El período de soporte es la respuesta del CRA a la pregunta que todo comprador de software hace y pocos vendedores responden por escrito: ¿durante cuánto tiempo lo van a arreglar? El Reglamento de Ciberresiliencia, Reglamento (UE) 2024/2847, hace que el fabricante determine ese período, publique su fecha de fin en el punto de venta y cumpla los requisitos de gestión de vulnerabilidades del anexo I, parte II durante toda su duración. Otros tres relojes de conservación dependen de él.

El mínimo: artículo 13, apartado 8

El artículo 13, apartado 8, exige a los fabricantes determinar el período de soporte de modo que «refleje el tiempo durante el cual se espera que el producto esté en uso», teniendo en cuenta las expectativas razonables de los usuarios, la naturaleza del producto y su finalidad prevista, y el Derecho de la Unión aplicable a la vida útil de los productos. También pueden tener en cuenta los períodos de soporte de productos similares de otros fabricantes, la disponibilidad del entorno operativo, los períodos de soporte de componentes integrados de terceros que prestan funciones esenciales, y las orientaciones del grupo de cooperación administrativa del CRA y de la Comisión.

Y el suelo: «el período de soporte será de al menos cinco años. Cuando se espere que el producto con elementos digitales esté en uso durante menos de cinco años, el período de soporte corresponderá al tiempo de uso esperado».

Así que cinco años es el mínimo por defecto, y menos solo es posible cuando realmente se espera que el producto se use menos tiempo, lo que es una afirmación que tiene que poder defender. La Comisión puede, mediante acto delegado, fijar períodos mínimos de soporte para categorías de productos concretas cuando los datos de vigilancia del mercado muestren períodos inadecuados.

La información tenida en cuenta para determinar el período va en la documentación técnica (anexo VII, punto 4). Una cifra sin el razonamiento que hay detrás es lo primero que pregunta una autoridad de vigilancia del mercado.

La fecha de fin, mostrada en la compra: artículo 13, apartado 19, y anexo II

Artículo 13, apartado 19: la fecha de fin del período de soporte, «incluidos al menos el mes y el año», debe «especificarse de forma clara y comprensible en el momento de la compra, de manera fácilmente accesible» y, cuando proceda, en el producto, su embalaje o por medios digitales. Cuando sea técnicamente viable, el producto debe notificar a los usuarios que ha llegado al final de su período de soporte.

El anexo II, punto 7, sitúa el mismo hecho en la información al usuario que acompaña al producto: el tipo de soporte técnico de seguridad ofrecido y la fecha de fin del período de soporte durante el cual los usuarios pueden esperar que se gestionen las vulnerabilidades y recibir actualizaciones de seguridad.

Para el software vendido en línea, «en el momento de la compra» significa en la página donde se toma la decisión de compra, no en un PDF tras el pago.

Actualizaciones que sobreviven al período: artículo 13, apartado 9

Artículo 13, apartado 9: cada actualización de seguridad puesta a disposición durante el período de soporte debe seguir disponible tras su publicación «durante un mínimo de 10 años o durante el resto del período de soporte, lo que sea más largo».

Es una obligación distinta del propio período de soporte. Un producto con soporte durante cinco años, con una actualización de seguridad publicada en el cuarto año, debe mantener esa actualización disponible hasta el decimocuarto. Servidores de actualización, páginas de descarga y repositorios de paquetes son un compromiso de diez años desde la última actualización, lo que conviene saber antes de elegir una infraestructura.

El artículo 13, apartado 10, ofrece un alivio para el software con versiones sucesivas sustancialmente modificadas: el fabricante puede cumplir el requisito de corrección solo para la última versión introducida en el mercado, siempre que los usuarios de versiones anteriores puedan pasar a ella gratuitamente y sin costes adicionales de adaptación de su entorno.

Todo lo demás conservado el mismo tiempo

Otras tres reglas de conservación usan la misma fórmula, «10 años después de la introducción del producto en el mercado o durante el período de soporte, lo que sea más largo»:

  • La documentación técnica y la declaración UE de conformidad, a disposición de las autoridades nacionales (anexo VIII).
  • La información e instrucciones al usuario del anexo II, a disposición de los usuarios y las autoridades y, cuando se facilitan en línea, mantenidas accesibles en línea (artículo 13, apartado 18).
  • El período de soporte es también la duración durante la cual corre la gestión de vulnerabilidades del artículo 13, apartado 8, y la obligación de notificación del artículo 14 corre mientras el producto esté en el mercado y con soporte.

Qué escribir

Un párrafo por producto, en la documentación técnica y en la página del producto: el período de soporte y su fecha de fin (mes y año), el razonamiento de la duración, el tipo de soporte técnico ofrecido y dónde seguirán disponibles las actualizaciones diez años después de cada una. Si el período es inferior a cinco años, el razonamiento es todo el documento.

Después, el proceso de publicación que lo hace realidad: un canal de actualización que no desaparezca cuando desaparezca una línea de producto, una notificación al final del soporte donde el producto pueda mostrarla, y un expediente que registre la fecha en que cada actualización estuvo disponible, porque esa fecha es también el anclaje del informe final del artículo 14.

Fuentes

  • Reglamento (UE) 2024/2847, artículo 13, apartado 8 (citado), 13, apartado 9, 13, apartado 10, 13, apartado 18, 13, apartado 19; anexo II, punto 7; anexo VII, punto 4; anexo VIII parte I punto 4.2 y parte II punto 10; artículo 71, apartado 2, para las fechas. Leído en el texto del Diario Oficial en EUR-Lex el 11 de septiembre de 2026.

Esto no es asesoramiento jurídico. El artículo 13, apartados 8 y 9, son dos párrafos; léalos antes de imprimir una fecha de fin en una página de producto.