Okres wsparcia CRA 2027 – aktualizacje bezpieczeństwa, informacje dla klientów i rejestr cyklu życia | Word/PDF/Excel

Jak długo producent musi zapewniać bezpieczeństwo swojego produktu cyfrowego i jak jasno klientowi przedstawić zakończenie wsparcia? Ten specjalistyczny pakiet dokumentuje przewidywany czas użytkowania, okres wsparcia, obsługę podatności, aktualizacje bezpieczeństwa, informowanie klientów oraz zapewnienie dalszego dostępu do już wydanych łatek. Został opracowany dla szwedzkich producentów, właścicieli produktów, kierowników rozwoju, zespołów PSIRT oraz firm sprzedających oprogramowanie lub sprzęt z łącznością w UE.

Szybkie fakty: 15 plików dla klienta: siedem edytowalnych dokumentów Word (DOCX), siedem odpowiadających im plików PDF z możliwością wyszukiwania i druku oraz rejestr Excel (XLSX) z dziewięcioma zakładkami. Pięć szablonów roboczych w języku szwedzkim, szwedzki przewodnik użytkownika oraz osobny angielski przewodnik użytkownika do szwedzkich szablonów. Pliki PDF nie są interaktywnymi formularzami do wypełniania.

Dla kogo przeznaczony jest pakiet?

Na przykład dla szwedzkiego dostawcy czujników z łącznością, firmy oferującej oprogramowanie, producenta wykorzystującego wbudowane komponenty od podmiotów trzecich lub zespołu produktowego, który musi udokumentować swoją politykę wsparcia przed głównym zastosowaniem CRA w grudniu 2027 roku.

Nie wystarcza samodzielnie w przypadku, gdy potrzebują Państwo rzeczywistego generatora SBOM, analizy kodu, certyfikacji bezpieczeństwa, testów penetracyjnych, deklaracji zgodności CE lub sporządzenia obowiązkowego raportu do organu nadzorczego. Szablon nie może automatycznie określić stosowalności produktu ani zagwarantować zgodności prawnej.

Przegląd plików – co otrzymuje klient?

Excel z dziewięcioma zakładkami

Przegląd, Produkty, Decyzje okresowe, Komponenty, Podatności, Aktualizacje, Informowanie klientów, Działania i Przeczytaj. Można na przykład odnotować, które produkty nie mają jeszcze ostatecznej decyzji o wsparciu, krótkie okresy wsparcia wymagające weryfikacji, luki w komponentach, otwarte podatności, łatki bez zweryfikowanego dostępu i brak informowania klientów. Przegląd wykorzystuje sprawdzone formuły statusu i nie zawiera fikcyjnych danych testowych.

Ostrzeżenie: Brak otwartych zgłoszeń może wynikać z faktu, że żadne zgłoszenia nie zostały zarejestrowane. Excel nie jest silnikiem oceny prawnej, skanerem podatności ani automatycznym zatwierdzeniem.

Jak korzystać z dokumentów

1. Ustal, czy producent i produkt podlegają CRA oraz czy mają zastosowanie inne przepisy sektorowe.
2. Udokumentuj przewidywany czas użytkowania produktu, oczekiwania klientów i komponenty, od których produkt zależy.
3. Uzasadnij okres wsparcia – zazwyczaj co najmniej pięć lat, ale dłużej, jeśli przewidywane użytkowanie produktu tego wymaga; krócej, jeśli wymaga to uzasadnionego krótszego czasu użytkowania.
4. Zatwierdź odpowiedzialność, zasoby, obsługę zgłoszeń podatności, łatanie, testowanie i bezpieczne dystrybuowanie.
5. Jasno przedstaw zakończenie wsparcia produktu przy zakupie, co najmniej z podaniem miesiąca i roku, oraz dostarcz odpowiednie informacje dotyczące bezpieczeństwa.
6. Odnotuj datę wydania każdej aktualizacji i sprawdź zapewnienie dalszego dostępu w odpowiednim okresie.
7. Udokumentuj podstawy techniczne, dowody informowania oraz ponowną ocenę w przypadku zmiany okoliczności.

Podstawa prawna i ważne daty

Rozporządzenie (UE) 2024/2847 – Cyber Resilience Act jest głównym źródłem. Zgodnie z art. 13.8, producent musi wybrać okres wsparcia odpowiadający przewidywanemu czasowi użytkowania produktu. Zasadą jest co najmniej pięć lat, ale możliwy jest krótszy okres, jeśli przewidywane użytkowanie produktu rzeczywiście wynosi mniej niż pięć lat. Jeśli czas użytkowania jest dłuższy, pięć lat może być niewystarczające. Podstawy oceny muszą znaleźć się w dokumentacji technicznej.

