CRA 網絡韌性法案：支持期

支持期的含義

“支持期”是指製造商必須確保含數字要素產品的漏洞按照附件 I 第二部分規定的基本網絡安全要求得到有效處理的期間；

英文原文：
‘support period’ means the period during which a manufacturer is required to ensure that vulnerabilities of a product with digital elements are handled effectively and in accordance with the essential cybersecurity requirements set out in Part II of Annex I;

歐盟條例 (EU) 2024/2847, 第 3 條第 20 項（中文為非官方譯文；英文為原文）

支持期內，製造商須持續有效地接收、評估、修復和披露產品及其組件中的漏洞，並向相關方提供漏洞信息。

支持持續多久

在不影響第二段規定的前提下，支持期應至少為五年。含數字要素產品的預期使用時間不足五年時，支持期應與預期使用時間相對應。

英文原文：
Without prejudice to the second subparagraph, the support period shall be at least five years. Where the product with digital elements is expected to be in use for less than five years, the support period shall correspond to the expected use time.

歐盟條例 (EU) 2024/2847, 第 13 條第 8 款, 第三段（中文為非官方譯文；英文為原文）

五年是最低期限，不是最高期限。第 13 條第 8 款要求根據產品的預期使用時間確定支持期。通常使用超過五年的產品，可能需要更長的支持期。

確定支持期時，法規要求考慮以下因素：

• 這類產品用戶的合理期待；
• 產品的性質和預期用途；
• 規定產品壽命的相關歐盟法律。

第 13 條第 8 款還允許製造商考慮以下因素，但並未要求必須逐項考慮：

• 類似產品的支持期；
• 運行環境的預期可用性；
• 集成的第三方核心功能組件的支持期；
• ADCO（行政合作小組）和歐盟委員會的相關指南。

考慮這些因素時必須遵循比例原則。製造商必須把用於確定支持期的信息納入技術文檔。

支持何時可以短於五年

只有產品預計使用時間短於五年時，支持期才能低於五年。在這種情況下，支持期必須對應預期使用時間。

歐盟委員會常見問題解答舉了限時應急 App 或某些訂閲結束後不再可用的軟件等例子。僅憑較短的商業支持計劃，不能縮短法定支持期。

支持期間的漏洞處理

附件 I 第二部分規定產品投放市場後，製造商在支持期內持續開展的漏洞處理工作，包括：

• 識別和記錄漏洞及組件，並在 SBOM 中至少列明頂層依賴；
• 根據漏洞給產品帶來的風險處理和修復漏洞；
• 進行有效、定期的安全測試和評審；
• 保持協調漏洞披露政策和漏洞報告聯繫地址；
• 安全分發更新，使漏洞能夠及時被修復或降低風險；
• 無不當延遲地提供安全更新，通常免費，並向用戶提供安全公告信息。

安全更新保持可用

製造商應確保，在支持期內向用戶提供的附件 I 第二部分第 8 項所述的每一項安全更新，自發布後至少保持可獲取十年，或者保持至支持期結束，以較長者為準。

英文原文：
Manufacturers shall ensure that each security update, as referred to in Part II, point (8), of Annex I, which has been made available to users during the support period, remains available after it has been issued for a minimum of 10 years or for the remainder of the support period, whichever is longer.

歐盟條例 (EU) 2024/2847, 第 13 條第 9 款（中文為非官方譯文；英文為原文）

這項保存期限適用於支持期內已發佈的安全更新，使用戶之後仍能獲取已有修復；它不等於要求每件產品持續提供十年的漏洞處理服務。