De ondersteuningsperiode van de CRA: een patch op de EU-Productwetgeving? (Timelex)

Auteurs: Pedro Demolder & Wout Platteau (Timelex)

Op grond van de Cyber Resilience Act (CRA) moeten fabrikanten van producten met digitale elementen nog jarenlang nadat het product de fabriek heeft verlaten kwetsbaarheden blijven beheren en beveiligingsupdates blijven leveren. Dat geldt zowel voor zelfstandige software als voor in hardware ingebedde software en zelfstandige hardware. De duur van die verplichting wordt bepaald door de ondersteuningsperiode. Voor de meeste productfabrikanten is dat een onbekend gegeven. Traditioneel heeft EU-productwetgeving altijd opgehouden bij het in de handel brengen van het product of beperkte de verplichte ondersteuning tot consumenten. De CRA doet dat niet. Deze blogpost licht toe wat de ondersteuningsperiode is, hoe fabrikanten die moeten bepalen en meedelen, en waarom zij breekt met de logica van het Nieuw Wetgevingskader (NLF), het gemeenschappelijke model waarop de EU-productwetgeving is gebouwd.

WAT IS DE ONDERSTEUNINGSPERIODE?

Artikel 3, lid 20 CRA omschrijft de ondersteuningsperiode als “de periode gedurende welke een fabrikant ervoor moet zorgen dat kwetsbaarheden van een product met digitale elementen doeltreffend en in overeenstemming met de essentiële cyberbeveiligingseisen van deel II van bijlage I worden behandeld”. Deel II van bijlage I bij de CRA bevat de eisen inzake kwetsbaarhedenbeheer, waaronder de verplichting om kwetsbaarheden vast te stellen en te documenteren, ze onverwijld te verhelpen en beveiligingsupdates kosteloos te verspreiden.

De fabrikant moet de ondersteuningsperiode zo bepalen dat zij de verwachte gebruiksduur van het product weerspiegelt, zodat kwetsbaarheden in het product gedurende de volledige verwachte gebruiksduur ervan worden behandeld. Artikel 13, lid 8 CRA legt de basisduur op vijf jaar. Wanneer het product naar verwachting korter in gebruik zal zijn, mag de ondersteuningsperiode korter zijn. Omgekeerd moet de ondersteuningsperiode langer zijn wanneer het product naar verwachting langer in gebruik zal zijn. In de praktijk moeten fabrikanten de ondersteuningsperiode steeds geval per geval beoordelen en kunnen zij niet zonder meer terugvallen op de standaardtermijn van vijf jaar. Die ondersteuningsperiode loopt vanaf het ogenblik waarop elke individuele eenheid in de handel wordt gebracht, niet per model. Een model dat gedurende drie jaar wordt verkocht met een ondersteuningsperiode van vijf jaar, bindt de fabrikant dus in totaal gedurende een periode van acht jaar, te rekenen vanaf de eerste eenheid tot de laatste.

Artikel 13, lid 8 CRA somt de criteria op aan de hand waarvan moet worden beoordeeld hoe lang een ondersteuningsperiode moet duren. De primaire criteria zijn de redelijke verwachtingen van de gebruikers, de aard en het beoogde doel van het product, en de eisen van het Unierecht die de levensduur van het product bepalen. Daarnaast komen de ondersteuningsperioden van vergelijkbare producten, de beschikbaarheid van de gebruiksomgeving en de ondersteuningsperiode van geïntegreerde componenten van derden. Van een slimme thermostaat die vast is ingebouwd in een verwarmingsinstallatie kan bijvoorbeeld worden verwacht dat hij de vervangingscyclus van de ketel van twaalf tot vijftien jaar volgt, terwijl een app die voor één enkele editie van een vakbeurs wordt uitgebracht het evenement niet overleeft. De analyse moet in de technische documentatie worden gedocumenteerd. Naar onze mening geldt dat evenzeer wanneer de fabrikant een kortere periode dan vijf jaar vaststelt, ook al stelt FAQ 4.5.2 van de FAQ’s van de Commissie over de CRA dat de overige criteria van artikel 13, lid 8 CRA in dat geval niet in aanmerking hoeven te worden genomen. Wij zien voor die vrijstelling geen rechtsgrond, en de FAQ is hoe dan ook niet bindend.

