"Cinco años de soporte de seguridad". ¿Cuándo finaliza realmente el período de soporte CRA?
Pruebe un reclamo del período de soporte de la Ley de Resiliencia Cibernética comparándolo con el uso esperado, la documentación técnica, la evidencia de colocación en el mercado y la fecha de finalización publicada.
Señales que conviene observar
- Un producto conectado se acerca a su lanzamiento en la UE y el marketing dice cinco años de soporte de seguridad sin una evaluación documentada del uso esperado.
- Los componentes principales de terceros llegan al final del soporte antes de la reclamación del producto, mientras que el propietario de la reparación y el reemplazo no está resuelto
- La fecha de finalización del soporte declarada no se puede conciliar entre la documentación técnica, la información de compra, el embalaje y el canal de actualización.
“Cinco años” no es un reclamo completo del período de soporte de la Ley de Resiliencia Cibernética. Según el artículo 13, apartado 8, el fabricante debe determinar un período que refleje cuánto tiempo se espera que se utilice el producto con elementos digitales. Por lo general, es de al menos cinco años, más corto sólo cuando el uso esperado es más corto y más largo cuando se espera razonablemente que el producto permanezca en uso por más tiempo. El reclamo necesita una justificación, un evento del producto y una fecha de finalización visible.
Eso hace que el tema sea relevante para el mantenimiento de la seguridad del producto o para el líder de desarrollo comercial del proveedor de cumplimiento CRA que lee los grupos autorizados de productos conectados, software integrado y seguridad Telegram. Un lanzamiento con nombre, un reclamo de soporte y una cadena de evidencia rota pueden indicar un trabajo de implementación. Un debate genérico sobre si cinco años son suficientes no puede serlo. Si la discusión se ve después de bloquear las pantallas de embalaje y compra, corregir la evidencia de fecha de finalización se vuelve más costoso y puede perder la decisión sobre la arquitectura de mantenimiento.
Primera pregunta: ¿cinco años son el mínimo, una excepción o un número equivocado?
La Ley de Resiliencia Cibernética (CRA), Reglamento (UE) 2024/2847, exige que los fabricantes manejen las vulnerabilidades de manera efectiva al colocar un producto con elementos digitales en el mercado y durante todo su período de soporte.
El artículo 13 (8) dice que los fabricantes determinan el período considerando el uso esperado, las expectativas razonables del usuario, la naturaleza del producto y el propósito previsto, y la legislación pertinente de la Unión. También pueden considerar productos comparables, disponibilidad del entorno operativo, períodos de soporte de componentes integrados de terceros que proporcionan funciones principales y orientación relevante. Los factores deben aplicarse proporcionalmente.
El mismo párrafo fija el mínimo: al menos cinco años. Si se espera que el producto se utilice durante menos de cinco años, el período de soporte corresponde al tiempo de uso previsto. Los considerandos dan una aplicación temporal de rastreo de contactos como ejemplo de una vida potencialmente más corta. El hardware, los dispositivos de red, los sistemas operativos y los productos industriales pueden razonablemente usarse durante más tiempo y, por lo tanto, requieren un soporte más prolongado.
La pregunta de ventas correcta no es “¿Puede su equipo ofrecer cinco años?” Se trata de “¿Qué evaluación de productos y usos produjo este período y qué evidencia muestra que comienza y termina donde afirma la organización?”
Segunda pregunta: ¿qué evento ancla el recibo?
Considere este mensaje compuesto ilustrativo; no es un reclamo del cliente:
“Lanzamiento en la UE la próxima primavera. Actualizaciones de seguridad garantizadas por cinco años. El proveedor del chip finaliza los parches en 2030 y el arte de la caja necesita la fecha de soporte este mes”.
El fragmento contiene un lanzamiento en la UE, un reclamo de cinco años, una dependencia de componentes y un evento de empaquetado. Omite el producto exacto, el propósito previsto, la evaluación de uso esperado, la fecha de comercialización, el chip final, el entorno operativo, el canal de actualización y el mes de finalización del soporte.
El recibo del período de soporte necesita al menos estas fechas:
- Fecha de determinación: cuando el fabricante aprobó el análisis de uso esperado y el período de soporte.
- Registro de colocación: el evento de colocación en el mercado para la versión del producto y el análisis de aplicabilidad.
- Fecha de finalización del soporte: al menos el mes y año presentado al comprador.
- Dependencias principales de Fechas de finalización de los componentes: que pueden fallar antes de la promesa del producto.
