été évoqué sur ces pages.

Il s’agit d’un projet de directive qui a pour objectif louable d’améliorer la cybersécurité des produits numériques en Europe. Cependant, c’est un texte “buggé” qui va faire l’objet d’un vote crucial cette semaine, le 19 juillet, au sein du comité ITRE du Parlement européen, et qui pourrait être adopté dans la foulée, sans vote en session plénière, par le Parlement lui-même. Si rien de change d’ici son adoption finale, il aura des conséquences particulièrement lourdes pour les petites et moyennes entreprises (PME) évoluant dans le domaine du logiciel libre, et plus généralement sur la filière du logiciel libre, une composante essentielle de l’économie numérique européenne.

Quels sont les principaux problèmes que pose le texte du comité ITRE pour la filière européenne du logiciel libre ?

Nous en discutons de manière plus détaillée dans cette dépêche, qui reprend, en très grande partie, un communiqué du CNLL.

Nouvelle « décision d'adéquation » de la Commission européenne sur les transferts de données UE<->EU

30
12
juil.
2023
Justice

Le 10 juillet 2023, la Commission européenne a adopté une « décision d’adéquation » au sujet du cadre de protection des données de l’Union européenne et des États-Unis. Sur la base de cette décision, les données à caractère personnel peuvent de nouveau circuler librement de l’UE vers les entreprises des États-Unis.

Cette décision est pour le moins controversée. Maximilian Schrems, lors de sa keynote à l’OSXP 2022, l’avait prévue, et annoncé par avance une action à venir auprès de la Cour de justice de l’union européenne (CJEU), qui, espérons-le, aboutira à une nouvelle invalidation, après les arrêts Schrems et Schrems II. Dans un communiqué, NOYB, l’association de Max Schrems, dénonce: « Le prétendu “nouveau” cadre transatlantique de protection des données personnelles est en grande partie une copie du “bouclier de protection des données” qui a échoué. Malgré les efforts de relations publiques de la Commission européenne, la législation américaine et l’approche adoptée par l’UE n’ont guère changé. Le problème fondamental de la loi FISA 702 n’a pas été abordé par les États-Unis, qui considèrent toujours que seuls les ressortissants américains peuvent prétendre à des droits constitutionnels. » (Les différents points juridiques évoqués ici sont clairement expliqués dans la keynote de Max Schrems à l’OSXP, ou détaillés dans le communiqué de NOYB).

Philippe Latombe, député français (MODEM) de Vendée, a posté dans un communiqué rageur: « Si mes espoirs restaient ténus, je dois dire que je ne m’attendais pas à un abandon aussi déshonorant, en rase campagne, des intérêts européens. […] Autant de mises en garde que la Commission européenne, faisant fi des avertissements du Parlement, et donc du Parlement lui-même, a balayées d’un revers de main, se livrant à un troc déshonorant qui peut se résumer ainsi : investissements américains en matériel militaire dans le conflit ukrainien et gaz d’outre-Atlantique, contre les données des Européens. […] Le temps joue en faveur du plus fort. Le capharnaüm juridique ainsi entretenu permet aux multinationales américaines des technologies de l’information et de la communication d’agir comme elles l’entendent, ou presque, de creuser leur avance, déjà considérable, au détriment de l’écosystème européen, et plus généralement de l’économie du vieux continent qui risque de ne pas s’en remettre. »

Linux atteint pour la première fois 3% de part de marché sur les PC

29
11
juil.
2023
Linux

« Linux » vient d'atteindre, d'après StatsCounter, 3% de part de marché sur les postes de travail.

Il semble que la définition de « Linux » sur ce site n'inclut pas ChromeOS (qui a pourtant un noyau Linux). Si on ajoute ChromeOS qui atteint 4%, on arrive à un total de 7% pour les systèmes à noyau Linux.

Statscounter est, à la base, un outil d'analyse d'audience utilisé par plus d'un million de sites, donc on peut s'attendre à ce que ce chiffre soit relativement fiable, au moins pour ce qui concerne la progression.

« Linux » avait dépassé 1% en avril 2013, et 2% en avril 2019. Autrement dit la progression s'accélère !

