Période de support au titre du règlement de l’UE sur la cyberrésilience

Signification de la période de soutien

« période de soutien », la période pendant laquelle le fabricant est tenu de veiller à ce que les vulnérabilités d’un produit comportant des éléments numériques soient traitées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II ;

Règlement (UE) 2024/2847, article 3, point 20

La définition porte sur le traitement des vulnérabilités. Pendant la période de soutien, le fabricant doit maintenir opérationnel le processus de réception, d’évaluation, de correction, de divulgation et de communication des vulnérabilités du produit et de ses composants.

Durée du soutien

Sans préjudice du deuxième alinéa, la période de soutien est d’au moins cinq ans. Lorsque le produit comportant des éléments numériques est censé être utilisé pendant moins de cinq ans, la période de soutien correspond à la durée d’utilisation prévue.

Règlement (UE) 2024/2847, article 13, paragraphe 8, troisième alinéa

Cinq ans constituent un minimum et non un maximum. L’article 13, paragraphe 8, prévoit que la période doit refléter la durée pendant laquelle le produit est censé être utilisé. Un produit généralement utilisé pendant plus de cinq ans peut nécessiter une période de soutien plus longue.

Le règlement exige du fabricant qu’il prenne en compte :

• les attentes raisonnables des utilisateurs pour ce type de produit ;
• la nature et la destination du produit ;
• la législation pertinente de l’Union qui détermine la durée de vie du produit.

L’article 13, paragraphe 8, permet également au fabricant de tenir compte des facteurs suivants, sans rendre aucun d’eux obligatoire :

• la période de soutien de produits similaires ;
• la disponibilité prévue de l’environnement d’exploitation ;
• les périodes de soutien des composants intégrés de tiers qui fournissent des fonctions essentielles ;
• les orientations pertinentes de l’ADCO et de la Commission.

Ces facteurs doivent être pris en compte de manière proportionnée. Le fabricant doit inclure dans la documentation technique les informations utilisées pour fixer la période de soutien.

Dans quels cas la période de soutien peut être plus courte

Une période de soutien inférieure à cinq ans n’est autorisée que si le produit est censé être utilisé pendant moins de cinq ans. Dans ce cas, elle doit correspondre à la durée d’utilisation prévue.

La FAQ de la Commission cite, par exemple, une application d’urgence à durée limitée ou certains logiciels sur abonnement qui cessent d’être disponibles à la fin de l’abonnement. Un plan commercial de soutien de courte durée ne suffit pas à lui seul.

Traitement des vulnérabilités pendant la période de soutien

L’annexe I, partie II, décrit les activités qui se poursuivent pendant la période de soutien. La liste repose sur des processus. Elle s’applique après la mise sur le marché du produit et tant que la période de soutien est en cours.

• identifier et documenter les vulnérabilités et les composants, y compris au moins les dépendances de premier niveau dans la SBOM ;
• traiter et corriger les vulnérabilités en fonction des risques qu’elles présentent pour le produit ;
• effectuer régulièrement des essais et des examens de sécurité efficaces ;
• maintenir une politique coordonnée de divulgation des vulnérabilités et une adresse de contact pour les signalements ;
• distribuer les mises à jour de manière sécurisée afin que les vulnérabilités puissent être corrigées ou atténuées à temps ;
• mettre à disposition sans retard les mises à jour de sécurité, normalement sans frais, accompagnées d’informations à l’intention des utilisateurs.

Les mises à jour de sécurité restent disponibles

Les fabricants veillent à ce que chaque mise à jour de sécurité, visée à l’annexe I, partie II, point 8, qui a été mise à la disposition des utilisateurs pendant la période de soutien reste disponible après sa publication pendant au moins dix ans ou pendant le reste de la période de soutien, la durée la plus longue étant retenue.

Règlement (UE) 2024/2847, article 13, paragraphe 9

Cette règle s’applique aux mises à jour de sécurité mises à disposition pendant la période de soutien. Elle garantit que les correctifs publiés restent accessibles. Elle ne transforme pas chaque période de soutien en période de dix ans.