Skoraj vsak komercialni programski izdelek vsebuje odprtokodne komponente, običajno na stotine, ki jih izberejo razvijalci in ne odvetniki. To postane problem, ko nihče ne more povedati, katere licence veljajo, kaj zahtevajo in ali je izdelek skladen s predpisi. Ta članek pojasnjuje, kako odprtokodne licence delujejo v skladu z nizozemsko in evropsko zakonodajo, kje je tveganje in kaj je treba imeti na voljo.
Kaj je licenca odprte kode v pravnem smislu
Licenca za odprtokodno programsko opremo je licenca za avtorske pravice, podeljena pod določenimi pogoji. Ne gre za odpoved pravicam, ne za predajo v javno domeno, ne za opustitev pravic in v tem pogledu deluje kot katera koli druga licenca za programsko opremo po nizozemski zakonodaji . Avtor si pridržuje avtorske pravice v skladu s 1. členom Aw in 10. členom Aw, ki varujeta računalniške programe kot dela, licenca pa dovoljuje dejanja, ki bi sicer kršila izključne pravice iz 12. člena Aw in 13. člena Aw.
Posledica je pomembnejša od definicije. Če upoštevate določila, bo vaše kopiranje in distribucija zakonita. Če dovoljenje ne upoštevate, ne bo kritje tega, kar ste storili: vaša uporaba je kršitev avtorskih pravic, ne kršitev pogodbe. Večina licenc copyleft to krepi s samodejnim prenehanjem ob kršitvi – GPLv2 brez kakršnega koli roka za odpravo kršitev, medtem ko GPLv3 in AGPLv3 ponovno vzpostavita pravice, če je kršitev odpravljena v določenem roku po obvestilu.
Nizozemska sodišča uporabljajo to obrazložitev. V zadevi Rb. Amsterdam 22. septembra 2020 je bilo ugotovljeno, da je distributer, ki je odstranil besedilo licence in obvestilo o avtorskih pravicah iz razvejane kodne baze, izgubil dovoljenje in kršil avtorske pravice. Dodajanje velike količine nove kode ni ustvarilo neodvisnega dela: izvirnik je ostal prepoznavno prisoten, zato so se z njim prenašale tudi obveznosti.
Dve družini: permisivna in copyleft
Permisivne licence – MIT, licence BSD, Apache 2.0 – dovoljujejo uporabo, spreminjanje in redistribucijo, vključno znotraj izdelkov z zaprto kodo, če ohranite obvestila o avtorskih pravicah in besedilo licence.
Licence copyleft zahtevajo, da pri distribuciji programske opreme ali nečesa, kar je zgrajeno na njej, to storite pod isto licenco in da na voljo ustrezno izvorno kodo. Razlikujejo se po dosegu.
| Družina | Tipične licence | Osnovna obveznost | Sprožil | Lastniška kombinacija |
|---|---|---|---|---|
| Permisivno | MIT, BSD-2/3, Apache 2.0 | Ohrani obvestila, besedilo licence, izjave o omejitvi odgovornosti; Apache doda obvestila o spremembah | Distribucija v izvorni ali binarni obliki | Da |
| Šibka avtorska pravica | MPL 2.0, LGPL 2.1/3, EPL 2.0 | Vir za zajete datoteke ali knjižnico; LGPL dodaja možnost zamenljivosti | Distribucija zajetih datotek ali knjižnice | Da, s skrbjo za mejo |
| Močno avtorsko pravo | GPLv2, GPLv3, EUPL 1.2 | Ista licenca za celotno združeno delo; dopolnite ustrezni vir | Distribucija; EUPL ima tudi dostop do bistvenih funkcij | Ne, razen če so resnično ločeni |
| Avtorske pravice v omrežju | AGPLv3 | Kot GPLv3, plus vir za oddaljene uporabnike prek omrežja | Distribucija ali izvajanje spremenjene različice kot storitve | Ne |
Sprožilec copyleft in vprašanje povezovanja
Obveznosti avtorskega leva veljajo za distribucijo, ne za uporabo. Podjetje, ki interno uporablja programsko opremo GPL, pa naj bo še tako močno spremenjena, ne distribuira ničesar in ni nič dolžno. »Ali smo distribuirali?« je vedno prvo vprašanje in zato so vsebniki, naprave, vdelana programska oprema in SDK-ji pomembnejši od internega orodja.