La France est en-dessous de la moyenne mondiale, avec seulement 2.7% (NdM: voir le journal mentionnant 4% en 2014). L'Europe est également à 3%. Il y a donc un léger retard français. C'est en Asie, avec 5%, qu'on trouve le meilleur score.

Publication de la feuille de route de l'European Alliance for Industrial Data, Edge and Cloud

Posté par  (site web personnel) . Édité par Benoît Sibaud. Modéré par Benoît Sibaud. Licence CC By‑SA.
17
7
juil.
2023
Cloud

L'Alliance européenne pour les données industrielles, l'informatique en périphérie et en nuage vient de publier la première version de sa feuille de route.

Cette feuille de route offre une vision collective des domaines technologiques et des activités connexes qui nécessitent un investissement stratégique pour permettre le développement et le déploiement conjoints de services en nuage et en périphérie compétitifs, sécurisés, fiables et neutres sur le plan climatique dans toute l'Europe afin de construire le continuum cloud-edge de nouvelle génération. En outre, ce document fournit une description actualisée des principales initiatives, associations, normes et projets open source européens en matière de services en périphérie et d'informatique dématérialisée. Il comprend également une analyse des opportunités et des défis de la souveraineté numérique.

Ce document constitue une refonte complète du document qui avait été publié il y a deux ans par une organisation différente.

Le Cyber Resilience Act de l’Union européenne menace l’avenir du logiciel libre

27
18
avr.
2023
Justice

Le CRA (Cyber Resilience Act) est un projet de directive européenne qui vise à améliorer la cybersécurité des produits et des services numériques dans l’Union européenne (UE). Malheureusement le texte actuellement proposé par la Commission et en cours d’examen au Parlement et au Conseil représente une menace existentielle pour la filière européenne du logiciel libre. C’est ce qui a été mis en évidence depuis la publication du texte par les experts de la filière du logiciel libre (cf. références).

Dans un communiqué commun et une lettre ouverte aux eurodéputés et aux représentants du Conseil de l’Union européenne publiés ce jour, les institutions signataires, représentatives de la communauté des logiciels libres, soulèvent les principaux problèmes avec le CRA, notamment que:

  • Si le CRA est mis en œuvre dans sa rédaction actuelle, cela aura un effet profondément dissuasif sur le développement et l’utilisation des logiciels libres en Europe, ce qui aurait pour effet de compromettre les objectifs de l’UE en matière d’innovation, de souveraineté numérique et de prospérité future.
  • Le CRA ne prend pas en compte les besoins et les perspectives uniques des logiciels libres, notamment en tant que méthodologie moderne utilisée pour créer des logiciels.
  • La communauté des logiciels libres n’a pas été suffisamment consultée lors de l’élaboration du CRA, malgré le fait que les logiciels libres représentent plus de 70% des logiciels intégrés dans les produits numériques en Europe.
  • Il est essentiel qu’à l’avenir, toute législation qui impacte l’industrie européenne du logiciel prenne en compte les besoins et les perspectives uniques des logiciels libres, qui jouent un rôle critique dans l’économie numérique, et représentent environ 100 milliards d’euros d’impact économique en Europe.

Publication par la Commission européenne d'une étude sur l'impact économique du logiciel libre

Posté par  (site web personnel) . Édité par Ysabeau 🧶 🧦. Modéré par Ysabeau 🧶 🧦. Licence CC By‑SA.
Étiquettes : aucune
36
10
sept.
2021
Commercial

La Commission européenne a publié cette semaine une étude sur l’impact des logiciels et du matériel libres sur l’économie européenne, réalisée par Fraunhofer ISI et OpenForum Europe.

Selon le résumé exécutif du rapport :

Les entreprises dans l’UE ont investi environ 1 milliard d’euros dans les logiciels libres en 2018, avec un impact sur l’économie européenne entre 65 et 95 milliards d’euros. L’analyse estime un rapport coûts-bénéfices supérieur à 1:4 et prédit qu’une augmentation de 10 % des contributions aux logiciels libres créerait annuellement 0,4 % à 0,6 % de PIB en plus ainsi que plus de 600 start-ups technologiques supplémentaires dans l’UE. Des études de cas révèlent qu’en privilégiant les logiciels libres, le secteur public pourrait réduire le coût total de possession, éviter un effet de dépendance à l’égard des fournisseurs et accroître ainsi son autonomie numérique. L’étude analyse également les actions de politique publique en Europe et dans le monde.

