Cyber Resilience Act (rozporządzenie (UE) 2024/2847) zobowiązuje producentów do podania daty zakończenia okresu wsparcia w informacjach dołączonych do produktu przed zakupem. Jest to skierowany do użytkownika odpowiednik planowania wsparcia oraz obowiązku ujawnienia końca cyklu życia w punkcie sprzedaży. Mechanikę czasu trwania omawia CRA Podstawy okresu wsparcia; dostarczanie łatek opisuje CRA Aktualizacje bezpieczeństwa.
Podsumowanie
- Wymóg przed zakupem. Ujawnienie daty końcowej musi dotrzeć do użytkownika, zanim transakcja zostanie sfinalizowana, a nie po jej zakończeniu.
- Widoczna przed zakupem. Data zakończenia wsparcia musi być jasna i łatwo dostępna w chwili zakupu. Zależnie od kanału może pojawić się na produkcie, jego opakowaniu lub za pośrednictwem środków cyfrowych, takich jak strona produktu; powinna znaleźć się też w instrukcjach. Decydujące jest to, żeby nabywca zobaczył ją przed podjęciem zobowiązania, a nie dopiero po nim.
- Powiadomienie o zakończeniu wsparcia. Tam, gdzie jest to technicznie wykonalne, producent powinien wyświetlać użytkownikom powiadomienie, że produkt osiągnął koniec okresu wsparcia, a nie tylko ujawnić datę z wyprzedzeniem.
- Odzwierciedla rzeczywistą datę końcową. Jeżeli producent stosuje krótszy oczekiwany okres użytkowania, ujawnienie skierowane do użytkownika musi pokazywać rzeczywistą krótszą datę końcową, a nie zaokrągloną wartość pięcioletnią.
- Wiąże się z przechowywaniem dokumentacji technicznej. Dokumentacja techniczna, w tym zestaw informacji dla użytkownika, musi być przechowywana przez 10 lat od wprowadzenia do obrotu lub przez okres wsparcia, jeśli jest dłuższy.
- Ekspozycja na kary jest osobnym tematem. Brak ujawnienia może tworzyć ryzyko egzekwowania, ale progi kar należą do przewodnika po sankcjach i egzekwowaniu, nie do tej listy.
Cztery punkty ujawnienia końca wsparcia: moment, kanał, przechowywanie i model kar.
Co użytkownik musi zobaczyć przed zakupem
Wymagana informacja dla użytkownika ma dwie praktyczne części: rodzaj oferowanego technicznego wsparcia bezpieczeństwa oraz datę zakończenia okresu wsparcia. W przypadku daty końcowej strona produktu, opakowanie, arkusz danych, strona pobierania lub równoważny materiał przedzakupowy powinny jasno pokazywać cztery rzeczy:
- Data końcowa pojawia się w dokumentacji produktu dostarczonej w momencie sprzedaży lub pobrania, albo wcześniej.
- Trafia do użytkownika przed sfinalizowaniem zakupu, a nie w powitalnym e-mailu po sprzedaży ani w regulaminie.
- Jeżeli producent stosuje krótszy oczekiwany okres użytkowania, ujawnienie skierowane do użytkownika odzwierciedla rzeczywistą krótszą datę końcową, a nie zaokrągloną wartość pięcioletnią.
- Ta sama data końcowa jest rejestrowana w dokumentacji technicznej i przechowywana z zachowanymi dowodami zgodności.
Konsekwencja praktyczna: data zakończenia okresu wsparcia jest specyfikacją produktu, a nie zobowiązaniem marketingowym. Rejestruje się ją w dokumentacji technicznej, prezentuje użytkownikom przed zakupem i aktualizuje przy każdym odświeżeniu wersji produktu lub zmianie oceny oczekiwanego okresu użytkowania.
Gdzie musi pojawić się ujawnienie, według kanału
Obowiązek jest spełniony tylko wtedy, gdy data dotrze do użytkownika, zanim padnie płatność. Miejsce, w którym musi się pojawić, zależy od kanału; poniższa tabela mapuje każdy z nich na rozmieszczenie spełniające obowiązek oraz na rozmieszczenie niewystarczające.
| Kanał | Ujawnienie musi pojawić się | Niewystarczające |
|---|---|---|
| Sprzedaż detaliczna stacjonarna | Na opakowaniu lub w dokumentacji dostępnej przed otwarciem | Etykieta czytelna dopiero po rozpakowaniu |
| Handel elektroniczny | Strona szczegółów produktu, zakładka cyklu życia/specyfikacji albo wyraźnie oznaczony link przedzakupowy, zanim nabywca się zobowiąże | Potwierdzenie zamówienia, e-mail po sprzedaży albo ujawnienie tylko w kasie po zobowiązaniu |
| SDK / interfejs dla deweloperów | Publiczna dokumentacja API lub komponentu, dostępna przed integracją | README wewnątrz pobranego pakietu |
| Zamówienia B2B | Specyfikacja, arkusz danych lub odpowiedź na zapytanie ofertowe oceniana przed podpisaniem umowy | Dokument onboardingowy po zawarciu umowy |
| Oprogramowanie do pobrania | Strona pobierania lub podsumowanie instalatora przed instalacją | Ekran w aplikacji widoczny dopiero po pierwszym uruchomieniu |
Rozmieszczenie według kanału. Zasada jest spójna we wszystkich pięciu przypadkach: data końcowa jest częścią decyzji zakupowej i musi być dostępna w chwili, gdy nabywca tę decyzję podejmuje.
