Periodo di supporto ai sensi della legge sulla ciberresilienza dell'UE

Che cosa significa il periodo di supporto

Per «periodo di supporto» si intende il periodo durante il quale il fabbricante è tenuto a garantire che le vulnerabilità di un prodotto con elementi digitali siano gestite efficacemente e in conformità ai requisiti essenziali di cibersicurezza di cui alla parte II dell’allegato I;

Regolamento (UE) 2024/2847, articolo 3(20)

La definizione riguarda la gestione delle vulnerabilità. Durante il periodo di supporto, il fabbricante deve mantenere operativo per il prodotto e i suoi componenti il processo di ricezione, valutazione, correzione, divulgazione e comunicazione delle vulnerabilità.

Durata del supporto

Fatto salvo il secondo comma, il periodo di supporto è di almeno cinque anni. Se si prevede che il prodotto con elementi digitali venga utilizzato per meno di cinque anni, il periodo di supporto corrisponde alla durata prevista dell’utilizzo.

Regolamento (UE) 2024/2847, articolo 13(8), terzo comma

Cinque anni sono un minimo, non un massimo. L’articolo 13(8) stabilisce che il periodo deve riflettere la durata prevista dell’utilizzo del prodotto. Un prodotto normalmente utilizzato per più di cinque anni può richiedere un periodo di supporto più lungo.

Il regolamento impone al fabbricante di considerare:

• le ragionevoli aspettative degli utenti per quel tipo di prodotto;
• la natura e la finalità prevista del prodotto;
• la normativa dell’Unione pertinente che determina la durata di vita del prodotto.

L’articolo 13(8) consente inoltre al fabbricante di considerare i seguenti fattori, senza rendere obbligatorio ciascuno di essi:

• il periodo di supporto di prodotti simili;
• la disponibilità prevista dell’ambiente operativo;
• i periodi di supporto dei componenti integrati di terzi che forniscono funzioni essenziali;
• gli orientamenti pertinenti dell’ADCO e della Commissione.

Questi fattori devono essere considerati in modo proporzionato. Il fabbricante deve includere nella documentazione tecnica le informazioni utilizzate per stabilire il periodo di supporto.

Quando il supporto può essere più breve

Un periodo di supporto inferiore a cinque anni è consentito solo se si prevede che il prodotto venga utilizzato per meno di cinque anni. In tal caso, il periodo di supporto deve corrispondere alla durata prevista dell’utilizzo.

Le FAQ della Commissione citano esempi come un’app di emergenza a durata limitata o alcuni software in abbonamento che cessano di essere disponibili alla scadenza dell’abbonamento. Un breve piano commerciale di supporto non è sufficiente, da solo.

Gestione delle vulnerabilità durante il supporto

La parte II dell’allegato I descrive le attività che proseguono durante il periodo di supporto. L’elenco si basa sui processi. Si applica dopo l’immissione sul mercato del prodotto e finché il periodo di supporto è in corso.

• individuare e documentare vulnerabilità e componenti, comprese almeno le dipendenze di primo livello nella SBOM;
• affrontare e correggere le vulnerabilità in relazione ai rischi che comportano per il prodotto;
• svolgere test e riesami di sicurezza efficaci e regolari;
• mantenere una politica coordinata di divulgazione delle vulnerabilità e un indirizzo di contatto per le segnalazioni;
• distribuire gli aggiornamenti in modo sicuro affinché le vulnerabilità possano essere corrette o ridotte tempestivamente;
• rendere disponibili senza indugio gli aggiornamenti di sicurezza, normalmente a titolo gratuito e corredati da informazioni di avviso per gli utenti.

Gli aggiornamenti di sicurezza restano disponibili

I fabbricanti garantiscono che ogni aggiornamento di sicurezza di cui al punto 8 della parte II dell’allegato I, messo a disposizione degli utenti durante il periodo di supporto, resti disponibile per almeno dieci anni dalla sua pubblicazione o per la restante durata del periodo di supporto, se superiore.

Regolamento (UE) 2024/2847, articolo 13(9)

La regola si applica agli aggiornamenti di sicurezza messi a disposizione durante il periodo di supporto. Mantiene accessibili le correzioni rilasciate. Non trasforma ogni periodo di supporto in un periodo di dieci anni.