Le rapport fait également des recommandations, parmi lesquelles :

  • mener une politique industrielle dédiée à l’open source et de l’inclure dans ses principaux cadres politiques, tels que le pacte vert pour l’Europe et la stratégie industrielle européenne, ainsi que dans les politiques relatives aux PME,
  • mettre en place un réseau européen d’entités administratives dédiées à l’accélération de l’utilisation des logiciels libres et des technologies ouvertes (OSPOs ou “Missions logiciels libres”),
  • fournir un financement substantiel aux mécanismes de support, ainsi qu’aux projets open source eux-mêmes, par exemple par le biais du programme de R&D Horizon Europe, d’améliorer l’inclusion des logiciels libres dans les marchés publics,
  • et plus globalement promouvoir l’autonomie numérique et la souveraineté technologique via le logiciel libre.

Le logiciel libre au cœur du Deuxième Plan national pour la science ouverte

Posté par  (site web personnel) . Édité par Ysabeau 🧶 🧦, Pierre Jarillon et bobble bubble. Modéré par Nÿco. Licence CC By‑SA.
Étiquettes :
28
10
juil.
2021
Science

Le Deuxième Plan national pour la science ouverte a été publié récemment par le Ministère de la Recherche.

Parmi les quatre axes d’action de ce plan, qui sont par ailleurs tous intéressants, on note en particulier l’axe 3 : « Ouvrir et promouvoir les codes sources produits par la recherche », avec les mesures suivantes :

  • valoriser et soutenir la diffusion sous licence libre des codes sources issus de recherches financées sur fonds publics ;
  • mettre en valeur la production des codes sources de l’enseignement supérieur, de la recherche et de l’innovation ;
  • définir et promouvoir une politique en matière de logiciel libre.

Le document met en particulier en exergue les deux éléments suivants :

  • L’ouverture des codes source des logiciels est un enjeu majeur de reproductibilité des résultats scientifiques.
  • La diffusion des productions logicielles sous licence libre sera privilégiée.

Création d'Euclidia, l'Alliance industrielle européenne du cloud

Posté par  (site web personnel) . Édité par Ysabeau 🧶 🧦. Modéré par Ysabeau 🧶 🧦. Licence CC By‑SA.
Étiquettes :
22
9
juil.
2021
Cloud

Dans un contexte où la doctrine cloud de l’État fait l’objet de nombreuses critiques (« Doctrine cloud de l’État : l’open source mis de côté », « Tribune : les technologies libres ou européennes de cloud sont-elles exclues des marchés publics en France ? », « Service après-vente bonjour ! : le futur de la French Tech ? », etc.), 23 entreprises européennes indépendantes qui créent des technologies originales de cloud, dont une partie sont des acteurs du logiciel libre, ont annoncé la création de l’European Cloud Industrial Alliance (Euclidia), pour la promotion de l’indépendance numérique et de l’autonomie stratégique.

La création d’Euclidia est également soutenue par plusieurs associations du logiciel libre, comme le CNLL, le Fond de Dotation du Libre et OW2.

Euclidia portera la voix des innovateurs européens du cloud. Sa mission est de fournir aux législateurs et aux décideurs politiques à la fois la vision et l’expertise de terrain pour créer des politiques qui encouragent l’adoption et le développement des technologies du cloud créées en Europe. Ces politiques doivent refléter les valeurs européennes telles que la protection de la vie privée et la promotion d’une concurrence loyale, tout en permettant aux industries européennes du cloud d’être compétitives.

Quel lien entre souveraineté numérique et logiciel libre ?

21
9
juin
2021
Justice

Le sujet de la souveraineté numérique, vue comme une autonomie stratégique pour l’Union européenne et les États membres dans l’espace du numérique, est un sujet qui revient de plus en plus souvent dans l’actualité, compte-tenu notamment de la prise de conscience collective de l’influence grandissante et sans doute excessive des GAFAM.

La Commission européenne, dans sa Communication d’octobre 2020 sur sa stratégie open source, en faisait un principe fondateur, et mettait en avant de nombreux arguments faisant le lien entre logiciel libre et souveraineté numérique.

