CRA 网络弹性法案：支持期

支持期的含义

“支持期”是指制造商必须确保含数字要素产品的漏洞按照附件 I 第二部分规定的基本网络安全要求得到有效处理的期间；

英文原文：
‘support period’ means the period during which a manufacturer is required to ensure that vulnerabilities of a product with digital elements are handled effectively and in accordance with the essential cybersecurity requirements set out in Part II of Annex I;

欧盟条例 (EU) 2024/2847, 第 3 条第 20 项（中文为非官方译文；英文为原文）

支持期内，制造商须持续有效地接收、评估、修复和披露产品及其组件中的漏洞，并向相关方提供漏洞信息。

支持持续多久

在不影响第二段规定的前提下，支持期应至少为五年。含数字要素产品的预期使用时间不足五年时，支持期应与预期使用时间相对应。

英文原文：
Without prejudice to the second subparagraph, the support period shall be at least five years. Where the product with digital elements is expected to be in use for less than five years, the support period shall correspond to the expected use time.

欧盟条例 (EU) 2024/2847, 第 13 条第 8 款, 第三段（中文为非官方译文；英文为原文）

五年是最低期限，不是最高期限。第 13 条第 8 款要求根据产品的预期使用时间确定支持期。通常使用超过五年的产品，可能需要更长的支持期。

确定支持期时，法规要求考虑以下因素：

• 这类产品用户的合理期待；
• 产品的性质和预期用途；
• 规定产品寿命的相关欧盟法律。

第 13 条第 8 款还允许制造商考虑以下因素，但并未要求必须逐项考虑：

• 类似产品的支持期；
• 运行环境的预期可用性；
• 集成的第三方核心功能组件的支持期；
• ADCO（行政合作小组）和欧盟委员会的相关指南。

考虑这些因素时必须遵循比例原则。制造商必须把用于确定支持期的信息纳入技术文档。

支持何时可以短于五年

只有产品预计使用时间短于五年时，支持期才能低于五年。在这种情况下，支持期必须对应预期使用时间。

欧盟委员会常见问题解答举了限时应急 App 或某些订阅结束后不再可用的软件等例子。仅凭较短的商业支持计划，不能缩短法定支持期。

支持期间的漏洞处理

附件 I 第二部分规定产品投放市场后，制造商在支持期内持续开展的漏洞处理工作，包括：

• 识别和记录漏洞及组件，并在 SBOM 中至少列明顶层依赖；
• 根据漏洞给产品带来的风险处理和修复漏洞；
• 进行有效、定期的安全测试和评审；
• 保持协调漏洞披露政策和漏洞报告联系地址；
• 安全分发更新，使漏洞能够及时被修复或降低风险；
• 无不当延迟地提供安全更新，通常免费，并向用户提供安全公告信息。

安全更新保持可用

制造商应确保，在支持期内向用户提供的附件 I 第二部分第 8 项所述的每一项安全更新，自发布后至少保持可获取十年，或者保持至支持期结束，以较长者为准。

英文原文：
Manufacturers shall ensure that each security update, as referred to in Part II, point (8), of Annex I, which has been made available to users during the support period, remains available after it has been issued for a minimum of 10 years or for the remainder of the support period, whichever is longer.

欧盟条例 (EU) 2024/2847, 第 13 条第 9 款（中文为非官方译文；英文为原文）

这项保存期限适用于支持期内已发布的安全更新，使用户之后仍能获取已有修复；它不等于要求每件产品持续提供十年的漏洞处理服务。