«Пять лет поддержки безопасности». Когда фактически заканчивается период поддержки CRA?
Проверьте заявление о периоде поддержки согласно Закону о киберустойчивости на соответствие ожидаемому использованию, технической документации, доказательствам размещения на рынке и опубликованной дате окончания.
Сигналы для наблюдения
- Подключенный продукт приближается к запуску в ЕС, и маркетинг заявляет о пяти годах поддержки безопасности без документированной оценки ожидаемого использования.
- Поддержка основных компонентов сторонних производителей заканчивается до подачи претензии на продукт, при этом владелец исправления и замены не решает проблему.
- Заявленная дата окончания поддержки не может быть согласована в технической документации, информации о покупке, упаковке и канале обновления.
«Пять лет» — это не полный срок поддержки согласно Закону о киберустойчивости. В соответствии со статьей 13(8) производитель должен определить период, который отражает ожидаемую продолжительность использования продукта с цифровыми элементами. Обычно он составляет не менее пяти лет, короче только в том случае, если ожидаемое использование короче, и дольше, если разумно ожидать, что продукт будет использоваться дольше. Для претензии необходимо обоснование, событие, связанное с продуктом, и видимая дата окончания.
Это делает тему актуальной для поддержки безопасности продукта или руководства по развитию бизнеса поставщика соответствия требованиям CRA, читающего авторизованные группы подключенных продуктов, встроенного программного обеспечения и безопасности Telegram. Именованный запуск, заявка на поддержку и нарушенная цепочка доказательств могут указывать на работу по реализации. Общая дискуссия о том, достаточно ли пяти лет, невозможна. Если обсуждение отображается после блокировки экранов упаковки и покупки, исправление свидетельства о конечной дате становится более дорогостоящим и может привести к упущению решения об архитектуре обслуживания.
Первый вопрос: пять лет — это нижний предел, исключение или неправильная цифра?
Закон о киберустойчивости (CRA), Регламент (ЕС) 2024/2847 требует от производителей эффективно устранять уязвимости при размещении продукта с цифровыми элементами на рынке и в течение всего периода его поддержки.
В статье 13(8) говорится, что производители определяют период с учетом ожидаемого использования, разумных ожиданий пользователей, характера и предполагаемого назначения продукта, а также соответствующего законодательства Союза. Они также могут учитывать сопоставимые продукты, доступность операционной среды, периоды поддержки интегрированных сторонних компонентов, обеспечивающих основные функции, а также соответствующие рекомендации. Факторы должны применяться пропорционально.
В этом же пункте установлен минимальный срок: не менее пяти лет. Если предполагается, что продукт будет использоваться менее пяти лет, период поддержки соответствует ожидаемому времени использования. В отчетах приводится временное приложение для отслеживания контактов в качестве примера потенциально более короткой жизни. Аппаратное обеспечение, сетевые устройства, операционные системы и промышленные продукты могут использоваться дольше и, следовательно, требовать более длительной поддержки.
Правильный вопрос о продажах – это не «Может ли ваша команда предоставить пять лет?» Это вопрос: «Какая оценка продукта и использования привела к этому периоду, и какие данные показывают, что он начинается и заканчивается там, где утверждает организация?»
Второй вопрос: какое событие закрепляет получение?
Рассмотрим это наглядное составное послание; это не претензия клиента:
“Запуск в ЕС следующей весной. Обновления безопасности гарантированы в течение пяти лет. Поставщик чипов прекращает выпуск исправлений в 2030 году, а на коробке должна быть указана дата поддержки в этом месяце”.
Фрагмент содержит запуск в ЕС, пятилетнюю заявку, зависимость компонента и событие упаковки. В нем не указаны точный продукт, предполагаемое назначение, оценка предполагаемого использования, дата выхода на рынок, окончательный чип, операционная среда, канал обновления и месяц окончания поддержки.
Квитанция о периоде поддержки требует как минимум следующих дат:
- Дата определения:, когда производитель утвердил анализ предполагаемого использования и период поддержки.
- Запись о размещении: мероприятие по размещению на рынке версии продукта и анализу применимости.
- Дата окончания поддержки: по крайней мере месяц и год, представленные покупателю.
- Даты окончания компонентов: основные зависимости, которые могут привести к сбою до обещанного продукта.