Eenmaal vastgesteld moet de ondersteuningsperiode worden meegedeeld. Artikel 13, lid 19 CRA verplicht de fabrikant om de einddatum ervan, ten minste de maand en het jaar, op het ogenblik van aankoop te vermelden. De CRA zegt niet wie die koper is, zodat eenieder die het product koopt daarover moet worden geïnformeerd, of het nu gaat om een importeur, een distributeur of een eindgebruiker. Fabrikanten moeten ervoor zorgen dat de informatie de distributieketen volgt. Wanneer dat technisch haalbaar is, moet het product zelf ook een notificatie van het einde van de ondersteuning weergeven.

Hierbij gelden twee grenzen:

• Ten eerste betreft de ondersteuningsperiode uitsluitend cyberbeveiliging. Zij verplicht de fabrikant niet om functionele bugs te verhelpen, nieuwe functionaliteiten uit te brengen, de compatibiliteit met nieuwe gebruiksomgevingente behouden of een helpdesk te bemannen. Of en hoelang een fabrikant dat soort commerciële ondersteuning aanbiedt, blijft een contractuele aangelegenheid.
• Ten tweede beperkt de ondersteuningsperiode de verplichtingen inzake kwetsbaarhedenbeheer, niet de meldingsverplichtingen. Ook na afloop van de ondersteuningsperiode moet de fabrikant actief uitgebuite kwetsbaarheden en ernstige incidenten waarvan hij kennis krijgt nog steeds melden. Die meldingsverplichtingen gelden sinds 11 september 2026, ruim vóór de rest van de CRA.

WAAROM IS DIT NIEUW?

De harmonisatiewetgeving van de Unie volgt een vast stramien. De fabrikant ontwerpt het product zo dat het aan de essentiële eisen voldoet, gaat de conformiteit na door middel van een conformiteitsbeoordeling, stelt een EU-conformiteitsverklaring op en brengt de CE-markering aan. Het referentiepunt voor dit alles is het in de handel brengen. Zodra een product rechtmatig in de handel is gebracht, bestaan de verplichtingen van de fabrikant grotendeels uit monitoring, samenwerking met de markttoezichtautoriteiten en het nemen van corrigerende maatregelen wanneer non-conformiteit aan het licht komt. De essentiële eisen zelf worden beoordeeld aan de hand van het product zoals het was op het ogenblik waarop het op de markt kwam.

De CRA wijkt van dat stramien af. Zij behoudt de conformiteitsbeoordeling vóór het in de handel brengen, maar voegt daar een reeks essentiële eisenaan toe waaraan pas na het in de handel brengen van het product kan worden voldaan. Kwetsbaarhedenbeheer is per definitie een doorlopende activiteit. Een product dat bij de lancering conform is, wordt non-conform wanneer de fabrikant het tijdens de ondersteuningsperiode niet langer van beveiligingsupdates voorziet. Dit is het punt waar de klassieke productwetgeving en de cyberbeveiligingswetgeving elkaar raken. Het stelt de EU in staat fabrikanten niet alleen verantwoordelijk te houden voor de manier waarop hun producten worden gebouwd, maar ook voor de manier waarop zij worden onderhouden.

De wetgever wilde echter geen onbeperkte onderhoudsverplichtingen opleggen. De ondersteuningsperiode is het instrument dat die verplichtingen eindig houdt. Tijdens de ondersteuningsperiode verhelpt de fabrikant kwetsbaarheden en meldt hij. Na de ondersteuningsperiode meldt hij alleen nog. Die tweedeling vormt het evenwicht dat de CRA tot stand brengt tussen productbeveiliging en de commerciële realiteit van productlevenscycli.

De ondersteuningsperiode heeft ook gevolgen voor de bewaring van documenten. De technische documentatie en de EU-conformiteitsverklaring moeten gedurende tien jaar na het in de handel brengen van het product ter beschikking van de markttoezichtautoriteiten blijven, of gedurende de ondersteuningsperiode indien die langer loopt. Beveiligingsupdates moeten eveneens gedurende tien jaar na de publicatie ervan downloadbaar blijven, dan wel tot het einde van de ondersteuningsperiode indien dat later valt.

De eiseninzake kwetsbaarhedenbeheer gelden voor producten die na 11 december 2027 in de handel worden gebracht. Voor die producten moet de ondersteuningsperiode worden bepaald vóór zij in de handel worden gebracht, en moet de onderbouwing in de technische documentatie zijn opgenomen. Fabrikanten doen er goed aan hun productportfolio nu al af te toetsen aan de criteria van artikel 13, lid 8, van de CRA en de ondersteuningsperiode af te stemmen op hun commerciële communicatie en op de toezeggingen van hun componentenleveranciers.

Bron: Timelex