Період підтримки CRA 2027 – оновлення безпеки, інформація для клієнтів та реєстр життєвого циклу | Word/PDF/Excel

Скільки довго виробник повинен забезпечувати безпеку свого цифрового продукту та як клієнту чітко повідомляється про припинення підтримки? За допомогою цього спеціалізованого пакета ви задокументуєте очікуваний термін використання, період підтримки, обробку вразливостей, оновлення безпеки, інформування клієнтів та подальший доступ до вже випущених патчів. Розроблено для шведських виробників, власників продуктів, керівників з розробки, PSIRT та компаній, які продають програмне забезпечення або підключене до мережі обладнання в ЄС.

Коротко про головне: 15 клієнтських файлів: сім редагованих документів Word (DOCX), сім відповідних пошукових і придатних для друку PDF-файлів, а також реєстр Excel (XLSX) із дев’ятьма вкладками. П’ять робочих шаблонів шведською мовою, шведський посібник користувача та окремий англійський посібник користувача до шведських шаблонів. PDF-файли не є інтерактивними формами для заповнення.

Для кого підходить цей пакет?

Наприклад, для шведського постачальника підключених датчиків, компанії, що надає програмне забезпечення, виробника з інтегрованими компонентами від третіх сторін або команди розробки продукту, які мають задокументувати свою політику підтримки напередонь застосування основних положень CRA у грудні 2027 року.

Не підходить як єдине рішення, якщо вам потрібен справжній генератор SBOM, аналіз коду, сертифікація безпеки, тестування на проникнення, декларація про відповідність CE або детальна обов’язкова звітність перед органами влади. Шаблон не може автоматично визначити відповідність продукту або гарантувати дотримання законодавства.

Огляд файлів — що отримує клієнт?

Excel із дев’ятьма вкладками

Огляд, Продукти, Рішення щодо періоду, Компоненти, Вразливості, Оновлення, Інформування клієнтів, Заходи та Читайте мене. Наприклад, зафіксуйте, які продукти не мають остаточного рішення щодо підтримки, короткі періоди підтримки, що потребують перевірки, розриви в компонентах, відкриті вразливості, патчі з непідтвердженим доступом та відсутність інформування клієнтів. Огляд використовує перевірені формули статусу й не містить вигаданих тестових даних.

Увага: Відсутність відкритих інцидентів може означати, що жодних інцидентів не реєструвалося. Excel не є інструментом юридичної оцінки, сканером вразливостей і не є автоматичним схваленням.

Як використовувати документи

1. Визначте, чи підпадають виробник і продукт під дію CRA та чи є актуальними інші галузеві правила.
2. Задокументуйте очікуваний термін використання продукту, очікування клієнтів та залежні компоненти.
3. Обґрунтуйте період підтримки — зазвичай не менше п’яти років, але довше, якщо очікуваний термін використання продукту цього вимагає; коротший термін потребує обґрунтованого коротшого терміну використання.
4. Затвердьте відповідальність, ресурси, обробку вразливостей, застосування патчів, тестування та безпечне розповсюдження.
5. Чітко вказуйте припинення підтримки продукту під час продажу, принаймні з місяцем і роком, та надавайте відповідну інформацію про безпеку.
6. Зафіксуйте дату випуску кожного оновлення та перевірте подальший доступ протягом відповідного періоду.
7. Задокументуйте технічні підстави, докази інформування та перегляд у разі зміни обставин.

Юридична основа та важливі дати

Регламент (ЄС) 2024/2847 — Закон про кіберстійкість є основним джерелом. Згідно з статтею 13.8, виробник повинен обрати період підтримки, що відповідає очікуваному терміну використання продукту. За загальним правилом він становить не менше п’яти років, але коротший період можливий, якщо фактичний очікуваний термін використання продукту менший за п’ять років. Якщо термін використання довший, п’яти років може бути недостатньо. Підстави для оцінки мають бути включені до технічної документації.