- Lanzamientos de Actualizar ventana de evidencia:, registros de admisión de vulnerabilidades y remediación durante el período declarado.
El reglamento no define el período de apoyo como “cinco años después del primer mensaje grupal” o “cinco años después de que comience el desarrollo”. Los registros técnicos y de mercado del producto deben respaldar el cálculo utilizado.
Tercera pregunta: ¿puede la cadena de componentes cumplir la promesa?
El artículo 13, apartado 8, permite expresamente al fabricante considerar períodos de soporte de componentes integrados que proporcionen funciones básicas. Esto no permite que el fabricante copie la fecha más corta del componente y se detenga. Significa que el plan del producto debe abordar lo que sucede cuando un componente principal finaliza el soporte antes de que los usuarios dejen de usar el producto de manera razonable.
Un archivo de evidencia útil nombra el componente, la función, el extremo del soporte del proveedor, la ruta de reemplazo o mitigación, la ruta de distribución de actualizaciones y el propietario responsable. Para los componentes de código abierto, una fecha de mantenimiento ascendente y la bifurcación admitida por el propio fabricante son hechos diferentes. Para el hardware, un componente puede permanecer disponible mientras se detiene la corrección de vulnerabilidades.
El Solicitud de flujo de trabajo de informes CRA se ocupa de vulnerabilidades explotadas activamente e incidentes graves; no responde durante cuánto tiempo el producto debe recibir manejo de vulnerabilidad. El solicitud de evidencia de certificación de software seguro se refiere a un reclamo de entrega federal de EE. UU., no a un período de soporte de producto de la UE. Opciones de precios y acceso describe el producto de descubrimiento de TOP Prospect.
TOP Prospect puede mostrar y agrupar fragmentos relevantes de grupos Telegram a los que un usuario se conecta deliberadamente y está autorizado a acceder, conservando el texto original, la fuente, la hora, el resumen y los motivos de clasificación para la revisión humana. No puede determinar la vida útil del producto, inspeccionar la documentación técnica, prometer actualizaciones, publicar la fecha de soporte ni declarar la conformidad con CRA.
Cuarta pregunta: ¿el cliente ve la misma fecha de finalización?
El artículo 13, apartado 19, exige que la fecha de finalización del período de soporte, incluidos al menos el mes y el año, se especifique de forma clara y comprensible en el momento de la compra, de manera fácilmente accesible y, cuando corresponda, en el producto, el embalaje o por medios digitales. Cuando sea técnicamente posible, el fabricante debe notificar a los usuarios cuando el producto llegue al final de su período de soporte.
La cadena de evidencia debe comparar el recibo de soporte aprobado con la página web del producto, flujo de compra, superficie del empaque o dispositivo, instrucciones y servicio de actualización. Si uno dice marzo de 2033 y otro dice “cinco años desde la activación”, la inconsistencia es el proyecto.
El artículo 13(18) exige por separado que la información y las instrucciones del usuario permanezcan disponibles durante al menos 10 años después de la colocación o durante el período de soporte, lo que sea más largo. No confunda la disponibilidad de instrucciones con el período de soporte para el manejo de vulnerabilidades en sí.
Quinta pregunta: ¿está utilizando el equipo la fecha de solicitud correcta?
El artículo 71 dice que CRA se aplica generalmente a partir de 11 de diciembre de 2027. Las obligaciones de presentación de informes del Artículo 14 se aplican antes, a partir de 11 de septiembre de 2026, y las disposiciones del organismo de evaluación de la conformidad se aplican a partir del 11 de junio de 2026. Un equipo que prepare un lanzamiento en 2028 debería generar evidencia del Artículo 13 ahora. Un mensaje de agosto de 2026 no debería afirmar que el derecho del período de apoyo del artículo 13 ya es de aplicación general simplemente porque la fecha de presentación de informes del artículo 14 está cerca.
Esta distinción de fechas es comercialmente útil. Separa un proyecto de preparación real de una afirmación inexacta de “fecha límite el próximo mes”.
El recibo del período de soporte
La contribución original es un recibo de una página con seis campos:
| Campo | Prueba |
|---|---|
| Producto | Versión exacta, finalidad prevista y ruta de mercado. |
| Uso esperado | Expectativas del usuario, naturaleza del producto, entorno operativo y legislación aplicable. |
| Período | Lógica de inicio y finalización aprobada, incluida cualquier justificación de menos de cinco años. |
| Componentes | Fechas de soporte de dependencia principal y propietario de mitigación |
| Publicación | Mes/año mostrado en el momento de la compra y en las superficies aplicables |
| Mantenimiento | Entrada de vulnerabilidades, actualizaciones, divulgación y ruta de notificación de fin de soporte |
Cuando esos campos se concilian, un proveedor de mantenimiento puede determinar el alcance de las operaciones de ingeniería, reemplazo de componentes, entrega de actualizaciones u evidencia. Cuando no es así, el primer resultado es un análisis de brechas fechado, no una garantía de soporte de cinco años.
