Okres wsparcia na podstawie unijnego Aktu w sprawie cyberodporności

Znaczenie okresu wsparcia

„okres wsparcia” oznacza okres, w którym producent ma obowiązek zapewniać skuteczną obsługę podatności produktu z elementami cyfrowymi zgodnie z zasadniczymi wymogami cyberbezpieczeństwa określonymi w części II załącznika I;

Rozporządzenie (UE) 2024/2847, art. 3 pkt 20

Definicja dotyczy obsługi podatności. W okresie wsparcia producent musi utrzymywać skuteczny proces przyjmowania zgłoszeń, oceny, usuwania, ujawniania i komunikowania podatności dotyczących produktu i jego komponentów.

Długość okresu wsparcia

Bez uszczerbku dla akapitu drugiego okres wsparcia wynosi co najmniej pięć lat. Jeżeli przewiduje się, że produkt z elementami cyfrowymi będzie używany krócej niż pięć lat, okres wsparcia odpowiada przewidywanemu czasowi użytkowania.

Rozporządzenie (UE) 2024/2847, art. 13 ust. 8 akapit trzeci

Pięć lat to minimum, a nie maksimum. Zgodnie z art. 13 ust. 8 okres powinien odzwierciedlać przewidywany czas użytkowania produktu. Produkt zwykle używany dłużej niż pięć lat może wymagać dłuższego wsparcia.

Producent musi uwzględnić:

• uzasadnione oczekiwania użytkowników dotyczące produktów tego rodzaju;
• charakter i zamierzone przeznaczenie produktu;
• właściwe przepisy Unii określające cykl życia produktu.

Artykuł 13 ust. 8 pozwala producentowi uwzględnić także poniższe czynniki, ale nie nakłada obowiązku uwzględnienia każdego z nich:

• okresy wsparcia podobnych produktów;
• przewidywaną dostępność środowiska operacyjnego;
• okresy wsparcia zintegrowanych komponentów stron trzecich zapewniających podstawowe funkcje;
• odpowiednie wytyczne ADCO i Komisji.

Czynniki te należy uwzględnić proporcjonalnie. Producent musi zawrzeć w dokumentacji technicznej informacje wykorzystane do ustalenia okresu wsparcia.

Kiedy okres wsparcia może być krótszy

Okres wsparcia krótszy niż pięć lat jest dopuszczalny tylko wtedy, gdy przewidywany czas użytkowania produktu jest krótszy niż pięć lat. W takim przypadku okres wsparcia musi odpowiadać przewidywanemu czasowi użytkowania.

FAQ Komisji podaje przykłady aplikacji na czas określony, np. aplikacji alarmowej, lub niektórych programów subskrypcyjnych, które przestają być dostępne po zakończeniu subskrypcji. Sam krótki komercyjny plan wsparcia nie wystarczy.

Obsługa podatności w okresie wsparcia

Część II załącznika I opisuje działania kontynuowane w okresie wsparcia. Jest to wykaz dotyczący procesu. Obowiązuje po wprowadzeniu produktu do obrotu, dopóki trwa okres wsparcia.

• identyfikować i dokumentować podatności i komponenty, uwzględniając w SBOM co najmniej zależności najwyższego poziomu;
• obsługiwać i usuwać podatności stosownie do ryzyka, jakie stwarzają dla produktu;
• regularnie przeprowadzać skuteczne testy i przeglądy bezpieczeństwa;
• utrzymywać politykę skoordynowanego ujawniania podatności i kontaktowy adres zgłoszeń;
• bezpiecznie dystrybuować aktualizacje, aby podatności można było odpowiednio wcześnie naprawić lub ograniczyć ich skutki;
• udostępniać aktualizacje zabezpieczeń bez zbędnej zwłoki, zwykle nieodpłatnie, wraz z informacjami dla użytkowników.

Aktualizacje zabezpieczeń pozostają dostępne

Producenci zapewniają, aby każda aktualizacja zabezpieczeń, o której mowa w pkt 8 części II załącznika I, udostępniona użytkownikom w okresie wsparcia, pozostawała dostępna po wydaniu przez co najmniej 10 lat lub przez pozostałą część okresu wsparcia — w zależności od tego, który z tych okresów jest dłuższy.

Rozporządzenie (UE) 2024/2847, art. 13 ust. 9

Zasada ta dotyczy aktualizacji zabezpieczeń udostępnionych w okresie wsparcia. Zapewnia dalszą dostępność wydanych poprawek. Nie wydłuża każdego okresu wsparcia do 10 lat.