Le gouvernement allemand a décidé au mois d’avril 2021 de créer un « centre pour la souveraineté numérique » (ZenDiS) dont la mission première sera la promotion des logiciels libres dans l’administration publique.

Le CNLL a récemment publié son étude de la filière du logiciel libre en France qui met en avant cette année, entre autres, ce sujet, et notamment l’implication des entreprises de l’écosystème français et des propositions concrètes. Voir en particulier les pages 59 à 93 du rapport détaillé.

Stefane Fermigier, co-président du CNLL, a été auditionné la semaine dernière par la mission d’étude de l’Assemblée nationale sur la souveraineté numérique, et a détaillé l’ensemble de ces points. La vidéo de ses échanges avec le rapporteur de la mission, le député Philippe Latombe, ainsi qu’une transcription, sont à présent disponibles.

Publication du rapport de la Mission Bothorel sur les données et les codes sources de l’État

30
28
déc.
2020
Justice

La Mission Bothorel « ayant pour objet la politique de la donnée et des codes sources de l’État », lancée en juin dernier, vient de rendre son rapport au Premier Ministre qui « assure d’ores et déjà que des mesures seront prises pour mettre en œuvre les recommandations formulées. » Le Conseil National du Logiciel Libre (CNLL) avait été auditionné par la mission et était intervenu lors de la consultation publique qui a eu lieu en octobre et novembre.

Le rapport fait 215 pages et il contient 37 recommandations. Il est difficile de le résumer en quelques lignes, nous nous contenterons de saluer ici la reconnaissance des « logiciels libres comme composants stratégiques de nos systèmes d’information », et parmi les propositions, celle-ci: « Créer un “Open Source Program Office” (OSPO) […], chargé d’aider l’administration à ouvrir et à réutiliser les codes sources publics, d’identifier les enjeux de mutualisation et de créer des liens avec les communautés open source existantes et d’accompagner les talents français dans ce domaine ».

On pourrait regretter que des sujets comme la politique d’achat de logiciels de l’État (autrement dit, la notion de « priorité », de « préférence » ou même d’« encouragement » pour le logiciel libre) ou la politique industrielle de soutien à la filière du logiciel libre ne soient pas abordés dans le rapport, mais on observera que ces sujets ne faisaient pas partie de la commande passée par le Premier Ministre à la Mission.

Python dépasse Java en popularité selon l’indice TIOBE de novembre

Posté par  (site web personnel) . Édité par Davy Defaud, ted et Xavier Teyssier. Modéré par Ysabeau 🧶 🧦. Licence CC By‑SA.
Étiquettes :
27
6
nov.
2020
Python

Selon TechRepublic, qui commente la dernière édition de l’indice TIOBE qui mesure (de façon certes un peu opaque) la popularité des langages de programmation, Python vient de passer devant Java et est devenu deuxième derrière C. Preuve à la fois de la maturité du langage Python dans l’industrie et de la montée en force des usages pour lesquels il excelle (notamment l’apprentissage automatique).

Cela serait sans doute anecdotique si d’autres sources n’avaient pas également classé Python parmi les langages les plus dynamiques ces dernières années, notamment :

Par ailleurs, si vous utilisez Python et que vous souhaitez exprimer votre avis sur son évolution, il vous reste (à la date d’écriture de cette dépêche) deux jours pour participer à l’enquête annuelle de la PSF (Python Software Foundation) et de JetBrains auprès des développeurs Python.

Contribuez à la consultation ouverte sur la politique de la donnée et des codes sources de l’État

20
2
nov.
2020
Administration système

Dans le cadre de la mission parlementaire démarrée en juin 2020 par le député Éric Bothorel ayant pour objet la politique de la donnée et des codes sources, une consultation est ouverte jusqu’au 9 novembre. La consultation vise à récolter des avis sur les freins actuels à l’ouverture des données, des codes sources et des données d’intérêt général, et les solutions à mettre en œuvre pour libérer le potentiel de la donnée et des codes pour la société et l’économie française.

Le CNLL a rédigé plusieurs propositions, notamment un constat et une solution :

Vous êtes donc invités à participer, à voter pour les propositions du CNLL si elles vous semblent opportunes (ou pour d’autres, ou de rédiger vos propres propositions), afin de mettre le sujet du logiciel libre au cœur de cette mission.

