Support perióda podľa CRA: ako dlho musíte dodávať bezpečnostné aktualizácie

„Ako dlho to vlastne musíme podporovať?" je otázka, ktorá pri Cyber Resilience Act rozhoduje o nákladoch na roky dopredu. Odpoveď je v čl. 13 nariadenia (EÚ) 2024/2847 a je prekvapivo konkrétna. Poďme si ju rozobrať tak, aby ste vedeli periódu určiť aj obhájiť.

Čo hovorí čl. 13(8)

Support periódu (obdobie podpory) určuje výrobca — ale nie ľubovoľne. Podľa čl. 13(8) má odrážať dobu, počas ktorej sa očakáva, že produkt bude v používaní, pričom sa berú do úvahy najmä primerané očakávania používateľov, povaha produktu a jeho účel. A je tu tvrdá spodná hranica: support perióda má byť aspoň päť rokov. Ak sa produkt reálne očakáva v používaní kratšie ako päť rokov, perióda zodpovedá tejto kratšej očakávanej dobe.

Preklad do praxe: pri väčšine softvéru a zariadení počítajte s piatimi rokmi ako východiskom. Kratšie obdobie je možné len tam, kde je skutočne odôvodnené kratšou životnosťou produktu — a to odôvodnenie musíte vedieť doložiť.

Počas periódy: bezpečnostné aktualizácie zadarmo

Support perióda nie je len číslo na papieri — je to záväzok. Počas nej musíte riešiť zraniteľnosti a dodávať bezpečnostné aktualizácie, a nariadenie je jednoznačné v jednom bode: bezpečnostné updaty sa poskytujú bezplatne. Nemôžete si teda za bezpečnostnú opravu pýtať príplatok ani ju viazať na platený „support balík". (Nové funkcie spoplatniť môžete — reč je o bezpečnostných opravách.) Výnimka: pri produkte na mieru (tailor-made) sa možno dohodnúť inak — Príloha I časť II bod 8 pripúšťa odlišnú dohodu („unless otherwise agreed … in relation to a tailor-made product"). Týka sa to práve segmentu zákazkového vývoja.

Po vydaní: 10-ročná dostupnosť updatov (čl. 13(9))

Tu si mnohí mýlia dve rôzne čísla. Okrem samotnej support periódy platí ešte čl. 13(9): každá bezpečnostná aktualizácia, ktorú ste počas support periódy sprístupnili, musí ostať dostupná ešte aspoň 10 rokov po vydaní — alebo do konca support periódy, podľa toho, čo je dlhšie. Inak povedané: nestačí update vydať a o rok stiahnuť. Používatelia (a orgán dohľadu) k nemu musia mať prístup ešte dlho po tom.

Dve čísla, dva významy:

1. Support perióda (min. 5 rokov) = ako dlho aktívne opravujete a vydávate nové bezpečnostné aktualizácie.
2. Dostupnosť updatu (min. 10 rokov po vydaní) = ako dlho musí už vydaná oprava ostať stiahnuteľná.

Odôvodnenie patrí do dokumentácie

Keďže periódu určujete vy, musíte vedieť prečo práve toľko. Informácie, na základe ktorých ste support periódu stanovili, sú súčasťou technickej dokumentácie — teda toho, čo predkladáte orgánu dohľadu nad trhom na žiadosť. V praxi stačí pár viet: aký typ produktu to je, ako dlho ho zákazníci reálne používajú, o aké porovnateľné produkty sa opierate. Nie je to esej, je to obhájiteľné rozhodnutie na papieri. Čo všetko technická dokumentácia obsahuje, rozoberá článok o self-assessmente a Prílohe VII.

Ako periódu obhájiť — príklady

Keďže dĺžku určujete vy, oplatí sa vedieť, čím ju podložiť. Pár orientačných prípadov:

1. Bežná desktopová alebo serverová aplikácia: východisko päť rokov. Kratšie by ste museli obhájiť tým, že produkt reálne dožíva skôr — čo pri softvéri býva ťažké.
2. Zariadenie s dlhou životnosťou (priemyselný senzor, brána): používatelia očakávajú roky prevádzky, takže perióda by mala zodpovedať tejto dlhšej dobe, kľudne nad päť rokov.
3. Produkt s krátkym životným cyklom naviazaný na konkrétnu sezónu alebo hardvér, ktorý sa reálne prestane používať skôr: perióda môže byť kratšia, ak to viete doložiť očakávanou dobou používania.

V dokumentácii stačí pár viet: o aký typ produktu ide, ako dlho ho zákazníci reálne používajú a o čo sa opierate (porovnateľné produkty, história vašich vlastných verzií). Dôležité je, aby to bolo rozhodnutie s odôvodnením, nie číslo z brucha.

Ktoré verzie to zaťahuje

Častý omyl je myslieť len na „najnovšiu verziu". Support perióda sa vzťahuje na produkt, ktorý je v používaní — takže kým beží podpora, musíte vedieť reagovať na zraniteľnosti vo všetkých verziách, ktoré sú ešte podporované a v teréne. Ak dodávate verzie 2.3, 2.4 aj 2.5, nová zraniteľnosť v spoločnom komponente sa môže týkať viacerých z nich. Bez zoznamu komponentov pri každej verzii neviete rýchlo povedať, ktorá je zasiahnutá — a práve preto sa SBOM verzuje s každým vydaním.

Čo to znamená pre malú firmu

Praktický dôsledok je jednoduchý, ale ďalekosiahly: záväzok bežať pomerne dlho. Support perióda znamená, že po celých päť (a viac) rokov musíte vedieť sledovať zraniteľnosti vo svojich komponentoch a reagovať na ne — pri každej verzii, ktorú ste ešte v podpore. Bez zoznamu komponentov (SBOM) a bez priebežného monitoringu sa to nedá zvládnuť ručne; preto sa oplatí mať tie procesy zavedené hneď na začiatku. Ako si SBOM vyrobiť, ukazuje návod za 10 minút.

Kľúčový bod

Support perióda je pri CRA rozhodnutie s dlhým tieňom — určuje náklady na roky dopredu. Zapamätajte si dve čísla a nezamieňajte ich. Čl. 13(8): support periódu určujete vy podľa očakávanej doby používania, ale minimálne päť rokov (kratšie len pri skutočne kratšej životnosti, ktorú viete doložiť). Čl. 13(9): každý vydaný bezpečnostný update musí ostať dostupný ešte aspoň 10 rokov (alebo do konca support periódy, podľa toho, čo je dlhšie). Počas periódy poskytujete bezpečnostné aktualizácie zadarmo. Odôvodnenie dĺžky patrí do technickej dokumentácie — pár viet, nie esej. A pozor: podpora sa netýka len najnovšej verzie, ale všetkých verzií, ktoré sú ešte v teréne a v podpore — preto sa SBOM verzuje s každým vydaním, aby ste vedeli rýchlo povedať, ktorá dodaná verzia je zraniteľná.

Ako pomáha CRAguard

CRAguard drží pri každom produkte jeho support periódu aj verzie a denne kontroluje ich komponenty proti databázam zraniteľností — takže po celý čas podpory viete, čo treba opraviť, bez ručného prehrabávania. Keď vyjde nový bezpečnostný problém, dostanete jasný verdikt a podklad pre reakciu. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 13, najmä ods. 8 a 9) a usmernenia Európskej komisie zo dňa 27. 7. 2026.