Okres wsparcia w CRA: ile lat i co obejmuje

Krótka odpowiedź

Okres wsparcia to czas, w którym producent musi skutecznie obsługiwać podatności produktu zgodnie z załącznikiem I część II CRA. Producent ustala go sam, tak aby odpowiadał czasowi, w którym produkt ma być używany. Okres wynosi co najmniej pięć lat, a krótszy może być tylko wtedy, gdy oczekuje się, że produkt będzie użytkowany krócej. Datę zakończenia wsparcia, co najmniej miesiąc i rok, klient musi poznać w momencie zakupu.

Najważniejsze informacje

Okres wsparcia określa producent na podstawie oczekiwanego czasu użytkowania produktu (art. 13 ust. 8).
Minimum to pięć lat. Krótszy okres jest dopuszczalny tylko wtedy, gdy oczekuje się, że produkt będzie użytkowany krócej niż pięć lat.
Przez cały okres wsparcia obowiązują wszystkie wymagania obsługi podatności z załącznika I część II, w tym bezpłatne aktualizacje zabezpieczeń.
Każda wydana aktualizacja zabezpieczeń pozostaje dostępna co najmniej 10 lat od wydania albo do końca okresu wsparcia, jeśli to później (art. 13 ust. 9).
Data zakończenia okresu wsparcia, co najmniej miesiąc i rok, musi być jasno podana w momencie zakupu (art. 13 ust. 19).

Czym jest okres wsparcia w CRA?

Okres wsparcia to okres, w którym producent jest zobowiązany zapewniać, aby na podatności produktu reagowano skutecznie i zgodnie z załącznikiem I część II (art. 3 pkt 20). To pojęcie z zakresu cyberbezpieczeństwa. Nie jest tym samym co gwarancja, serwis ani czas, przez który produkt jest w sprzedaży.

Okres wsparcia określa producent, a nie importer czy dystrybutor. Od tej decyzji zależy, jak długo musisz utrzymywać proces obsługi podatności, zespół, środowisko budowania i kanał aktualizacji. Dlatego warto ją podjąć przed wprowadzeniem produktu do obrotu, razem z oceną ryzyka, która ma uwzględniać oczekiwany czas użytkowania produktu (art. 13 ust. 3).

Jak długi musi być okres wsparcia?

Okres wsparcia ma odzwierciedlać czas, w którym produkt ma być użytkowany, i wynosi co najmniej pięć lat. Jeżeli oczekuje się, że produkt będzie użytkowany krócej niż pięć lat, okres wsparcia odpowiada przewidywanemu czasowi użytkowania (art. 13 ust. 8). Pięć lat jest więc dolną granicą, a nie standardem dla każdego produktu.

Motyw 60 wyjaśnia obie strony tej zasady. Jeżeli można racjonalnie oczekiwać, że produkt będzie używany dłużej niż pięć lat, producent powinien zapewnić dłuższy okres wsparcia. Motyw wymienia tu komponenty sprzętowe, takie jak płyty główne i mikroprocesory, urządzenia sieciowe, takie jak routery, modemy i przełączniki, oraz oprogramowanie, na przykład systemy operacyjne. Wskazuje też, że produkty dla środowiska przemysłowego, takie jak systemy kontroli przemysłowej, są często użytkowane znacznie dłużej.

Okres krótszy niż pięć lat jest dopuszczalny tylko wtedy, gdy oczekuje się, że produkt będzie użytkowany krócej (art. 13 ust. 8). Motyw 60 dodaje, że powinien to uzasadniać charakter produktu, i podaje dwa przykłady: aplikację do ustalania kontaktów zakaźnych przeznaczoną na czas pandemii oraz aplikacje udostępniane wyłącznie w subskrypcji, które po jej wygaśnięciu stają się niedostępne dla użytkownika. W naszej ocenie sama chęć ograniczenia kosztów utrzymania nie jest takim uzasadnieniem.

Jak ustalić okres wsparcia dla swojego produktu?

Punktem wyjścia jest czas, w którym produkt ma być użytkowany. Art. 13 ust. 8 każe wziąć pod uwagę w szczególności uzasadnione oczekiwania użytkowników, charakter produktu, w tym jego przeznaczenie, oraz prawo Unii określające cykl życia produktów. Dodatkowo producent może uwzględnić cztery inne czynniki. Wszystkie rozpatruje się proporcjonalnie.

