Ondersteuningsperiode onder de EU-verordening cyberweerbaarheid
Sytance · Bijgewerkt
De CRA-ondersteuningsperiode is de periode waarin de fabrikant ervoor moet zorgen dat kwetsbaarheden in een product met digitale elementen effectief worden afgehandeld. Het is geen garantieperiode. Het is de periode voor cyberbeveiligingsonderhoud op het gebied van kwetsbaarhedenafhandeling volgens bijlage I, deel II.
Wat de ondersteuningsperiode betekent
‚ondersteuningsperiode’: de periode waarin een fabrikant ervoor moet zorgen dat kwetsbaarheden van een product met digitale elementen effectief worden afgehandeld en in overeenstemming met de essentiële cyberbeveiligingseisen in bijlage I, deel II;
Verordening (EU) 2024/2847, artikel 3, punt 20
De definitie verwijst naar kwetsbaarhedenafhandeling. Tijdens de ondersteuningsperiode moet de fabrikant zorgen dat de processen voor het ontvangen, beoordelen, verhelpen, openbaar maken en communiceren van kwetsbaarheden voor het product en de onderdelen ervan blijven werken.
Product en componenten
De periode omvat kwetsbaarheden in het product en in de componenten die erin zijn opgenomen.
Beveiligingsupdates
Reparaties en risicobeperkende maatregelen maken deel uit van het proces voor kwetsbaarhedenafhandeling, maar ondersteuning is ruimer dan alleen patches uitbrengen.
Einddatum
Gebruikers moeten de einddatum van de ondersteuningsperiode kunnen zien, ten minste met maand en jaar.
Hoe lang ondersteuning duurt
Onverminderd de tweede alinea bedraagt de ondersteuningsperiode ten minste vijf jaar. Als het product met digitale elementen naar verwachting minder dan vijf jaar zal worden gebruikt, komt de ondersteuningsperiode overeen met de verwachte gebruiksduur.
Verordening (EU) 2024/2847, artikel 13, lid 8, derde alinea
Vijf jaar is een minimum en geen maximum. In artikel 13, lid 8, staat dat de periode moet overeenkomen met de verwachte gebruiksduur van het product. Een product dat doorgaans langer dan vijf jaar wordt gebruikt, kan een langere ondersteuningsperiode nodig hebben.
De verordening verplicht de fabrikant rekening te houden met:
- de redelijke verwachtingen van gebruikers voor dit soort product;
- de aard en het beoogde doel van het product;
- relevante Uniewetgeving die de levensduur van het product bepaalt.
Artikel 13, lid 8, staat de fabrikant ook toe rekening te houden met de volgende factoren; geen daarvan is verplicht:
- de ondersteuningsperiode voor vergelijkbare producten;
- de verwachte beschikbaarheid van de bedrijfsomgeving;
- de ondersteuningsperioden van geïntegreerde componenten van derden die kernfuncties leveren;
- relevante richtsnoeren van ADCO en de Commissie.
Deze factoren moeten evenredig worden meegewogen. De fabrikant moet de informatie die is gebruikt om de ondersteuningsperiode vast te stellen opnemen in de technische documentatie.
Wanneer ondersteuning korter mag zijn
Een ondersteuningsperiode van minder dan vijf jaar is alleen toegestaan wanneer het product naar verwachting minder dan vijf jaar wordt gebruikt. In dat geval moet de periode overeenkomen met de verwachte gebruiksduur.
De FAQ van de Commissie noemt bijvoorbeeld een tijdelijk beschikbare noodapp of bepaalde abonnementssoftware die niet langer beschikbaar is wanneer het abonnement eindigt. Een kort commercieel ondersteuningsplan is op zichzelf niet voldoende.
Korte verwachte gebruiksduur kan de ondersteuning verkorten
De ondersteuningsperiode volgt het product en het verwachte gebruik ervan, en niet alleen het ondersteuningspakket dat de fabrikant bij voorkeur verkoopt.
Kwetsbaarhedenafhandeling tijdens de ondersteuning
Bijlage I, deel II beschrijft welke werkzaamheden tijdens de ondersteuningsperiode doorgaan. De lijst is gebaseerd op processen. Deze geldt nadat het product in de handel is gebracht en zolang de ondersteuningsperiode loopt.
- kwetsbaarheden en componenten identificeren en documenteren, met inbegrip van ten minste afhankelijkheden op het hoogste niveau in de SBOM;
- kwetsbaarheden aanpakken en verhelpen in verhouding tot de risico's die zij voor het product opleveren;
- doeltreffende en regelmatige beveiligingstests en -beoordelingen uitvoeren;
- een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden en een contactadres voor meldingen onderhouden;
- updates veilig verspreiden zodat kwetsbaarheden tijdig kunnen worden verholpen of beperkt;
- beveiligingsupdates zonder vertraging en doorgaans kosteloos beschikbaar stellen, met adviesinformatie voor gebruikers.
Beveiligingsupdates blijven beschikbaar
Fabrikanten zorgen ervoor dat elke beveiligingsupdate zoals bedoeld in bijlage I, deel II, punt 8, die tijdens de ondersteuningsperiode aan gebruikers beschikbaar is gesteld, na uitgifte ervan ten minste tien jaar beschikbaar blijft of gedurende de rest van de ondersteuningsperiode, indien die langer is.
Verordening (EU) 2024/2847, artikel 13, lid 9
Deze regel geldt voor beveiligingsupdates die tijdens de ondersteuningsperiode beschikbaar zijn gesteld. De regel zorgt ervoor dat uitgegeven oplossingen bereikbaar blijven. Hierdoor wordt niet elke ondersteuningsperiode een periode van tien jaar.
Artikel 13, lid 10, staat de fabrikant toe bepaalde herstelwerkzaamheden te richten op de recentste ingrijpend gewijzigde softwareversie, maar alleen als eerdere gebruikers kosteloos en zonder extra aanpassingskosten toegang krijgen tot die recentste versie.
Artikel 13, lid 11, staat openbare softwarearchieven toe die de toegang tot historische versies verbeteren. Gebruikers moeten duidelijk worden geïnformeerd over de risico's van het gebruik van software waarvoor geen ondersteuning meer geldt.
Volgens de FAQ van de Commissie kunnen exemplaren die al op de markt van de Unie in de handel zijn gebracht, ook na het verstrijken van hun ondersteuningsperiode op de markt worden aangeboden. Voor nieuw in de handel gebrachte exemplaren geldt een eigen ondersteuningsperiode.