Periodo de soporte con arreglo a la Ley de Ciberresiliencia de la UE
Sytance · Actualizado
El período de soporte de la CRA es el tiempo durante el cual el fabricante debe mantener una gestión eficaz de las vulnerabilidades de un producto con elementos digitales. No es un plazo de garantía: es el período de mantenimiento de ciberseguridad para la gestión de vulnerabilidades conforme a la parte II del anexo I.
Qué significa el período de soporte
«Período de soporte» significa el período durante el cual el fabricante está obligado a garantizar que las vulnerabilidades de un producto con elementos digitales se gestionen de forma eficaz y de conformidad con los requisitos esenciales de ciberseguridad establecidos en la parte II del anexo I;
Reglamento (UE) 2024/2847, artículo 3(20)
La definición se refiere a la gestión de vulnerabilidades. Durante el período de soporte, el fabricante debe mantener en funcionamiento para el producto y sus componentes el proceso de recepción, evaluación, corrección, divulgación y comunicación de vulnerabilidades.
Producto y componentes
El período abarca las vulnerabilidades del producto y de los componentes que contiene.
Actualizaciones de seguridad
Las correcciones y medidas de mitigación forman parte del proceso de gestión de vulnerabilidades, pero el soporte abarca más que la publicación de parches.
Fecha de finalización
Los usuarios deben poder consultar la fecha de finalización del período de soporte, como mínimo por mes y año.
Duración del soporte
Sin perjuicio de lo dispuesto en el párrafo segundo, el período de soporte será de al menos cinco años. Cuando se prevea que el producto con elementos digitales vaya a utilizarse durante menos de cinco años, el período de soporte corresponderá al tiempo de uso previsto.
Reglamento (UE) 2024/2847, artículo 13(8), párrafo tercero
Cinco años es un mínimo, no un máximo. El artículo 13(8) establece que el período debe reflejar cuánto tiempo se prevé utilizar el producto. Un producto que normalmente se utilice durante más de cinco años puede requerir un período de soporte más largo.
El Reglamento exige al fabricante tener en cuenta:
- las expectativas razonables de los usuarios para este tipo de producto;
- la naturaleza y la finalidad prevista del producto;
- la legislación pertinente de la Unión que determine la vida útil del producto.
El artículo 13(8) también permite al fabricante tener en cuenta los siguientes factores; no hace que cada uno de ellos sea obligatorio:
- el período de soporte de productos similares;
- la disponibilidad prevista del entorno operativo;
- los períodos de soporte de los componentes integrados de terceros que proporcionen funciones esenciales;
- las orientaciones pertinentes del ADCO y de la Comisión.
Estos factores deben tenerse en cuenta de forma proporcionada. El fabricante debe incluir en la documentación técnica la información utilizada para fijar el período de soporte.
Cuándo puede ser más corto el soporte
Solo se permite un período de soporte inferior a cinco años cuando se prevea que el producto se utilizará durante menos de cinco años. En ese caso, el período de soporte debe corresponder al tiempo de uso previsto.
Las preguntas frecuentes de la Comisión citan ejemplos como una aplicación de emergencia de duración limitada o cierto software por suscripción que deja de estar disponible cuando termina la suscripción. Un plan comercial de soporte breve no basta por sí solo.
Un período de uso previsto corto puede reducir el soporte
El período de soporte sigue al producto y al uso que se prevé darle, no únicamente al paquete de soporte que el fabricante prefiera vender.
Gestión de vulnerabilidades durante el soporte
La parte II del anexo I describe el trabajo que continúa durante el período de soporte. La lista se centra en el proceso. Se aplica después de introducir el producto en el mercado y mientras el período de soporte siga vigente.
- identificar y documentar vulnerabilidades y componentes, incluidas como mínimo las dependencias de nivel superior en la SBOM;
- abordar y corregir vulnerabilidades en función de los riesgos que generen para el producto;
- realizar pruebas y revisiones de seguridad eficaces y periódicas;
- mantener una política de divulgación coordinada de vulnerabilidades y una dirección de contacto para notificarlas;
- distribuir actualizaciones de forma segura para corregir o reducir las vulnerabilidades a tiempo;
- poner a disposición actualizaciones de seguridad sin demora y, normalmente, de forma gratuita, con información de aviso para los usuarios.
Las actualizaciones de seguridad siguen disponibles
Los fabricantes garantizarán que cada actualización de seguridad, a que se refiere el punto 8 de la parte II del anexo I, que se haya puesto a disposición de los usuarios durante el período de soporte siga estando disponible durante un mínimo de diez años desde su publicación o durante el resto del período de soporte, si este fuera más largo.
Reglamento (UE) 2024/2847, artículo 13(9)
Esta norma se aplica a las actualizaciones de seguridad puestas a disposición durante el período de soporte. Mantiene accesibles las correcciones publicadas. No convierte todos los períodos de soporte en períodos de diez años.
El artículo 13(10) permite al fabricante centrar ciertas tareas de corrección en la versión de software más reciente modificada sustancialmente solo si los usuarios de versiones anteriores pueden acceder a ella de forma gratuita y sin costes de ajuste adicionales.
El artículo 13(11) permite archivos públicos de software que mejoren el acceso a versiones históricas. Se debe informar claramente a los usuarios sobre los riesgos de utilizar software sin soporte.
Las preguntas frecuentes de la Comisión indican que las unidades ya introducidas en el mercado de la Unión pueden seguir comercializándose después de que venza su período de soporte. Las unidades introducidas posteriormente necesitan su propio período de soporte.