Uzasadnione oczekiwania użytkowników. Jak długo klient, który kupuje ten produkt, spodziewa się z niego korzystać.
Charakter produktu, w tym przeznaczenie. Inaczej wygląda to dla gadżetu konsumenckiego, a inaczej dla sterownika w instalacji przemysłowej.
Prawo Unii określające cykl życia produktów. Jeśli inne przepisy unijne wyznaczają dla Twojej kategorii czas dostępności aktualizacji lub części, trzeba je uwzględnić.
Okresy wsparcia podobnych produktów innych producentów (czynnik, który możesz uwzględnić).
Dostępność środowiska operacyjnego (czynnik, który możesz uwzględnić).
Okresy wsparcia zintegrowanych komponentów stron trzecich, które zapewniają podstawowe funkcje (czynnik, który możesz uwzględnić).
Wytyczne grupy ADCO i Komisji (czynnik, który możesz uwzględnić).

Grupa ADCO, czyli grupa współpracy organów nadzoru rynku, ma podawać do wiadomości publicznej statystyki dotyczące kategorii produktów, w tym średnich okresów wsparcia, oraz wytyczne z orientacyjnymi okresami wsparcia dla kategorii produktów (art. 52 ust. 16). Komisja może też w akcie delegowanym wyznaczyć minimalny okres wsparcia dla określonych kategorii, gdy dane z nadzoru rynku sugerują nieodpowiednie okresy (art. 13 ust. 8). Czy takie wytyczne lub akt istnieją już dla Twojej kategorii, trzeba sprawdzić w chwili podejmowania decyzji. Ten artykuł tego nie przesądza.

Informacje, które uwzględniłeś, zapisujesz w dokumentacji technicznej (art. 13 ust. 8, załącznik VII pkt 4). Organy nadzoru rynku monitorują stosowanie tych kryteriów, a na żądanie producent powinien przekazać im informacje, na których oparł decyzję (art. 52 ust. 16, motyw 59). Co jeszcze zawiera dokumentacja, opisuje artykuł Dokumentacja techniczna CRA: co musi przygotować producent?.

Przykład hipotetyczny

Producent sterownika ogrzewania montowanego na stałe w budynku rozważa pięcioletni okres wsparcia, bo tyle trwa wsparcie pakietu oprogramowania od dostawcy modułu radiowego. Z danych serwisowych wie jednak, że klienci używają takich sterowników znacznie dłużej niż pięć lat.

Okres wsparcia ma odzwierciedlać czas użytkowania, więc samo wsparcie komponentu nie wystarcza jako uzasadnienie. Producent wyznacza dłuższy okres, zapisuje w dokumentacji technicznej oczekiwania użytkowników, przeznaczenie produktu i okresy wsparcia podobnych sterowników, a z dostawcą modułu negocjuje dłuższe wsparcie albo planuje, jak sam utrzyma ten komponent.

Co producent musi robić w okresie wsparcia?

Przez cały okres wsparcia producent zapewnia skuteczną obsługę podatności produktu i jego komponentów zgodnie z załącznikiem I część II (art. 13 ust. 8). Obejmuje to między innymi bezzwłoczne usuwanie podatności, bezpłatne aktualizacje zabezpieczeń, regularne testy, politykę skoordynowanego ujawniania podatności i adres kontaktowy. Część obowiązków trwa dłużej niż sam okres wsparcia.