Drugo vprašanje je težje. GPL govori o »delu, ki temelji na programu«, pri čemer si sposoja ameriški koncept izpeljanega dela. Nizozemska zakonodaja takega izraza nima: analiza se osredotoča na pravice do reprodukcije in priredbe ter sprašuje, ali je bil reproduciran zaščiten izraz iz izvirnika.
Praktični primer je povezovanje. Ali povezovanje lastniškega modula s knjižnico GPL ustvari eno delo, za katero velja copyleft, nizozemsko sodišče še ni odločilo in ni zavezujočega organa EU. Stališče fundacije Free Software Foundation, da povezovanje ustvari združeno delo, je razlaga upravljavca licenc, ne zakon, nasprotno stališče pa je prav tako nepreizkušeno. Najljubši odgovor interneta – dinamično povezovanje je varno, statično povezovanje ne – nima podlage v nizozemskem zakonu o avtorskih pravicah, ki ne sprašuje, kako se prevajalnik obnaša. Bolj branljiva analiza sprašuje, kako tesno so komponente združene: ali si delijo naslovni prostor in podatkovne strukture, ali je kombinacija dobavljena kot en izdelek, ali lahko deluje samostojno, ali lastniška stran reproducira glave, makre ali vgrajeno kodo s strani copyleft? Ta vprašanja običajno rešijo tveganje. Če ne, komponento izolirajte za mejo procesa, jo zamenjajte ali pa vzemite komercialno licenco.
AGPL in uporaba omrežja
AGPL obstaja, ker se copyleft sproži z distribucijo in ponudniki SaaS ne distribuirajo. Njegova omrežna klavzula zahteva, da če spremenite programsko opremo in jo daste na voljo uporabnikom, ki z njo komunicirajo na daljavo, jim ponudite ustrezno izvorno kodo vaše spremenjene različice.
Pogosto se spregledajo tri točke. Obveznost se nanaša na uporabnike storitve, kar v izdelku z odprto registracijo ni ravno udobje. Sproži se s spremembo, zato je nespremenjena komponenta ne aktivira, popravljena različica pa lahko. In sproža isto vprašanje kombiniranega dela kot GPL za preostali del vašega sklada – zato mnoga podjetja prepovedujejo AGPL v produkcijski kodi.
Združljivost licenc
Združljivost je problem kombiniranja komponent, katerih licence nalagajo obveznosti, ki jih ni mogoče izpolniti v eni distribuciji: permisivne licence so združljive s skoraj vsem, licence copyleft pa le s tistim, kar dovoljujejo njihovi lastni pogoji. Standardni primer sta Apache 2.0 in GPLv2. Fundacija Apache Software Foundation in Fundacija Free Software Foundation se strinjata, da kombinacija ni dovoljena, ker so določbe o prekinitvi patenta in odškodnini v Apacheju 2.0 dodatne omejitve, ki jih GPLv2 ne dovoljuje. GPLv3 je bil zasnovan tako, da jih sprejme. Združljivost je tudi usmerjena: kodo Apache je mogoče vključiti v projekt GPLv3, ne pa obratno. Ena komponenta GPL na napačnem mestu lahko prisili k izbiri med ponovnim licenciranjem, preoblikovanjem ali odstranitvijo – veliko ceneje pred izdajo kot po njej.
Obveznosti glede pripisovanja in obveščanja
Najpogosteje kršene obveznosti so najmanj dramatične: reprodukcija obvestil o avtorskih pravicah, besedil licenc, izjav o omejitvi odgovornosti in, pod Apache 2.0, vsebine OBVESTILA v gradivih, ki spremljajo distribucijo. Vsaka družina jih nalaga, vključno z MIT in BSD. Kršene so, ker jih nihče nima v lasti, in jih je najlažje popraviti – običajno je to ustvarjena datoteka z navedbo avtorstva, ki je priložena izdelku. Zgornji nizozemski primer je pokazal prav to napako.
Podelitve patentov in povračilni ukrepi zaradi patentov
MIT in BSD ne omenjata ničesar o patentih, vprašanje, ali je mogoče implicitno upoštevati patentno licenco, pa ni povsem jasno. Apache 2.0 je dodal izrecno, brezplačno patentno licenco za vsakega sodelavca, skupaj s klavzulo o povračilnih ukrepih: če vložite patentni spor, v katerem trdite, da delo krši patent, vaša patentna licenca preneha veljati. GPLv3 vsebuje primerljivo podelitev in lastne patentne določbe.