Art. 13.9: Aktualizacja bezpieczeństwa udostępniona w okresie wsparcia musi być dostępna przez co najmniej dziesięć lat od jej wydania lub dłużej, jeśli pozostały okres wsparcia jest dłuższy. Jest to zasada dotycząca dostępności właśnie tej aktualizacji – nie ogólny wymóg dziesięcioletniego aktywnego wsparcia.

Art. 13.19 wymaga, aby data zakończenia okresu wsparcia, co najmniej miesiąc i rok, była jasno określona przy zakupie. Załącznik II, punkty 7 i 8 obejmują m.in. rodzaj wsparcia, instrukcje aktualizacji, bezpieczną instalację i bezpieczne wycofanie. Załącznik I, część II dotyczy obsługi podatności i aktualizacji, w tym bezpiecznego dystrybuowania i informowania użytkowników.

Daty: Główne wymagania CRA dotyczące produktów zaczynają być stosowane 11 grudnia 2027 roku. Obowiązki raportowania zgodnie z art. 14 dotyczące niektórych podatności aktywnie wykorzystywanych i poważnych incydentów bezpieczeństwa obowiązują już od 11 września 2026 roku. Należy sprawdzić produkty, role, przepisy przejściowe, stosowalność i uzupełniające wytyczne dla danego producenta. Przegląd CRA Komisji Europejskiej oraz wytyczne z 27 lipca 2026 roku stanowią dodatkowe wsparcie.

Różnica w stosunku do pozostałych produktów CRA w Sklepie

Istniejący Pakiet zgodności CRA ma szerokie podejście do oceny ryzyka, SBOM i wymagań dotyczących incydentów. Ten specjalistyczny produkt koncentruje się na prawodawczym i technicznym uzasadnieniu decyzji dotyczących okresu wsparcia, informowaniu klientów i dalszym dostępie do łatek. Raportowanie incydentów PSIRT odbywa się oddzielnie. Do ogólnej aktualizacji operacyjnej i planowania zmian wymagane są również własne procesy techniczne danej organizacji.

Często zadawane pytania

Czy wszystkie produkty muszą być wspierane dokładnie przez pięć lat?

Nie. Okres wsparcia powinien odpowiadać przewidywanemu czasowi użytkowania i często być dłuższy niż pięć lat. Krótszy okres wymaga konkretnego uzasadnienia, że produktu rzeczywiście spodziewa się używać krócej.

Czy dziesięcioletni wymóg oznacza, że musimy wydawać nowe łatki przez dziesięć lat?

Nie. Art. 13.9 odnosi się do dalszego dostępu do łatek faktycznie wydanych w okresie wsparcia. Jest to inna kwestia niż długość okresu aktywnego wsparcia.

Co klient musi zobaczyć przy zakupie?

W tym rodzaj technicznego wsparcia bezpieczeństwa i zakończenie wsparcia, jasno i zrozumiale z podaniem co najmniej miesiąca i roku.

Czy Excel może stwierdzić, czy łatka spełnia wymogi CRA?

Nie. Excel podsumowuje ręcznie wypełniane przez organizację pola i nie zawiera skanera technicznego ani certyfikacji regulacyjnej.

Czy w zestawie są rzeczywiste aktualizacje bezpieczeństwa lub czytelny dla maszyn SBOM?

Nie. W zestawie znajdują się szablony robocze do dokumentacji i bezpieczne odniesienia. Rzeczywista praca rozwojowa, testy i generowanie SBOM muszą być wykonane oddzielnie.

Czy pliki PDF można wypełniać cyfrowo?

Są wyszukiwalne i nadają się do druku, ale nie są interaktywnymi formularzami PDF. Edytuj dokumenty w Word i Excelu.

Czy wszystkie dokumenty są przetłumaczone na język angielski?

Nie. Pięć szwedzkich szablonów roboczych i Excel jest w języku szwedzkim; w zestawie znajduje się angielski przewodnik użytkownika wyjaśniający przebieg pracy.

Źródła, poziom weryfikacji i wersja

Oficjalne źródła: UE 2024/2847, podsumowanie Komisji Europejskiej, harmonogram wdrażania oraz wytyczne z 2026 roku.

Wersja produktu: 1.0, 12 listopada 2026. Weryfikacja źródeł prawnych: wspomagana przez AI przy użyciu oficjalnych źródeł. Brak niezależnej zewnętrznej weryfikacji prawnej, rzeczywistych testów bezpieczeństwa produktu, kontroli organu nadzorczego ani certyfikacji CE. Pliki stanowią dostosowywalny produkt roboczy i nie mogą być reklamowane jako zweryfikowana zgodność. Dostawa przez cyfrowy ZIP wymaga osobnego aktywowania funkcji pobierania sklepu przed publikacją.