Kolumna „Jak długo” streszcza przepisy wskazane w kolumnie środkowej. Okresy 10-letnie liczy się od różnych zdarzeń: dla aktualizacji od jej wydania, dla dokumentów od wprowadzenia produktu do obrotu.
Obowiązek	Podstawa	Jak długo
Wyznaczenie okresu wsparcia o minimalnej długości	Art. 13 ust. 8	Co najmniej pięć lat. Krócej tylko wtedy, gdy oczekuje się, że produkt będzie użytkowany krócej niż pięć lat. Wtedy tyle, ile wynosi przewidywany czas użytkowania
Uwzględnienie czynników przy określaniu okresu i zapisanie ich w dokumentacji technicznej	Art. 13 ust. 8, zał. VII pkt 4	Przed wprowadzeniem produktu do obrotu, razem z dokumentacją techniczną
Obsługa podatności produktu i jego komponentów: identyfikacja, usuwanie, testy, informowanie, polityka CVD, adres kontaktowy, bezpieczna dystrybucja	Art. 13 ust. 8, zał. I cz. II pkt 1–7	Od wprowadzenia do obrotu przez cały okres wsparcia
Bezzwłoczne i bezpłatne aktualizacje zabezpieczeń z komunikatem dla użytkowników (wyjątek: inne uzgodnienie z użytkownikiem biznesowym dla produktu dostosowanego do indywidualnych potrzeb)	Zał. I cz. II pkt 8	Przez cały okres wsparcia
Dostępność każdej wydanej aktualizacji zabezpieczeń	Art. 13 ust. 9	Co najmniej 10 lat od wydania aktualizacji albo przez pozostałą część okresu wsparcia, zależnie od tego, który okres jest dłuższy
Podanie daty zakończenia okresu wsparcia, co najmniej miesiąc i rok	Art. 13 ust. 19, zał. II pkt 7	W momencie zakupu oraz w informacjach i instrukcjach dla użytkownika
Powiadomienie użytkowników, że okres wsparcia się zakończył, jeżeli jest to technicznie wykonalne ze względu na charakter produktu	Art. 13 ust. 19	Po zakończeniu okresu wsparcia
Udostępnianie informacji i instrukcji dla użytkownika	Art. 13 ust. 18	Co najmniej 10 lat od wprowadzenia produktu do obrotu albo przez okres wsparcia, zależnie od tego, który okres jest dłuższy
Przechowywanie dokumentacji technicznej i deklaracji zgodności UE do dyspozycji organów nadzoru rynku	Art. 13 ust. 13	Co najmniej 10 lat od wprowadzenia produktu do obrotu albo przez okres wsparcia, zależnie od tego, który okres jest dłuższy

W okresie wsparcia aktualizujesz także ocenę ryzyka (art. 13 ust. 3) i w razie potrzeby dokumentację techniczną (art. 31 ust. 2). Jeśli wiesz lub masz powody sądzić, że produkt albo Twoje procedury nie spełniają wymagań załącznika I, niezwłocznie wprowadzasz środki naprawcze (art. 13 ust. 21).

Jak ułożyć sam proces, opisuje artykuł Zarządzanie podatnościami w CRA: proces krok po kroku. Wymagania wobec mechanizmu i kanału aktualizacji znajdziesz w artykule Bezpieczne aktualizacje firmware i OTA zgodne z CRA.

Jak informować klientów o okresie wsparcia?

Klient ma poznać datę zakończenia okresu wsparcia w momencie zakupu. Data obejmuje co najmniej miesiąc i rok i musi być podana jasno, zrozumiale i w łatwo dostępny sposób, a w stosownych przypadkach na produkcie, na opakowaniu lub za pomocą środków cyfrowych (art. 13 ust. 19). Tę samą datę podajesz w informacjach dla użytkownika.

Załącznik II pkt 7 wymaga, żeby produktowi towarzyszyła informacja o rodzaju wsparcia technicznego w zakresie bezpieczeństwa oraz data zakończenia okresu wsparcia, przez który użytkownicy mogą spodziewać się usuwania podatności i aktualizacji zabezpieczeń. Przepis mówi o dacie zakończenia, a nie o liczbie lat. W naszej ocenie samo sformułowanie „5 lat wsparcia” bez daty nie spełnia więc tego wymogu.

Jeżeli jest to technicznie wykonalne ze względu na charakter produktu, wyświetlasz użytkownikom powiadomienie, że okres wsparcia się zakończył (art. 13 ust. 19). Motyw 56 dodaje, że gdy produkt ma interfejs użytkownika lub podobne środki bezpośredniej interakcji, producent powinien z nich skorzystać, a komunikaty powinny ograniczać się do tego, co konieczne, i nie wpływać negatywnie na użytkowanie produktu.

Uwaga na początek okresu. Rozporządzenie każe podać datę zakończenia okresu wsparcia, ale nie opisuje osobno, jak liczyć ten okres dla egzemplarzy tego samego modelu sprzedawanych przez kilka lat. Zanim wydrukujesz datę na opakowaniu, sprawdź aktualne wytyczne Komisji w tej sprawie.

Co z kolejnymi wersjami oprogramowania?

Jeżeli wprowadziłeś do obrotu kolejne, istotnie zmodyfikowane wersje oprogramowania, możesz usuwać podatności tylko w wersji wprowadzonej do obrotu jako ostatnia. Warunek: użytkownicy wcześniejszych wersji mają do niej bezpłatny dostęp i nie ponoszą dodatkowych kosztów dostosowania sprzętu i oprogramowania, z którymi korzystają z pierwotnej wersji produktu (art. 13 ust. 10).