Стаття 13.9: Оновлення безпеки, доступне протягом періоду підтримки, має залишатися доступним щонайменше десять років після його випуску або довше, якщо решта періоду підтримки довший. Це правило щодо доступності саме оновлення — не загальна вимога щодо десяти років активної підтримки.

Стаття 13.19 вимагає чітко вказувати дату припинення періоду підтримки, принаймні місяць і рік, під час продажу. Додаток II, пункти 7 і 8 регулює, зокрема, тип підтримки, інструкції з оновлення, безпечне встановлення та безпечне припинення використання. Додаток I, частина II стосується обробки вразливостей та оновлень, зокрема безпечного розповсюдження та інформування користувачів.

Дати: Основні вимоги CRA до продуктів починають застосовуватися 11 грудня 2027 року. Обов’язкові зобов’язання щодо звітування згідно зі статтею 14 щодо деяких активно використовуваних вразливостей і серйозних інцидентів безпеки діють уже з 11 вересня 2026 року. Для відповідного виробника слід перевірити продукти, ролі, правила перехідного періоду, застосовність та додаткові рекомендації. Огляд CRA Єврокомісії та рекомендації від 27 липня 2026 року надають додаткову підтримку.

Відмінність від інших продуктів CRA у Mallbutiken

Існуючий пакет CRA Compliance має широке спрямування на оцінку ризиків, SBOM та вимоги щодо інцидентів. Цей спеціалізований продукт зосереджений на юридичному та технічному обґрунтуванні рішень щодо періоду підтримки, інформуванні клієнтів та подальшому доступі до патчів. Звітність про інциденти PSIRT здійснюється окремо. Для загального оновлення роботи та планування змін також потрібні власні технічні процеси відповідної організації.

Часті запитання

Чи всі продукти мають підтримуватися рівно п’ять років?

Ні. Період підтримки має відповідати очікуваному терміну використання і часто бути довшим за п’ять років. Коротший термін потребує конкретних підстав для того, щоб продукт справді очікувалося використовувати коротший час.

Чи означає десятирічна вимога, що ми маємо випускати нові патчі протягом десяти років?

Ні. Стаття 13.9 стосується подальшого доступу до патчів, які фактично були випущені протягом періоду підтримки. Це інше питання, ніж тривалість періоду активної підтримки.

Що клієнт повинен побачити під час покупки?

Серед іншого — тип технічної підтримки безпеки та припинення підтримки, чітко і зрозуміло, принаймні з місяцем і роком.

Чи може Excel визначити, чи відповідає патч вимогам CRA?

Ні. Excel підсумовує ручні поля, які організація заповнює сама, і не містить жодного технічного сканера чи регуляторної сертифікації.

Чи містяться справжні оновлення безпеки або машинозчитуваний SBOM?

Ні. Включено робочі шаблони для документації та надійні посилання. Фактична розробка, тестування та генерація SBOM мають виконуватися окремо.

Чи можна заповнювати PDF-файли цифровим способом?

Вони є пошуковими та придатними для друку, але не є інтерактивними PDF-формами. Редагуйте документи у Word та Excel.

Чи всі документи перекладені англійською мовою?

Ні. П’ять шведських робочих шаблонів та Excel є шведською мовою; для пояснення робочого процесу включено англійський посібник користувача.

Джерела, рівень перевірки та версія

Офіційні джерела: ЄС 2024/2847, резюме Єврокомісії, графік впровадження та рекомендації 2026 року.

Версія продукту: 1.0, 12 листопада 2026 року. Юридична перевірка джерел: з використанням ШІ та офіційних джерел. Без незалежної зовнішньої юридичної перевірки, справжнього тестування безпеки продукту, перевірки органами влади або сертифікації CE. Файли є адаптивним робочим продуктом і не можуть рекламуватися як перевірена відповідність. Доставка через цифровий ZIP-архів потребує окремого увімкнення функції завантаження магазину перед публікацією.