N. D. M. — Dépêche sur le même sujet avec les propositions de l’April.

La Commission européenne dévoile sa stratégie sur le logiciel libre pour 2020-2023

Posté par  (site web personnel) . Édité par Davy Defaud, Ysabeau 🧶 🧦 et ted. Modéré par Ysabeau 🧶 🧦. Licence CC By‑SA.
43
22
oct.
2020
Justice

La Commission européenne a publié le 21 octobre sa stratégie sur le logiciel libre pour la période 2020-2023.

Dans un document en français de seize pages, on peut prendre connaissance de la vision de la Commission : « [exploiter] la puissance de transformation, d’innovation et de collaboration du code source ouvert en encourageant le partage et la réutilisation de solutions logicielles, de connaissances et d’expertise, afin de fournir de meilleurs services européens qui visent à réduire les coûts pour la société et l’enrichissent », de son lien avec la stratégie de la Commission en matière de souveraineté numérique (« il est encore temps pour parvenir à une souveraineté technologique dans certains domaines technologiques essentiels »), de sa volonté de partager et de contribuer (« Nous partageons notre code et rendons possible les contributions incidentes aux projets à code source ouvert associés. […] Nous nous efforçons d’être un membre actif de l’écosystème diversifié du code source ouvert. »), et enfin des leviers et actions concrets envisagés par la Commission, dont, par exemple :

  • privilégier les solutions « open source » lorsqu’elles sont équivalentes en matière de fonctionnalités, de coût total et de cybersécurité (ce principe a déjà été adopté par la Commission en 2018 et discuté dans ce communiqué) ;
  • adopter une culture de travail fondée sur les principes du code source ouvert, le partage et la réutilisation ;
  • s’assurer que les codes utilisés et partagés sont exempts de failles en appliquant des tests de sécurité continus ;
  • encourager des normes et spécifications ouvertes qui sont mises en œuvre et diffusées selon le principe du code source ouvert ;
  • mettre en place un bureau de programme open source (OSPO, Open Source Program Office) qui agira en tant que facilitateur pour toutes les activités décrites dans la stratégie et le plan d’action ; il aidera les spécialistes des différents domaines concernés, encouragera les directions générales et contribuera à équilibrer les priorités internes et les activités externes.

Le Conseil d’État reconnaît que le gouvernement US peut accéder aux données de santé des Français

Posté par  (site web personnel) . Édité par Davy Defaud. Modéré par Davy Defaud. Licence CC By‑SA.
97
15
oct.
2020
Justice

Dans une ordonnance rendue publique ce jour, le Conseil d’État, saisi par le collectif Santenathon, reconnaît que le gouvernement des États‑Unis peut accéder sans contrôle aux données de santé des Français hébergées par le Health Data Hub chez Microsoft, et demande des garanties supplémentaires.

Cette décision est justifiée par l’arrêt de la Cour de justice de l’Union européenne (CJUE) du 16 juillet 2020, dit « Schrems II », qui juge que la surveillance exercée par les services de renseignements américains sur les données personnelles des citoyens européens est excessive, insuffisamment encadrée et sans réelle possibilité de recours. La CJUE en a déduit que les transferts de données personnelles depuis l’Union européenne vers les États‑Unis sont contraires au règlement général sur la protection des données (RGPD) et à la Charte des droits fondamentaux de l’Union européenne, sauf à apporter des garanties particulières ou dans certains cas dérogatoires.

Les jours sont donc bien comptés pour cette plate‑forme développée depuis deux ans, sans appel d’offre, et au mépris de l’offre des sociétés françaises et européennes, notamment des acteurs du logiciel libre. Le Gouvernement a en effet exprimé, jeudi dernier devant le Sénat, sa volonté de transférer le Health Data Hub sur des plates‑formes françaises ou européennes. Dans l’intervalle, la juge du Conseil d’État demande au Health Data Hub de travailler à minimiser ce risque, notamment en concluant un nouvel avenant avec Microsoft, et à ce que la CNIL instruise les demandes d’autorisation des projets de recherche utilisant le Health Data Hub en vérifiant que l’intérêt du projet, compte tenu de l’urgence sanitaire actuelle, est suffisant pour justifier le risque encouru et que le recours à la plate‑forme est nécessaire.