Za podjetja s patentnimi portfelji obstajata dve posledici. Če vaši inženirji prispevajo k projektom z licenco Apache ali GPLv3, podeljujete licence v okviru lastnih patentov. In če kdaj uveljavljate patente proti podjetju, ki je odvisno od istih komponent z licenco Apache, ki jih uporabljate, vas lahko povračilni ukrepi stanejo licence, na katero se zanašate.
EUPL in nizozemski javni sektor
Javna licenca Evropske unije različice 1.2, ki jo je Evropska komisija odobrila z izvedbenim sklepom maja 2017, je licenca copyleft, ki jo je odobril OSI, s tremi značilnostmi.
- Jezik. Obstaja v uradnih jezikih EU, vse odobrene različice pa imajo enako veljavo, zato lahko nizozemski organ sklepa pogodbe v nizozemščini.
- Kompatibilnost. Dodatek navaja združljive licence – med njimi GPLv2 in v3, AGPLv3, LGPL, MPL 2, EPL 1.0, OSL in CeCILL – in dovoljuje, da se izpeljano delo, ki združuje kodo EUPL s kodo pod navedeno licenco, distribuira pod to licenco.
- Doseg. Njegova definicija distribucije zajema omogočanje dostopa do dela na spletu ali brez povezave. ali zagotavljanje dostopa do njegovih bistvenih funkcijin člen 5 EUPL prenaša obveznost avtorskega prava na interakcijo na daljavo, v kateri je ponujena ista funkcionalnost. Torej se nanaša na programsko opremo, dobavljeno kot storitev, na način, kot ga GPL ne.
Nizozemska stranka iz javnega sektorja lahko zahteva licenco EUPL na podlagi politike in ne zakona. Zakon o interoperabilnosti Evrope, Uredba (EU) 2024/903, nalaga organom javnega sektorja, naj dajejo prednost rešitvam za interoperabilnost brez omejevalnih licenčnih pogojev, kot je odprtokodna programska oprema, kjer je to enakovredno; na nacionalni ravni načelo odprtokodne programske opreme, tenzij, temelji na odločitvah kabineta in političnih smernicah, ne pa na zakonu: Wet digitale overheid omogoča infrastrukturo digitalne identitete, vendar ne nalaga nobene izvršljive obveznosti objave vse izvorne kode. Preberite razpisno dokumentacijo: zahteva EUPL zavezuje vaš dobavljeni izdelek in je lahko nezdružljiva z lastniško kodo, ki ste jo nameravali ponovno uporabiti.
Izvrševanje v praksi
Kdo lahko toži. Imetnik pravic – posamezni sodelavci ali fundacija oziroma podjetje, ki ima dodeljene avtorske pravice. Razdrobljeno avtorstvo je praktična ovira: tožnik mora dokazati lastništvo sporne kode. To je zavrnilo najbolj znani evropski primer GPL, kjer je tožba razvijalca jedra proti prodajalcu virtualizacije zavrnjena zaradi pomanjkanja dokaza o avtorstvu (LG Hamburg, 8. julij 2016, 310 O 89/15; potrjeno OLG Hamburg, 28. februar 2019, 5 U 146/16).
Kaj ugotavlja sodna praksa. Nemška sodišča so večkrat priznala, da so licence za odprtokodno programsko opremo veljavne in da kršitev povzroči nezakonito distribucijo, začenši s prvo odredbo GPL (LG München I 19. maj 2004, 21 O 6123/04). Zvezno okrožno sodišče ZDA je v zadevi Jacobsen proti Katzer , 535 F.3d 1373 (Fed. Cir. 2008), prišlo do enakega zaključka: licenčni pogoji so pogoji glede obsega podelitve, ne zgolj zaveze, zato kršitev podpira zahtevek za avtorske pravice in odredbo o prepovedi. V ameriškem sodnem sporu se preučuje, ali lahko prejemnik na nižji stopnji uveljavlja licenco GPL kot upravičenec tretje osebe. To je osrednje vprašanje v zadevi Software Freedom Conservancy proti Vizio pred višjim sodiščem v Kaliforniji: ali lahko potrošniki kot upravičenci tretje osebe zahtevajo izdajo izvorne kode v skladu z licenco GPLv2. Sodišče je 23. decembra 2025 odločilo o eni točki skrajšanega postopka in razsodilo, da GPLv2 in LGPLv2.1 zahtevata izvorno kodo, ki jo je mogoče pridobiti in predelati za uporabo drugje, in ne izvorne kode, ki jo je mogoče ponovno namestiti na napravo, ne da bi pri tem ohranilo njeno funkcionalnost. Vprašanje upravičenca tretje osebe je bilo prepuščeno na obravnavo pred sodnim senatom, ki je bila večkrat preložena. V vsakem primeru gre za vprašanje kalifornijskega pogodbenega prava, zato na Nizozemskem ni zavezujoče; spremenilo bi le število ljudi, ki se lahko pritožijo.
