Forordningen om cyberrobusthed kræver, at producenter leverer og vedligeholder sikkerhedsopdateringer i hele en passende supportperiode. Denne forpligtelse påvirker produktplanlægning, opdateringslevering, teknisk dokumentation og leverandørstyring.
Hvad CRA kræver
Forordningen om cyberrobusthed (CRA) kræver, at producenter af produkter med digitale elementer håndterer og afhjælper sårbarheder uden unødig forsinkelse, herunder ved at levere sikkerhedsopdateringer. Den kræver også en politik for koordineret offentliggørelse af sårbarheder, en kontaktadresse til rapportering af sårbarheder og et enkelt kontaktpunkt, hvorigennem brugere kan kommunikere direkte og hurtigt med producenten. Regulation (EU) 2024/2847
I praksis omfatter kravene:
- afhjælpning af sårbarheder uden unødig forsinkelse, herunder gennem sikkerhedsopdateringer;
- en mulighed for at rapportere potentielle sårbarheder;
- distribution af opdateringer gennem sikre mekanismer; og
- tilgængeliggørelse af sikkerhedsopdateringer uden beregning under de omstændigheder, der er fastsat i forordningen.
Sikkerhedsopdateringer og funktionsopdateringer skal leveres særskilt, når det er teknisk muligt. Det betyder, at brugere bør kunne håndtere et sikkerhedsproblem uden nødvendigvis at tage en funktionsopdatering i brug, når produktet understøtter denne adskillelse.
Tilgængelige sikkerhedsopdateringer skal distribueres uden unødig forsinkelse og uden beregning. Forordningen fastsætter en begrænset undtagelse, når en producent og en erhvervsbruger aftaler andet for et skræddersyet produkt med digitale elementer. Denne undtagelse bør ikke antages at gælde for standardprodukter. Regulation (EU) 2024/2847
Hvor længe opdateringer skal udvikles
Producenter skal fastsætte en supportperiode, der afspejler den tid, hvor et produkt forventes at være i brug. Supportperioden er normalt mindst fem år. Hvis produktet forventes anvendt i mindre end fem år, svarer supportperioden dog til denne kortere forventede brugstid. Regulation (EU) 2024/2847
Forordningen indeholder ikke en enkel formel til fastsættelse af perioden. Producenter kan tage hensyn til produktets tilsigtede formål, rimelige brugerforventninger, sammenlignelige produkter, tilgængeligheden af driftsmiljøet og supportperioderne for integrerede tredjepartskomponenter, der leverer kernefunktioner. De oplysninger, der indgår i fastsættelsen af supportperioden, skal medtages i den tekniske dokumentation.
For et enkelt produkt kan dette forekomme overskueligt. På tværs af en produktportefølje kan det blive en langsigtet driftsforpligtelse. Producenter kan få behov for at vurdere sårbarheder, udvikle og teste opdateringer til ældre versioner, opretholde kapacitet til udgivelser og nå brugere af produkter, der allerede er i drift.
Ti års tilgængelighed af udgivne opdateringer
Supportperioden fastlægger, hvor længe en producent skal udvikle sikkerhedsopdateringer. En særskilt regel regulerer, hvor længe den enkelte udgivne opdatering skal forblive tilgængelig.
Alle sikkerhedsopdateringer, der gøres tilgængelige i supportperioden, skal forblive tilgængelige i mindst ti år efter udgivelsen eller i resten af supportperioden, hvis denne er længere. Regulation (EU) 2024/2847
Disse forpligtelser fungerer forskelligt. Supportperioden vedrører udviklingen af nye opdateringer. Reglen om tilgængelighed vedrører fortsat adgang til en opdatering, der allerede er udgivet. En opdatering, der udgives tæt på supportperiodens udløb, kan derfor skulle forblive tilgængelig i mange år, efter at det nye udviklingsarbejde er ophørt.
Det kræver opdateringsinfrastruktur, der kan vare længere end den aktive udvikling. Downloadtjenester, opdateringsservere, signeringsordninger og understøttende dokumentation skal fortsat forvaltes, så brugerne kan hente en udgivet sikkerhedsopdatering, når det er nødvendigt.
Tilpasning af support på tværs af forsyningskæden
En producents evne til at vedligeholde sine produkter afhænger delvist af de komponenter, der er integreret i dem. CRA kræver, at producenter udviser behørig omhu ved integration af tredjepartskomponenter, så komponenterne ikke kompromitterer produktets cybersikkerhed. Den tillader også, at producenter tager hensyn til supportperioderne for centrale tredjepartskomponenter, når de fastsætter produktets supportperiode. Regulation (EU) 2024/2847
Det gør leverandørsupport til et praktisk planlægningsspørgsmål. Producenter har brug for tilstrækkelige oplysninger om komponentsupport, håndtering af sårbarheder og tilgængelighed af opdateringer for at kunne opfylde deres egne forpligtelser. CRA foreskriver ikke en bestemt ordlyd i leverandørkontrakter, men leverandørforpligtelser og produktets supportplanlægning skal fungere sammen.
Økonomien i sikkerhedssupport
Kravet om at levere sikkerhedsopdateringer uden beregning ændrer økonomien i livscyklussupport. Sikkerhedsvedligeholdelse, test, udgivelsesdrift og langsigtet tilgængelighed af opdateringer kan skulle planlægges som en del af produktets livscyklus frem for at blive behandlet som valgfri support efter salg.
Den begrænsede undtagelse for skræddersyede produkter, der er aftalt med erhvervsbrugere, fjerner ikke den generelle forpligtelse for produkter, der leveres bredere. Producenter bør derfor nøje skelne mellem sikkerhedssupport, funktionsudvikling og den kontraktmæssige sammenhæng, hvori et produkt leveres.
Fastlæggelse og dokumentation af forventet brug
Forventet brug er central for supportperioden. En producent bør foretage en velovervejet vurdering af, hvor længe produktet forventes at forblive i brug, og dokumentere de oplysninger, der ligger til grund for vurderingen.
Sammenlignelige produkter, produktets tilsigtede formål, brugerforventninger, tilgængeligheden af driftsmiljøet og support af kernekomponenter kan alle være relevante. Vurderingen er ikke blot en intern planlægningsøvelse: Forordningen kræver, at de understøttende oplysninger fremgår af den tekniske dokumentation. Regulation (EU) 2024/2847
Forberedelse til anvendelsesdatoen
CRA finder generelt anvendelse fra den 11. december 2027. Dens indberetningsforpligtelser i artikel 14 finder anvendelse tidligere, fra den 11. september 2026, men disse indberetningsforpligtelser er adskilt fra de forpligtelser vedrørende support og opdateringer, der behandles her. Regulation (EU) 2024/2847
Før den generelle anvendelsesdato bør producenter sikre, at deres ordninger for produktets livscyklus omfatter ældre miljøer til opbygning og test, sikker levering af opdateringer, langsigtet tilgængelighed af udgivne opdateringer, dokumenterede beslutninger om supportperioder og afhængigheder af leverandørsupport. Europa-Kommissionens vejledning til producenter om CRA giver yderligere kontekst om livscyklus og tiden efter markedsføring, mens forordningen fortsat er den autoritative lovtekst. European Commission CRA manufacturer guidance