Período de suporte ao abrigo do Regulamento da Ciber-Resiliência da UE

Significado do período de suporte

«período de suporte» designa o período durante o qual o fabricante é obrigado a assegurar que as vulnerabilidades de um produto com elementos digitais são tratadas eficazmente e em conformidade com os requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I;

Regulamento (UE) 2024/2847, artigo 3.º, n.º 20

A definição remete para o tratamento de vulnerabilidades. Durante o período de suporte, o fabricante tem de manter operacional o processo de receção, avaliação, correção, divulgação e comunicação de vulnerabilidades relativas ao produto e aos respetivos componentes.

Duração do suporte

Sem prejuízo do segundo parágrafo, o período de suporte é de, pelo menos, cinco anos. Quando se preveja que o produto com elementos digitais seja utilizado por um período inferior a cinco anos, o período de suporte corresponde ao período de utilização previsto.

Regulamento (UE) 2024/2847, artigo 13.º, n.º 8, terceiro parágrafo

Cinco anos é o mínimo, não o máximo. O artigo 13.º, n.º 8, determina que o período deve refletir o tempo durante o qual se prevê que o produto seja utilizado. Um produto habitualmente utilizado por mais de cinco anos poderá necessitar de um período de suporte mais longo.

O regulamento exige que o fabricante tenha em conta:

• As expectativas razoáveis dos utilizadores para este tipo de produto;
• A natureza e a finalidade prevista do produto;
• A legislação pertinente da União que determine o tempo de vida útil do produto.

O artigo 13.º, n.º 8, permite também ao fabricante ter em conta os seguintes fatores; não torna obrigatório cada um deles:

• O período de suporte de produtos semelhantes;
• A disponibilidade prevista do ambiente operacional;
• Os períodos de suporte dos componentes de terceiros integrados que forneçam funções essenciais;
• Orientações pertinentes do ADCO e da Comissão.

Estes fatores têm de ser considerados de forma proporcional. O fabricante tem de incluir na documentação técnica as informações utilizadas para determinar o período de suporte.

Quando o suporte pode ser inferior

Só é permitido um período de suporte inferior a cinco anos quando se preveja que o produto será utilizado por menos de cinco anos. Nesse caso, o período de suporte tem de corresponder ao período de utilização previsto.

As perguntas frequentes da Comissão dão exemplos como uma aplicação de emergência com duração limitada ou determinado software por subscrição que deixa de estar disponível quando termina a subscrição. Um plano de suporte comercial de curta duração não é suficiente, por si só.

Tratamento de vulnerabilidades durante o suporte

A parte II do anexo I explica as atividades que continuam durante o período de suporte. A lista baseia-se nos processos. Aplica-se depois de o produto ser colocado no mercado e enquanto o período de suporte estiver em vigor.

• Identificar e documentar vulnerabilidades e componentes, incluindo, pelo menos, as dependências de nível superior na SBOM;
• Tratar e corrigir vulnerabilidades em função dos riscos que representam para o produto;
• Realizar testes e revisões de segurança eficazes e regulares;
• Manter uma política de divulgação coordenada de vulnerabilidades e um endereço de contacto para a sua comunicação;
• Distribuir atualizações de forma segura para permitir a correção ou redução atempada das vulnerabilidades;
• Disponibilizar atualizações de segurança sem demora, normalmente sem custos, acompanhadas de informações de aconselhamento para os utilizadores.

As atualizações de segurança continuam disponíveis

Os fabricantes devem assegurar que cada atualização de segurança, referida no ponto 8 da parte II do anexo I, disponibilizada aos utilizadores durante o período de suporte continua disponível após a sua emissão durante, pelo menos, 10 anos ou durante o período de suporte restante, consoante o que for mais longo.

Regulamento (UE) 2024/2847, artigo 13.º, n.º 9

Esta regra aplica-se às atualizações de segurança disponibilizadas durante o período de suporte. Mantém acessíveis as correções já emitidas. Não transforma todos os períodos de suporte em períodos de 10 anos.