Ułatwienie dotyczy wymagania z załącznika I część II pkt 2, czyli usuwania podatności i udostępniania aktualizacji zabezpieczeń. Motyw 40 zaznacza, że pozostałe wymagania obsługi podatności, takie jak polityka skoordynowanego ujawniania podatności i środki ułatwiające wymianę informacji o podatnościach, producent powinien w okresie wsparcia nadal spełniać dla wszystkich kolejnych istotnie zmodyfikowanych wersji.

Ten sam motyw opisuje sytuację częstą w sprzęcie: jeśli urządzenie, takie jak smartfon, nie jest kompatybilne z najnowszą wersją systemu operacyjnego, producent powinien w okresie wsparcia stale dostarczać aktualizacje zabezpieczeń co najmniej do najnowszej kompatybilnej wersji. Z motywu wynika więc, że starszego sprzętu nie należy pomijać tylko dlatego, że nie obsłuży nowej wersji.

Co się dzieje po zakończeniu okresu wsparcia?

Z definicji okresu wsparcia wynika, że kończy się obowiązek obsługi podatności i wydawania nowych aktualizacji zabezpieczeń. Nie kończą się obowiązki liczone w latach: wydane aktualizacje pozostają dostępne co najmniej 10 lat od wydania, a dokumentacja techniczna, deklaracja zgodności UE oraz informacje dla użytkownika co najmniej 10 lat od wprowadzenia produktu do obrotu (art. 13 ust. 9, 13 i 18).

W praktyce poprawka wydana w ostatnim roku pięcioletniego okresu wsparcia musi być dostępna jeszcze długo po jego zakończeniu, bo jej 10 lat liczy się od dnia wydania. Archiwum aktualizacji trzeba więc zaplanować na okres dłuższy niż samo wsparcie. Art. 14 nie uzależnia też obowiązków zgłaszania od okresu wsparcia.

Producent może prowadzić publiczne archiwum oprogramowania z wersjami historycznymi. Wtedy użytkownicy muszą być wyraźnie i w łatwo dostępny sposób informowani o ryzyku związanym ze stosowaniem niewspieranego oprogramowania (art. 13 ust. 11). Motyw 61 zachęca też, żeby producenci rozważyli udostępnienie kodu źródłowego po zakończeniu wsparcia: innym przedsiębiorstwom, które zobowiążą się dalej obsługiwać podatności, albo publicznie. To zachęta, a nie obowiązek.

Czy okres wsparcia dotyczy produktów sprzedawanych już dziś?

Obowiązki z art. 13, w tym okres wsparcia, stosuje się od 11 grudnia 2027 r. (art. 71). Produkty wprowadzone do obrotu przed tą datą podlegają wymaganiom CRA tylko wtedy, gdy po niej zostaną istotnie zmodyfikowane (art. 69 ust. 2). Wyjątkiem jest zgłaszanie z art. 14, które obejmuje także starsze produkty.

Każdy produkt, który wprowadzisz do obrotu od 11 grudnia 2027 r., musi mieć określony okres wsparcia, uzasadnienie w dokumentacji technicznej i datę zakończenia podaną klientowi. Naruszenie obowiązków z art. 13 i wymagań załącznika I jest zagrożone administracyjną karą pieniężną do 15 000 000 EUR albo, gdy za naruszenie odpowiada przedsiębiorstwo, do 2,5% jego łącznego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 64 ust. 2). Więcej w artykule Kary za brak zgodności z CRA: konsekwencje dla producentów.

Co powinien zrobić producent?

Producent powinien dla każdego produktu ustalić oczekiwany czas użytkowania, wyznaczyć okres wsparcia nie krótszy niż pięć lat, chyba że produkt będzie używany krócej, zapisać uzasadnienie w dokumentacji technicznej i podać klientom datę zakończenia. Potem musi zapewnić ludzi, narzędzia i budżet na obsługę podatności przez cały ten czas.