Kako bi k temu pristopilo nizozemsko sodišče. Kot kršitev avtorskih pravic v skladu z zakonom Auteurswet: tožnik dokaže lastništvo in reprodukcijo ali priobčitev; toženec se sklicuje na licenco; tožnik odgovori, da njegovi pogoji niso bili izpolnjeni, zato obramba ne uspe. Pogodbena pravna sredstva v skladu s členom 6:265 BW potekajo vzporedno, vendar je avtorska pravica močnejša pot.
Pravna sredstva. Sodna odredba v skladu s členom 3:296 BW, običajno z denarno kaznijo in na voljo v skrajšanem postopku; odškodnina v skladu s členom 27 Aw in obračun dobička v skladu s členom 27a Aw; odpoklic, predaja ali uničenje v skladu s členom 28 Aw; in polno povračilo razumnih in sorazmernih sodnih stroškov v skladu s členom 1019h Rv. Kjer je bila programska oprema distribuirana brezplačno, je izgubo težko opredeliti, nemško pritožbeno sodišče pa je zavrnilo dodelitev odškodnine, hkrati pa je potrdilo sodno odredbo (OLG Hamm, 13. junij 2017, 4 U 72/16). Redko je škoda huda: gre za sodno odredbo, odpoklic, odredbo o stroških in obveznost objave vira, ki ga nikoli niste nameravali objaviti.
Ko odkrijete težavo s skladnostjo s predpisi
Odkritje običajno izhaja iz varnostnega vprašalnika stranke, skeniranja med skrbnim pregledom ali pisma imetnika pravic. Sanacija nato poteka na naslednji način. Ustavite distribucijo prizadete različice, če je izpostavljenost resna. Ugotovite, katera komponenta, katera različica, katera licenca, kateri izdelki in izdaje ter za kakšno obdobje. Ugotovite, kaj licenca dejansko zahteva – pogosto datoteko z navedbo avtorstva in ne izdaje izvorne kode. Pripravite artefakte: obvestila, besedila licenc, dokončajte ustrezno izvorno kodo, vključno s skripti za gradnjo, in pisno ponudbo, kjer je bila uporabljena. Pošljite skladno izdajo, nato pa imetniku pravic povejte, kaj ste storili, namesto da se prepirate o tem, ali ste morali to storiti.
V skladu z GPLv3 in AGPLv3 daje obdobje odprave napak pravno vrednost hitrosti; v skladu z GPLv2 ni pravice do odprave napak, zato se večina izvršitve konča s pogajano zavezo k skladnosti. Upoštevajte tudi, da je privilegij povezan z nasvetom vašega odvetnika, ne pa z internim inženirskim poročilom.
Odprtokodna koda pri združitvah in prevzemih ter skrbnem pregledu
Pri prevzemu programske opreme je odprtokodna programska oprema standardni postopek skrbnega pregleda, nerazkrita komponenta copyleft v osrednjem izdelku pa je ena redkih ugotovitev, ki resnično vpliva na posel: če izdelka ni mogoče distribuirati brez objave njegove izvorne kode, kupec pridobiva drugačno sredstvo od tistega, za katerega je bila določena cena.
Pričakujte pregled kodne baze, popis komponent z licencami in vprašanja o dogovorih med sodelavci in izvajalci. Tipični rezultati so posebna odškodnina, zadržanje do odprave napake, odložni pogoj, ki zahteva odstranitev, ali garancija za odprtokodno programsko opremo po meri. Prodajalci bi morali najprej pregledati: ugotovitve, ki jih razkrijete, so predmet pogajanj, ugotovitve, ki jih naredi svetovalec kupca, pa so vzvod. Kupci ne bi smeli iskati izjave, da »podjetje ima v lasti svojo intelektualno lastnino«, temveč izjavo, da noben izdelek ne vključuje odprtokodne programske opreme, ki zahteva razkritje lastniške izvorne kode.