- Окно обновления доказательств: выпуски, запись об уязвимостях и исправлениях в течение заявленного периода.
Регламент не определяет период поддержки как «пять лет после первого группового сообщения» или «пять лет после начала разработки». Технические и рыночные данные о продукте должны подтверждать используемые расчеты.
Третий вопрос: сможет ли цепочка компонентов выполнить свое обещание?
Статья 13(8) прямо разрешает производителю учитывать периоды поддержки интегрированных компонентов, обеспечивающих основные функции. Это не позволяет производителю скопировать самую короткую дату компонента и остановиться. Это означает, что план продукта должен учитывать, что произойдет, когда поддержка основного компонента прекратится, прежде чем пользователи разумно прекратят использование продукта.
В полезном файле доказательств указаны компонент, функция, конец поддержки поставщика, маршрут замены или устранения последствий, путь распространения обновлений и ответственный владелец. Для компонентов с открытым исходным кодом дата технического обслуживания и собственная поддерживаемая версия производителя — это разные факты. Что касается аппаратного обеспечения, то компонент может оставаться доступным, пока исправления уязвимостей остановлены.
CRA запрос рабочего процесса отчетности касается активно эксплуатируемых уязвимостей и серьезных инцидентов; он не отвечает, как долго продукт должен обрабатываться уязвимостями. запрос свидетельства аттестации безопасного программного обеспечения касается федеральной претензии по доставке в США, а не периода поддержки продукта в ЕС. Цены и варианты доступа описывает продукт обнаружения TOP Prospect.
TOP Prospect может отображать и группировать соответствующие фрагменты из групп Telegram, которые пользователь намеренно подключает и имеет к ним доступ, сохраняя исходный текст, источник, время, краткое изложение и причины ранжирования для проверки человеком. Он не может определять срок службы продукта, проверять техническую документацию, обещать обновления, публиковать дату поддержки или декларировать соответствие CRA.
Четвертый вопрос: видит ли клиент одну и ту же дату окончания?
Статья 13(19) требует, чтобы дата окончания периода поддержки, включая как минимум месяц и год, была указана четко и понятно при покупке в легкодоступной форме и, где это применимо, на продукте, упаковке или с помощью цифровых средств. Если это технически возможно, производитель должен уведомить пользователей об окончании периода поддержки продукта.
Цепочка доказательств должна сравнить утвержденную квитанцию о поддержке со страницей веб-продукта, потоком покупок, упаковкой или поверхностью устройства, инструкциями и службой обновлений. Если один говорит, что март 2033 года, а другой говорит, что «пять лет после активации», то непоследовательность — это проект.
Статья 13(18) отдельно требует, чтобы информация пользователя и инструкции оставались доступными в течение как минимум 10 лет после размещения или в течение периода поддержки, в зависимости от того, какой из них дольше. Не путайте наличие инструкций с самим периодом поддержки по устранению уязвимостей.
Пятый вопрос: правильно ли указана дата подачи заявки?
В статье 71 говорится, что CRA обычно применяется от 11 декабря 2027 г.. Обязательства по предоставлению отчетности по статье 14 применяются ранее, начиная с 11 сентября 2026 г., а положения об органе по оценке соответствия применяются с 11 июня 2026 года. Команда, готовящая запуск в 2028 году, должна собрать доказательства по статье 13 уже сейчас. В сообщении в августе 2026 года не должно утверждаться, что обязанности в отношении периода поддержки по статье 13 уже общеприменимы только потому, что дата отчетности по статье 14 близка.
Это различие дат коммерчески полезно. Это отличает реальный проект готовности от неточного заявления о «сроке завершения в следующем месяце».
Квитанция о периоде поддержки
Исходный вклад представляет собой одностраничную квитанцию с шестью полями:
| Поле | Доказательство |
|---|---|
| Продукт | Точная версия, целевое назначение и маршрут рынка. |
| Ожидаемое использование | Ожидания пользователей, характер продукта, операционная среда и применимое законодательство |
| Период | Утвержденная логика начала и завершения, включая любое обоснование сроков менее пяти лет. |
| Компоненты | Даты поддержки основных зависимостей и владелец мер по снижению рисков |
| Публикация | Месяц/год указан при покупке и на соответствующих поверхностях. |
| Обслуживание | Получение уязвимостей, обновления, раскрытие и маршрут уведомления об окончании поддержки |
Когда эти поля согласуются, поставщик технического обслуживания может определить объем работ по проектированию, замене компонентов, доставке обновлений или доказательным операциям. Если они этого не делают, первым результатом является датированный анализ пробелов, а не пятилетняя гарантия поддержки.
