支持期限

support period 的含义

‘support period’ means the period during which a manufacturer is required to ensure that vulnerabilities of a product with digital elements are handled effectively and in accordance with the essential cybersecurity requirements set out in Part II of Annex I;

Regulation (EU) 2024/2847, Article 3(20)

这个定义指向 vulnerability handling。在 support period 内，manufacturer 必须让接收、评估、修复、披露和沟通漏洞的流程，对产品及其组件持续有效。

support 持续多久

Without prejudice to the second subparagraph, the support period shall be at least five years. Where the product with digital elements is expected to be in use for less than five years, the support period shall correspond to the expected use time.

Regulation (EU) 2024/2847, Article 13(8), third subparagraph

五年是最低期限，不是最高期限。Article 13(8) 要求期间反映产品预计使用多久。通常使用超过五年的产品，可能需要更长的 support period。

Regulation 列出主要因素。按决策点阅读更清楚：

• 这类产品用户的合理期待；
• 产品的性质和 intended purpose；
• 设定或影响产品寿命的 Union law；
• 类似产品的 support period；
• 运行环境的预期可用性；
• 提供 core functions 的第三方组件 support period。

Manufacturer 必须把用于确定 support period 的信息纳入 technical documentation。

support 何时可以短于五年

只有产品预计使用时间短于五年时，support period 才能低于五年。在这种情况下，support period 必须对应 expected use time。

Commission FAQ 举了限时应急 App 或某些订阅结束后不再可用的软件等例子。单纯较短的商业支持计划本身不够。

support 期间的漏洞处理

Annex I Part II 说明 support period 内持续进行的工作。这是一组流程要求。它在产品被 placed on the market 后适用，并在 support period 仍在运行时继续适用。

• 识别和记录漏洞及组件，包括 SBOM 中至少 top-level dependencies；
• 根据漏洞给产品带来的风险处理和修复漏洞；
• 进行有效、定期的安全测试和评审；
• 保持 coordinated vulnerability disclosure policy 和漏洞报告联系地址；
• 安全分发更新，使漏洞能够及时被修复或降低风险；
• 无不当延迟地提供安全更新，通常免费，并向用户提供 advisory information。

安全更新保持可用

Manufacturers shall ensure that each security update, as referred to in Part II, point (8), of Annex I, which has been made available to users during the support period, remains available after it has been issued for a minimum of 10 years or for the remainder of the support period, whichever is longer.

Regulation (EU) 2024/2847, Article 13(9)

这条规则适用于 support period 内已经向用户提供的 security updates。它要求已发布的修复保持可获得，并不会把每个 support period 都变成十年。