Przykład praktyczny: ujawnienie dla każdej wersji na osi czasu
Producent wprowadza produkt v1.0 na rynek UE w styczniu 2028 roku z pięcioletnim zobowiązaniem wsparcia, a następnie w lipcu 2028 roku wydaje v1.1 z własnym pięcioletnim zobowiązaniem. Ujawnienie wiąże się z wersją, a nie z datą zakupu przez nabywcę.
Związek z dokumentacją techniczną i deklaracją zgodności UE
Ujawnienie prawidłowe na stronie produktu, lecz nieobecne w dokumentacji technicznej, lub obecne w dokumentacji, lecz niewidoczne dla nabywcy, nie spełnia obowiązku. Trzy elementy muszą się zgadzać jednocześnie:
| Element | Co musi się zgadzać |
|---|---|
| Dokumentacja techniczna | Przechowywana dokumentacja techniczna powinna zawierać tę samą widoczną dla użytkownika datę końca wsparcia, która znajduje się na stronie produktu, opakowaniu, arkuszu danych lub stronie pobierania. Zobacz CRA Dokumentacja techniczna. |
| Deklaracja zgodności UE | Deklaracja zgodności UE potwierdza zgodność z wymaganiami producenta, ale nie zastępuje przedzakupowego ujawnienia daty końcowej. Zobacz CRA Deklaracja zgodności UE. |
| Aktualizacje bezpieczeństwa | Do ujawnionej daty końcowej producent nadal potrzebuje procesu obsługi podatności i dostarczania aktualizacji opisanego w CRA Aktualizacje bezpieczeństwa. Progi kar opisuje przewodnik po sankcjach i egzekwowaniu. |
Najczęściej zadawane pytania
Co musi pojawić się w informacjach skierowanych do użytkownika na temat okresu wsparcia?
Rodzaj oferowanego technicznego wsparcia bezpieczeństwa i data zakończenia okresu wsparcia, podane w informacjach przekazywanych użytkownikom w momencie sprzedaży lub przed nim. Data końcowa musi być konkretna (na przykład "Aktualizacje bezpieczeństwa dostarczane do 11 grudnia 2032") i musi odzwierciedlać rzeczywiste zobowiązanie, w tym ewentualny wyjątek dotyczący krótszego okresu użytkowania. E-maile wysyłane po sprzedaży ani fragmenty regulaminu nie spełniają tego wymogu. Jeżeli produkt zostaje zaktualizowany do nowej wersji, która resetuje zegar okresu wsparcia, ujawnienie skierowane do użytkownika musi zostać zaktualizowane, aby pokazać nową datę końcową.
Czy wystarczy "co najmniej pięć lat od zakupu", czy ujawnienie musi wskazywać konkretną datę?
Nie, wymagana jest konkretna data. Sformułowanie względne, takie jak "aktualizacje bezpieczeństwa przez co najmniej pięć lat od zakupu", nie jest datą końcową i nie spełnia obowiązku ujawnienia. Precyzja może być na poziomie miesiąca i roku ("grudzień 2032") zamiast pełnej daty kalendarzowej, jednak konieczne jest podanie stałej daty odniesienia, aby nabywca mógł obliczyć pozostały czas wsparcia przed dokonaniem płatności. Data końcowa jest również tym, co trafia do dokumentacji technicznej, więc sformułowanie względne nie ma gdzie funkcjonować w łańcuchu dokumentacji.
Gdzie na stronie produktu w sklepie e-commerce musi pojawić się data końcowa?
Na samej stronie szczegółów produktu lub pod jednym wyraźnie oznaczonym linkiem z niej (na przykład w zakładce "Specyfikacja", "Cykl życia" lub "Wsparcie"). Umieszczenie wyłącznie w regulaminie, wyłącznie w sekcji FAQ lub wyłącznie na stronie potwierdzenia po finalizacji zakupu nie spełnia wymogu przed zakupem. Zasada brzmi: rozsądny nabywca oceniający produkt przed kliknięciem przycisku "kup" musi mieć możliwość zobaczenia daty zakończenia okresu wsparcia bez uprzedniego zobowiązania się do zakupu.
Jeżeli po premierze przedłużę okres wsparcia, czy muszę zaktualizować ujawnienie?
Tak. Informacje dla użytkownika stanowią część dokumentacji technicznej i muszą odzwierciedlać rzeczywiste zobowiązanie. Jeżeli producent przedłuża okres wsparcia, zarówno ujawnienie skierowane do użytkownika (strona produktu, opakowanie, arkusz danych, podsumowanie instalatora), jak i przechowywana dokumentacja techniczna muszą zostać zaktualizowane, aby pokazać nową datę końcową. Pierwotna data końcowa pozostaje w przechowywanym pliku jako dowód ujawnienia obowiązującego dla wcześniejszych sprzedaży, dzięki czemu ślad audytowy pozostaje nienaruszony dla egzemplarzy już obecnych na rynku.