Hechos clave
- La CRA se aplica con carácter general a partir del 11 de diciembre de 2027; La notificación del artículo 14 se aplica a partir del 11 de septiembre de 2026.
- El artículo 13(8) exige un manejo eficaz de la vulnerabilidad durante el período de soporte.
- El período de soporte refleja el uso esperado del producto y generalmente es de al menos cinco años.
- Es posible un período más corto cuando el uso esperado es más corto; los productos que se espera que permanezcan en uso por más tiempo necesitan un período más largo.
- La documentación técnica deberá contener la información utilizada para determinar el plazo.
- El artículo 13(19) exige que al menos el mes y año de finalización del soporte estén claramente disponibles en el momento de la compra y en el producto, embalaje o superficies digitales correspondientes.
FAQ
¿El CRA requiere exactamente cinco años de soporte para cada producto?
No. El período de soporte generalmente es de al menos cinco años, pero cuando se espera que el producto se utilice durante menos de cinco años, corresponde a ese uso esperado; los productos que se espera que se utilicen durante más tiempo requieren un período que refleje ese uso más prolongado.
¿Qué factores determinan el período de soporte?
El artículo 13, apartado 8, menciona el uso previsto, las expectativas razonables del usuario, la naturaleza del producto y su finalidad prevista, la legislación pertinente de la Unión, productos similares, la disponibilidad en el entorno operativo, los períodos de soporte de los componentes principales y las orientaciones pertinentes, aplicadas proporcionalmente.
¿Dónde debe aparecer la fecha de finalización del soporte?
El artículo 13, apartado 19, exige que al menos el mes y el año se especifiquen de forma clara y comprensible en el momento de la compra, de forma fácilmente accesible y, cuando proceda, en el producto, en el embalaje o por medios digitales.
¿Los derechos del período de apoyo del artículo 13 ya son de aplicación general en agosto de 2026?
No. El Reglamento se aplica generalmente a partir del 11 de diciembre de 2027. La presentación de informes del artículo 14 se aplica antes, a partir del 11 de septiembre de 2026, pero esa fecha anterior no debe aplicarse erróneamente a los derechos del período de apoyo del artículo 13.
La demanda más fuerte Signal no es “CRA dice cinco años”. Es un producto que se prepara para el mercado con una afirmación de respaldo que su documentación técnica, plan de componentes y fecha de presentación ante el comprador aún no pueden probar.
Preguntas frecuentes
¿El CRA requiere exactamente cinco años de soporte para cada producto?
No. El período de soporte generalmente es de al menos cinco años, pero cuando se espera que el producto se utilice durante menos de cinco años, corresponde a ese uso esperado; los productos que se espera que se utilicen durante más tiempo requieren un período que refleje ese uso más prolongado.
¿Qué factores determinan el período de soporte?
El artículo 13, apartado 8, menciona el uso previsto, las expectativas razonables del usuario, la naturaleza del producto y su finalidad prevista, la legislación pertinente de la Unión, productos similares, la disponibilidad en el entorno operativo, los períodos de soporte de los componentes principales y las orientaciones pertinentes, aplicadas proporcionalmente.
¿Dónde debe aparecer la fecha de finalización del soporte?
El artículo 13, apartado 19, exige que al menos el mes y el año se especifiquen de forma clara y comprensible en el momento de la compra, de forma fácilmente accesible y, cuando proceda, en el producto, en el embalaje o por medios digitales.
¿Los derechos del período de apoyo del artículo 13 ya son de aplicación general en agosto de 2026?
No. El Reglamento se aplica generalmente a partir del 11 de diciembre de 2027. La presentación de informes del artículo 14 se aplica antes, a partir del 11 de septiembre de 2026, pero esa fecha anterior no debe aplicarse erróneamente a los derechos del período de apoyo del artículo 13.
Fuentes y lecturas adicionales
Cómo se descubre una Signal que merece atención
La metodología muestra cómo Top Prospect encuentra y organiza Signals que conviene revisar, conserva el contexto original de Telegram, elimina duplicados y ayuda a decidir qué mirar primero. Tú decides si hacer seguimiento y qué hacer después.