Fournir des mises à jour de sécurité pendant toute la durée de support

Les failles de sécurité du produit doivent être corrigées pendant au moins cinq ans après sa commercialisation — et les clients doivent être informés à l'avance de la durée de ce support. Les correctifs de sécurité doivent être gratuits. Ils doivent être publiés séparément des nouvelles fonctionnalités afin que les clients puissent les appliquer rapidement sans craindre de régressions.

Texte juridique

L'article 13(8) du règlement (UE) 2024/2847 dispose que la durée de support des produits comportant des éléments numériques est d'au moins cinq ans à compter de la date de mise sur le marché, sauf si la durée d'utilisation prévue du produit est plus courte.

L'article 13(9) exige que, pendant la durée de support, les fabricants veillent à ce que les vulnérabilités soient traitées efficacement, notamment en fournissant des mises à jour de sécurité sans frais.

Exigences clés

Durée de support minimale de cinq ans (ou durée d'utilisation prévue si plus courte — voir la note)
Mises à jour de sécurité gratuites — aucun plan de mise à jour payant pour les correctifs de sécurité
Livraison rapide — mises à jour proportionnées à la gravité et au risque
Livraison séparée — les mises à jour de sécurité doivent être distinguables des mises à jour fonctionnelles
Divulgation de la durée de support — la date de fin doit figurer dans la documentation produit et au point de vente

Précision sur le seuil de cinq ans

Les orientations de la Commission (C(2026) 5252, § 5) précisent que cinq ans constitue un plancher, non une valeur par défaut. Pour les produits dont la durée d'utilisation prévue dépasse cinq ans (ex. systèmes de contrôle industriel, compteurs intelligents), la durée de support doit correspondre à cette durée d'utilisation plus longue.

Preuves éventuellement requises

Durée de support déclarée (dans la documentation produit et sur la page de vente)
Enregistrements de publication des mises à jour de sécurité avec horodatage
Documentation du processus de gestion des vulnérabilités
Preuve de l'absence de mises à jour de sécurité payantes