Seznam materialov, skeniranje in zakon o kibernetski odpornosti
Seznam materialov programske opreme je popis komponent izdelka z različicami in licencami. Do nedavnega je bil zgolj pogodbeni, zdaj pa je tudi regulativni.
Zakon o kibernetski odpornosti, Uredba (EU) 2024/2847, je začel veljati 10. decembra 2024 in se uvaja postopno. Uveljavlja se vzporedno z nizozemskim zakonom o kibernetski varnosti , ki obravnava organizacijo in ne izdelka. Obveznosti poročanja o aktivno izkoriščenih ranljivostih in resnih incidentih iz člena 14 CRA se uporabljajo od 11. septembra 2026; določbe o priglasitvi organov za ugotavljanje skladnosti od 11. junija 2026; Uredba v celoti od 11. decembra 2027 (člen 71 CRA). Priloga I CRA od proizvajalcev zahteva, da identificirajo in dokumentirajo komponente v izdelku, vključno s pripravo seznama materialov programske opreme v splošno uporabljeni in strojno berljivi obliki, ki zajema vsaj odvisnosti najvišje ravni. Objava ni potrebna; organi za nadzor trga jo lahko zahtevajo.
Brezplačna in odprtokodna programska oprema, dobavljena zunaj komercialne dejavnosti, ne spada v področje uporabe CRA. Uredba uvaja skrbnika odprtokodne programske opreme – pravno osebo, ki zagotavlja trajno podporo razvoju odprtokodne programske opreme, namenjene komercialnim dejavnostim – z lažjimi obveznostmi v členu 24 CRA: dokumentirana politika kibernetske varnosti, sodelovanje z organi za nadzor trga in poročanje. Če komercializirate odprtokodno programsko opremo ali financirate projekt, ki ga komercializirajo drugi, navedite, katero vlogo imate. Komisija je 27. julija 2026 sprejela svoje prve smernice: smernice Komisije o uporabi Zakona o kibernetski odpornosti (CRA), priložene sporočilu C(2026) 5252, ki med drugim obravnavajo, kdaj brezplačna in odprtokodna programska oprema spada v področje uporabe. Ni bil sprejet noben izvedbeni akt, ki bi predpisoval obliko seznama materialov za programsko opremo, zato zaenkrat ostaja ukrep lasten standard Uredbe – splošno uporabljena, strojno berljiva oblika.
Analiza sestave programske opreme, ki se izvaja v CI, hkrati ustvari inventar, ki zagotavlja skladnost s predpisi, pregled licenc in skrbnost. Takšna orodja zgrešijo kodo ponudnika, napačno prepoznajo projekte z dvojno licenco in ne morejo prebrati licenčnih pogojev: izhod obravnavajo kot začetek pregleda, ne pa kot sam pregled.
Če objavite svojo kodo: CLA in DCO
Podjetje, ki izda kodo in sprejema zunanje prispevke, se mora zavedati, da ima pravice do tistega, kar združuje. Licenčna pogodba za sodelavce je pogodba med projektom in sodelavcem, ki običajno podeljuje široko licenco za avtorske pravice in izrecno patentno licenco z jamstvi glede izvirnosti in avtoritete. To podjetju omogoča, da pozneje ponovno licencira svoj projekt ali ponudi komercialne licence poleg odprtokodne. Njeni stroški so trenje.
Potrdilo o izvoru razvijalca , ki ga uporablja jedro Linuxa in številni drugi projekti, ni licenca, temveč lahka potrditev, dodana kot potrditvena vrstica vsaki objavi, da lahko sodelavec odda kodo pod licenco projekta. Manj obremenjujoče in manj zaščitno: brez patentne licence, brez ponovnega licenciranja.
Če je dvojno licenciranje ali prihodnja uporaba licenc mogoča, uporabite pogodbo o kolektivni licenci (CLA); če je projekt resnično skupna dobrina, je običajno dovolj pogodba o sodelovanju (DCO). V vsakem primeru se prepričajte, da vaše pogodbe o zaposlitvi in pogodbene pogodbe dodeljujejo avtorske pravice za kodo, ki jo pišejo vaši ljudje.
Praktični kontrolni seznam politik
- Ustvarite inventar komponent za vsak izdelek in ga izdajte v cevovodu za gradnjo, ne ročno.