Ustal oczekiwany czas użytkowania każdego produktu na podstawie przeznaczenia, oczekiwań klientów i własnych danych serwisowych.
Sprawdź punkty odniesienia: prawo Unii dla Twojej kategorii, okresy wsparcia podobnych produktów oraz to, czy grupa ADCO lub Komisja opublikowały wytyczne albo minimalny okres dla tej kategorii.
Sprawdź wsparcie kluczowych komponentów stron trzecich i zaplanuj, co zrobisz, jeśli skończy się wcześniej niż Twoje.
Wyznacz okres wsparcia i datę jego zakończenia oraz zapisz uwzględnione informacje w dokumentacji technicznej.
Podaj datę zakończenia, co najmniej miesiąc i rok, w informacjach dla użytkownika i w miejscach, w których klient podejmuje decyzję o zakupie.
Zabezpiecz zasoby na cały okres: właściciela procesu obsługi podatności, środowisko budowania, klucze do podpisywania i kanał aktualizacji.
Zaplanuj archiwum: aktualizacje zabezpieczeń dostępne co najmniej 10 lat od wydania, dokumentacja i deklaracja zgodności UE co najmniej 10 lat od wprowadzenia produktu do obrotu.
Przygotuj zakończenie wsparcia: powiadomienie w produkcie, jeśli jest technicznie wykonalne, oraz informację o ryzyku, jeśli zostawiasz publiczne archiwum starszych wersji.

Okres wsparcia jest jednym z terminów, które warto mieć ustalone przed grudniem 2027 r. Pozostałe daty zbiera artykuł CRA 2026–2027: najważniejsze terminy i obowiązki producentów.

Najczęstsze pytania

Czy okres wsparcia w CRA zawsze wynosi pięć lat?

Nie. Pięć lat to minimum, a nie wartość domyślna. Okres wsparcia ma odzwierciedlać czas, w którym produkt ma być użytkowany, więc dla wielu produktów powinien być dłuższy. Krótszy niż pięć lat może być tylko wtedy, gdy oczekuje się, że produkt będzie użytkowany krócej. Wtedy okres wsparcia odpowiada przewidywanemu czasowi użytkowania (art. 13 ust. 8).

Od kiedy liczy się okres wsparcia?

Przepisy mówią o obowiązkach przy wprowadzaniu produktu do obrotu i przez okres wsparcia, a klientowi trzeba podać datę jego zakończenia. Rozporządzenie nie opisuje osobno, jak liczyć okres dla egzemplarzy tego samego modelu sprzedawanych przez kilka lat. Tę kwestię trzeba sprawdzić w aktualnych wytycznych Komisji, zanim ustalisz datę zakończenia wsparcia.

Czy po zakończeniu okresu wsparcia mogę usunąć aktualizacje z serwera?

Nie od razu. Każda aktualizacja zabezpieczeń udostępniona w okresie wsparcia ma pozostać dostępna co najmniej 10 lat od wydania albo do końca okresu wsparcia, zależnie od tego, który okres jest dłuższy (art. 13 ust. 9). Po zakończeniu wsparcia nie musisz wydawać nowych poprawek, ale już wydane muszą być nadal dostępne.

Czy za aktualizacje zabezpieczeń w okresie wsparcia można pobierać opłatę?

Nie. Aktualizacje zabezpieczeń rozpowszechnia się bezzwłocznie i bezpłatnie. Inaczej można się umówić tylko z użytkownikiem biznesowym i tylko dla produktu dostosowanego do indywidualnych potrzeb (załącznik I część II pkt 8).

Gdzie trzeba podać datę zakończenia okresu wsparcia?

W informacjach i instrukcjach dla użytkownika (załącznik II pkt 7) oraz w momencie zakupu, jasno, zrozumiale i w łatwo dostępny sposób, a w stosownych przypadkach na produkcie, na opakowaniu lub za pomocą środków cyfrowych. Data obejmuje co najmniej miesiąc i rok (art. 13 ust. 19).

Czy okres wsparcia trzeba uzasadnić?

Tak. Informacje, które uwzględniłeś przy określaniu okresu wsparcia, są częścią dokumentacji technicznej (art. 13 ust. 8, załącznik VII pkt 4). Organy nadzoru rynku monitorują, jak producenci stosują kryteria określania okresu wsparcia (art. 52 ust. 16).

Źródła

Zespół Bersec CRA

Zespół Bersec CRA przygotowuje producentów elektroniki, IoT i oprogramowania do wymagań Cyber Resilience Act: od diagnozy, przez dokumentację i procedury, po stałe wsparcie. Twierdzenia o przepisach sprawdzamy w urzędowym tekście rozporządzenia (UE) 2024/2847 i podajemy numer artykułu. Artykuł ma charakter informacyjny i nie jest poradą prawną. Opisuje stan prawny na dzień aktualizacji: 13 listopada 2026.

O nas i zasady redakcyjne · Słownik pojęć CRA

Okres wsparcia produktu w CRA: aktualizacje i obsługa podatności