Ключевые факты
- CRA обычно применяется с 11 декабря 2027 года; Отчетность по статье 14 применяется с 11 сентября 2026 года.
- Статья 13(8) требует эффективного устранения уязвимостей в течение периода поддержки.
- Период поддержки отражает ожидаемое использование продукта и обычно составляет не менее пяти лет.
- Более короткий период возможен, если ожидаемое использование короче; продукты, которые, как ожидается, будут использоваться дольше, требуют более длительного периода.
- Техническая документация должна содержать информацию, используемую для определения срока.
- Статья 13(19) требует, чтобы как минимум месяц и год окончания поддержки были четко доступны при покупке, а также на соответствующем продукте, упаковке или цифровых поверхностях.
FAQ
Требует ли CRA ровно пять лет поддержки для каждого продукта?
Нет. Обычно период поддержки составляет не менее пяти лет, но если предполагается, что продукт будет использоваться менее пяти лет, он соответствует ожидаемому использованию; для продуктов, которые, как ожидается, будут использоваться дольше, требуется период, отражающий это более длительное использование.
Какие факторы определяют период поддержки?
В статье 13(8) указаны ожидаемое использование, разумные ожидания пользователей, характер продукта и предполагаемое назначение, соответствующее законодательство Союза, аналогичные продукты, доступность рабочей среды, периоды поддержки основных компонентов и соответствующие рекомендации, применяемые пропорционально.
Где должна отображаться дата окончания поддержки?
Статья 13(19) требует, чтобы по крайней мере месяц и год были четко и понятно указаны при покупке в легкодоступной форме и, где это применимо, на продукте, упаковке или с помощью цифровых средств.
Применяются ли обязанности по статье 13 в отношении периода поддержки в целом в августе 2026 года?
Нет. Постановление обычно применяется с 11 декабря 2027 года. Отчетность по статье 14 применяется раньше, с 11 сентября 2026 года, но эту более раннюю дату не следует неправильно применять к обязанностям в отношении периода поддержки по статье 13.
Самый сильный спрос Signal не «CRA говорит пять лет». Это продукт, готовящийся к выходу на рынок, с заявлением о поддержке, которое пока не может быть подтверждено его технической документацией, планом компонентов и датой предоставления покупателю.
Часто задаваемые вопросы
Требует ли CRA ровно пять лет поддержки для каждого продукта?
Нет. Обычно период поддержки составляет не менее пяти лет, но если предполагается, что продукт будет использоваться менее пяти лет, он соответствует ожидаемому использованию; для продуктов, которые, как ожидается, будут использоваться дольше, требуется период, отражающий это более длительное использование.
Какие факторы определяют период поддержки?
В статье 13(8) указаны ожидаемое использование, разумные ожидания пользователей, характер продукта и предполагаемое назначение, соответствующее законодательство Союза, аналогичные продукты, доступность рабочей среды, периоды поддержки основных компонентов и соответствующие рекомендации, применяемые пропорционально.
Где должна отображаться дата окончания поддержки?
Статья 13(19) требует, чтобы по крайней мере месяц и год были четко и понятно указаны при покупке в легкодоступной форме и, где это применимо, на продукте, упаковке или с помощью цифровых средств.
Применяются ли обязанности по статье 13 в отношении периода поддержки в целом в августе 2026 года?
Нет. Постановление обычно применяется с 11 декабря 2027 года. Отчетность по статье 14 применяется раньше, с 11 сентября 2026 года, но эту более раннюю дату не следует неправильно применять к обязанностям в отношении периода поддержки по статье 13.
Источники и дополнительное чтение
Как обнаруживается Signal, заслуживающий внимания
Методика показывает, как Top Prospect находит и упорядочивает Signals, которые стоит проверить, сохраняет исходный контекст Telegram, удаляет дубли и помогает определить порядок просмотра. Решение о дальнейших действиях остаётся за вами.