- Objavite interno politiko: seznam dovoljenih vsebin, seznam prepovedanih vsebin in postopek odobritve za vse ostalo.
- Pisno opredelite, kaj se šteje za distribucijo – namestitve na lokaciji, naprave, vsebniki, SDK-ji, mobilne aplikacije, vdelana programska oprema.
- Z vsakim izdelkom pošljite ustvarjeno datoteko z atribucijo.
- Izbire licenc odobrite v času načrtovanja, ko je komponenta izbrana, ne ob izdaji.
- Odločite se, ali je za prispevke k zunanjim projektom potrebna odobritev, glede na vključene patentne podelitve, in pred prvim zunanjim prispevkom izberite CLA ali DCO.
- Uskladite garancije za intelektualno lastnino, odškodnine in pogoje varščine z odprtokodno kodo, ki je dejansko v izdelku.
- Pregled opravite pred postopkom zbiranja sredstev ali prodaje, ne med njim.
Law & More svetuje podjetjem za programsko opremo in njihovim vlagateljem Eindhoven in Amsterdam o skladnosti z odprtokodno programsko opremo, pregledu licenc, dogovorih s sodelavci in delovnem toku odprtokodne programske opreme v transakciji.
Ali uporaba odprtokodne programske opreme pomeni, da moramo objaviti lastno izvorno kodo?
Samo če velja licenca copyleft in jo aktivirate. Permisivne licence je nikoli ne zahtevajo. Licence copyleft jo zahtevajo, ko distribuirate delo, ki vsebuje kodo copyleft, AGPL pa to razširja na spremenjeno programsko opremo, ki se ponuja kot omrežna storitev. Notranja uporaba brez distribucije ne ustvarja nobene obveznosti.
Ali je licenca, kot je licenca MIT, izvršljiva na Nizozemskem brez podpisa?
Da. Gre za neizključno licenco za avtorske pravice, zato zahteva po listini iz 2. člena Aw ne velja in zadostuje sprejetje z ravnanjem. Nizozemsko sodišče bi neupoštevanje pogojev obravnavalo kot uporabo zunaj danega dovoljenja, kar bi pomenilo kršitev avtorskih pravic.
Ali se dinamično povezovanje izogne licenco GPL?
Ni zanesljivega organa, ki bi to trdil. Nobeno nizozemsko ali evropsko sodišče ni odločilo o tem vprašanju, razlikovanje med statičnim in dinamičnim pa nima podlage v nizozemskem avtorskem pravu, ki sprašuje, ali je bilo zaščiteno izražanje reproducirano. Varnejša analiza preučuje, kako tesno so komponente združene; kjer to ni jasno, je treba komponento izolirati ali zamenjati.
Smo SaaS podjetje: ali lahko ignoriramo copyleft?
Ne povsem. Večina obveznosti distribucije v skladu z licenco GPL odpade, ker gostovanje ni distribucija. Vendar pa se licenca AGPL uporablja za spremenjeno programsko opremo, ki je na voljo oddaljenim uporabnikom, opredelitev komunikacije v licenci EUPL pa sega do dostopa do bistvenih funkcij dela, vsak lokalni agent ali odjemalec, ki ga je mogoče prenesti, pa je distribucija.
Kaj se zgodi, če ugotovimo, da že leta nismo bili skladni s predpisi?
Popravite in dokumentirajte popravek. V skladu z GPLv3 in AGPLv3 se pravice obnovijo po obvestilu. V skladu z GPLv2 je ponovna vzpostavitev odvisna od imetnika pravic, vendar se večina izvršb reši z zavezo o skladnosti. Pomembna izpostavljenost je sodna odredba, odpoklic v skladu s členom 28 Aw in odredba o stroških v skladu s členom 1019h Rv, običajno ne odškodnina.
Ali nas Zakon o kibernetski odpornosti zavezuje k objavi našega poročila o kibernetski odpornosti (SBOM)?
Ne. Priloga I CRA zahteva seznam materialov za programsko opremo v splošno uporabljeni, strojno berljivi obliki, ki zajema vsaj odvisnosti najvišje ravni, in organi za nadzor trga ga lahko zahtevajo. Objava ni obvezna. Uredba se v celoti uporablja od 11. decembra 2027; obveznosti poročanja iz člena 14 CRA od 11. septembra 2026.
