Açık kaynak lisansları ve yazılım edinen kurumun yükümlülükleri

Açık kaynak lisansları iki ana grupta toplanır. İzin verici lisanslar, kodun başka yazılımlara, kapalı yazılımlar dahil, katılmasına geniş izin verir ve genellikle telif ve lisans bildirimlerinin korunmasını şart koşar. Copyleft lisanslar ise yazılımın değiştirilmiş sürümü başkalarına verildiğinde aynı lisansla ve kaynak koduyla birlikte verilmesini ister. Başlıca lisansların kuruma getirdiği temel koşullar şöyledir:

Lisans yükümlülüklerinin çoğu yazılımın dağıtılmasıyla doğar. Bu nedenle kurumun yazılımı nasıl kullandığı, hangi yükümlülüğün doğacağını belirler. Free Software Foundation'ın GPL sık sorulan sorular belgesine göre GPL, değiştirilmiş sürümün yayımlanmasını zorunlu kılmaz; bir kurum değiştirilmiş sürümü yalnız kendi içinde kullanabilir. Aynı belgeye göre kurumun kendi içinde kopya çoğaltması dağıtım sayılmaz; kopyaların başka kurumlara ya da kişilere verilmesi ise dağıtımdır ve yüklenicilere kurum dışında kullanmaları için kopya verilmesi de bu kapsamdadır.

Vatandaşa web üzerinden hizmet veren sistemlerde AGPL ayrıca önem taşır. GPL lisanslı bir programın değiştirilmiş sürümünü bir internet sitesinde çalıştıran kuruluşun değiştirilmiş kaynak kodunu yayımlaması gerekmez. Program AGPL lisanslıysa, değiştirilmiş sürümle ağ üzerinden etkileşen kullanıcılara kaynak kodun sunulması gerekir. Kurumun kendi geliştirdiği ya da geliştirttiği yazılımı başka kurumlarla paylaşması ise dağıtım niteliği taşır ve içerdiği bileşenlerin lisans koşullarının bu aşamada yerine getirilmesi gerekir.

Kurumun lisans yükümlülüklerini yerine getirebilmesi için öncelikle yazılımın hangi bileşenlerden oluştuğunu bilmesi gerekir. Yazılım malzeme listesi (Software Bill of Materials, SBOM), bir yazılımı oluşturan bileşenleri, bunların sürümlerini, kaynağını ve lisansını gösteren envanterdir. Bu liste lisans uyumluluğunun denetlenmesinde kullanıldığı gibi, bir bileşende güvenlik açığı duyurulduğunda kurumun hangi sistemlerinin etkilendiğini hızla belirlemesini de sağlar.

SBOM için yaygın iki açık standart bulunmaktadır. SPDX, Linux Foundation bünyesinde yürütülen bir açık kaynak projesidir ve ISO/IEC 5962:2021 olarak uluslararası standart hâline gelmiştir. CycloneDX ise OWASP Vakfı ile Ecma International'ın TC54 teknik komitesi tarafından geliştirilen ve ECMA-424 olarak yayımlanan bir malzeme listesi standardıdır. Şartnamede bu iki standarttan birinin istenmesi, teslim alınan listenin farklı araçlarla okunabilmesini ve denetlenebilmesini sağlar.

Hazır bir yazılım satın alınırken de kuruma özel bir yazılım geliştirtilirken de aşağıdaki kalemlerin teknik şartnamede ve sözleşmede açıkça yer alması, yükümlülüklerin kimde olduğunu baştan belirler:

• Teslim edilen her sürümle birlikte SPDX ya da CycloneDX biçiminde güncel bir yazılım malzeme listesi verilir.
• Yazılımda kullanılan bütün açık kaynak bileşenlerin lisanslarını gösteren bir lisans envanteri ve bu lisansların kurumun öngördüğü kullanım biçimiyle uyumlu olduğuna ilişkin yüklenici beyanı teslim alınır.
• Yazılımın copyleft lisanslı bileşen içerip içermediği ve özellikle ağ üzerinden sunulacak sistemlerde AGPL lisanslı bileşen bulunup bulunmadığı ayrıca belirtilir.
• Kuruma özel geliştirmelerde kaynak kod, derlenebilir hâlde, derleme ve kurulum belgeleriyle birlikte teslim edilir; teslimin her sürümde yenileneceği yazılır.
• Kurumun yazılımı kullanma, değiştirme, başka yüklenicilere geliştirtme ve başka kamu kurumlarıyla paylaşma hakları ile bu hakların süresi ve kapsamı sözleşmede tanımlanır.
• Kurumun, geliştirttiği yazılımı açık kaynak lisansıyla yayımlama hakkı ve bu durumda kullanılacak lisans, ihtiyaç varsa baştan kararlaştırılır.

Bir kamu kurumunun kendi ihtiyacı için geliştirttiği yazılım, benzer işleri yürüten başka kurumlar için de değer taşıyabilir. Bu yazılımın açık kaynak olarak paylaşılması, aynı işin farklı kurumlarca tekrar tekrar satın alınmasının önüne geçebilir. Bunun ön koşulu, kurumun yazılım üzerindeki haklarının sözleşmede yayımlamaya imkân verecek biçimde düzenlenmiş olmasıdır. GPL sık sorulan sorular belgesi, ABD kamu kurumları örneğinde, sözleşmenin yükleniciden yazılımı GNU GPL ile yayımlamasını isteyebileceğini ya da telif hakkının kuruma devredilmesini öngörebileceğini belirtmektedir.

Avrupa Komisyonu, 8 Aralık 2021'de kendi yazılımlarının açık kaynak lisansıyla paylaşılmasına ilişkin kurallar kabul etmiştir. Bu kurallarla Komisyon birimleri sahip oldukları yazılımların kaynak kodunu daha kısa sürede ve daha az işlemle yayımlayabilmekte, açık kaynak lisansıyla dağıtım için ayrıca Komisyon kararı gerekmemektedir. Türkiye'de geçiş rehberinin kabul edilebilir lisanslar listesinde yer alan European Union Public Licence (EUPL), kamu kurumlarının paylaşacağı yazılımlar için değerlendirilebilecek seçeneklerden biridir.