EUサイバーレジリエンス法に基づくサポート期間

サポート期間の意味

「サポート期間」とは、製造業者がデジタル要素を備えた製品の脆弱性を、附属書I第II部に定めるサイバーセキュリティ必須要件に従って有効に対応する義務を負う期間をいう。

規則（EU）2024/2847、第3条(20)

定義が示すとおり、中心となるのは脆弱性対応です。サポート期間中、製造業者は製品とそのコンポーネントの脆弱性を受け付け、評価し、修正し、開示し、関係者に伝えるプロセスを機能させ続ける必要があります。

サポートの期間

第2段落に影響を及ぼすことなく、サポート期間は少なくとも5年間とする。デジタル要素を備えた製品の使用期間が5年未満と見込まれる場合、サポート期間は予想使用期間に対応するものとする。

規則（EU）2024/2847、第13条(8)第3段落

5年間は最低期間であり、上限ではありません。第13条(8)は、製品が使用されると見込まれる期間をサポート期間に反映するよう求めています。通常5年を超えて使われる製品には、より長いサポート期間が必要となる場合があります。

規則は、製造業者に次の事項を考慮するよう求めています。

• この種の製品についてユーザーが抱く合理的な期待。
• 製品の性質と意図された目的。
• 製品の寿命を定める関連EU法令。

第13条(8)は、次の要素も考慮することを認めていますが、個々の要素をすべて必須としているわけではありません。

• 類似製品のサポート期間。
• 運用環境が利用可能であると見込まれる期間。
• 中核機能を提供する組込みサードパーティ製コンポーネントのサポート期間。
• ADCOおよび欧州委員会の関連ガイダンス。

これらの要素は均衡を考慮して検討します。サポート期間を決定するために用いた情報を、製造業者は技術文書に含めなければなりません。

短いサポート期間を設定できる場合

5年未満のサポート期間が認められるのは、製品の使用期間が5年未満と見込まれる場合に限られます。その場合、サポート期間は予想使用期間に一致させる必要があります。

欧州委員会FAQは、期間限定の緊急対応アプリや、契約終了時に利用できなくなる一部のサブスクリプションソフトウェアを例に挙げています。商業上のサポート計画が短いというだけでは不十分です。

サポート期間中の脆弱性対応

附属書I第II部は、サポート期間中に継続する作業を定めています。製品の市場投入後からサポート期間中にわたり、プロセスに基づいて適用されます。

• SBOMの最上位の依存関係を少なくとも含め、脆弱性とコンポーネントを特定して記録する。
• 製品に生じるリスクに応じて脆弱性に対処し、修正する。
• 有効なセキュリティ試験とレビューを定期的に実施する。
• 調整された脆弱性開示ポリシーと報告窓口を維持する。
• 脆弱性を適時に修正または軽減できるよう、更新を安全に配布する。
• セキュリティ更新が利用可能になった場合、遅滞なく、通常は無償で、ユーザー向け注意情報とともに提供する。

セキュリティ更新を引き続き利用可能にする

製造業者は、サポート期間中にユーザーへ提供した附属書I第II部(8)のセキュリティ更新について、提供開始後少なくとも10年間、またはサポート期間の残りの期間のいずれか長い方の期間、引き続き利用できるようにしなければならない。

規則（EU）2024/2847、第13条(9)

この規則は、サポート期間中に提供されたセキュリティ更新に適用され、リリース済みの修正を引き続き入手可能にします。すべてのサポート期間を10年間にするものではありません。