La période d'assistance, et ce qu'elle engage vraiment
Combien de temps maintenir un produit, combien de temps garder les mises à jour, et ce qu'il faut afficher au moment de l'achat.
Sur cette page
La période d'assistance est la durée pendant laquelle le fabricant doit traiter les vulnérabilités de son produit. Elle est d'au moins cinq ans, sauf lorsque le produit est censé pouvoir être utilisé moins longtemps, auquel cas elle correspond à la durée d'utilisation prévue (art. 13, paragraphe 8).
C'est l'obligation du règlement dont le coût se chiffre le plus facilement, et celle qu'on sous-estime le plus au moment de mettre un produit sur le marché.
L'article 3, point 20 la définit comme « la période au cours de laquelle un fabricant est tenu de garantir que les vulnérabilités d'un produit comportant des éléments numériques sont traitées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l'annexe I, partie II ». Ce n'est donc ni une garantie commerciale, ni un contrat de maintenance, ni un engagement de fonctionnalités.
Trois durées, à ne pas confondre
Cinq ans au minimum.
La période d'assistance est d'au moins cinq ans, et lorsque le produit est censé pouvoir être utilisé pendant moins de cinq ans, elle correspond à la durée d'utilisation prévue (art. 13, paragraphe 8, troisième alinéa). Le plancher n'est donc pas absolu, mais la durée plus courte se démontre.
Dix ans de disponibilité par mise à jour.
Chaque mise à jour de sécurité mise à disposition des utilisateurs au cours de la période d'assistance reste disponible, après son émission, pendant dix ans au minimum ou pendant le reste de la période d'assistance, la période la plus longue étant retenue (art. 13, paragraphe 9). Le décompte part de l'émission du correctif, pas de la mise sur le marché. Un correctif publié le dernier mois d'une période de cinq ans doit rester disponible dix ans encore. L'engagement réel dépasse donc la période d'assistance, et c'est là que se loge le coût que personne ne provisionne.
La date de fin, affichée au moment de l'achat.
Cette date, mois et année au minimum, est précisée au moment de l'achat, d'une manière claire, compréhensible et aisément accessible et, le cas échéant, sur le produit, son emballage ou par des moyens numériques (art. 13, paragraphe 19). Lorsque c'est techniquement possible, le fabricant prévoit en outre l'affichage d'une notification informant l'utilisateur que son produit a atteint cette fin. La date figure également dans les informations destinées à l'utilisateur, avec le type d'assistance technique de sécurité proposé (annexe II, point 7).
La durée ne se choisit pas, elle se justifie
Le fabricant fixe la période d'assistance de sorte qu'elle reflète la durée pendant laquelle le produit est censé pouvoir être utilisé (art. 13, paragraphe 8, deuxième alinéa). Trois éléments doivent être pris en compte, le texte disant « en tenant compte, en particulier » :
- les attentes raisonnables des utilisateurs ;
- la nature du produit, y compris son utilisation prévue ;
- le droit de l'Union applicable déterminant la durée de vie des produits comportant des éléments numériques.
Quatre autres peuvent l'être, le texte disant que les fabricants « peuvent également tenir compte » :
- des périodes d'assistance de produits offrant une fonctionnalité similaire mis sur le marché par d'autres fabricants ;
- de la disponibilité de l'environnement opérationnel ;
- des périodes d'assistance des composants intégrés qui assurent des fonctions essentielles et proviennent de tiers ;
- des orientations pertinentes du groupe de coopération administrative, l'ADCO, et de la Commission.
Ces éléments sont pris en compte de manière à garantir la proportionnalité.
La justification a un endroit désigné par le texte : les informations prises en compte pour déterminer la période figurent dans la documentation technique (art. 13, paragraphe 8, cinquième alinéa, et annexe VII, point 4). Une durée annoncée sans ces informations est une durée non justifiée.
Pour savoir en deux minutes si ces obligations vous visent et à quel titre, le diagnostic pose treize questions au maximum, sans création de compte : commencer le diagnostic.
Les catégories de produits
Le corps du règlement ne fixe pas de durée par famille de produits. La Commission peut adopter des actes délégués précisant la période minimale pour des catégories spécifiques, lorsque les données de surveillance du marché montrent que les périodes fixées sont insuffisantes (art. 13, paragraphe 8, quatrième alinéa). L'ADCO publie de son côté des statistiques par catégorie et des orientations comprenant des périodes d'assistance indicatives (art. 52, paragraphe 16).
[À VÉRIFIER : les considérants du règlement citent des catégories de produits pour lesquelles une période plus longue est attendue. La version consolidée consultée ne reprend pas le préambule, cette liste n'a donc pas pu être vérifiée sur une source primaire. Ne citer aucune catégorie avant de l'avoir relevée au considérant correspondant.]
[À VÉRIFIER : existence à ce jour d'un acte délégué pris au titre de l'article 13, paragraphe 8, quatrième alinéa, et d'orientations ADCO publiées au titre de l'article 52, paragraphe 16.]
Le coût des deux erreurs
Une période annoncée trop courte expose sur deux fronts : le plancher de cinq ans, si la durée d'utilisation prévue ne justifie pas d'aller en dessous, et le contrôle des critères par l'autorité de surveillance du marché.
Une période annoncée trop longue est un engagement de charge qui ne se rattrape pas. Pendant toute sa durée, l'évaluation des risques est mise à jour selon les besoins (art. 13, paragraphe 3) et les correctifs continuent de partir, chacun restant ensuite disponible dix ans après son émission.
Il n'y a pas de bonne réponse générale entre les deux. Il y a une durée qui se démontre. L'article 13 est applicable le 11 décembre 2027, mais une période de cinq ans décidée à cette date engage jusqu'en décembre 2032, et un correctif émis en 2032 jusqu'en 2042. C'est une décision de plan produit.
Questions fréquentes
Puis-je annoncer moins de cinq ans ?
Oui, si le produit est censé pouvoir être utilisé moins de cinq ans (art. 13, paragraphe 8, troisième alinéa). La durée retenue se justifie au regard des critères du deuxième alinéa, et les informations qui l'ont déterminée figurent dans la documentation technique.
Dois-je livrer des évolutions fonctionnelles pendant cette période ?
Non. L'obligation porte sur le traitement des vulnérabilités. L'annexe I, partie II, point 2 demande d'ailleurs, lorsque cela est techniquement possible, que les mises à jour de sécurité soient fournies séparément des mises à jour de fonctionnalité.
Comment cela fonctionne-t-il pour les versions successives d'un logiciel ?
Un fabricant qui met sur le marché des versions ultérieures substantiellement modifiées d'un logiciel peut assurer la conformité à l'annexe I, partie II, point 2 pour la seule dernière version. La condition est que les utilisateurs des versions précédentes aient accès gratuitement aux dernières versions, sans coût supplémentaire pour adapter leur environnement matériel et logiciel (art. 13, paragraphe 10).
Que se passe-t-il quand la période d'assistance s'achève ?
Le traitement des vulnérabilités cesse d'être dû pour ce produit. Deux obligations survivent : la disponibilité des mises à jour déjà émises, dix ans à compter de leur émission (art. 13, paragraphe 9), et la tenue à disposition de la documentation technique et de la déclaration UE de conformité (art. 13, paragraphe 13).
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.