5 metų palaikymas pagal CRA: ką tai reiškia jūsų verslo modeliui

Dauguma diskusijų apie CRA sukasi apie technines detales — SBOM, saugų projektavimą, atitikties vertinimą. Bet yra vienas reikalavimas, kuris tiesiogiai paliečia verslo modelį ir kainodarą, o ne tik inžinerijos komandą: produkto palaikymo laikotarpis.

Kas reikalaujama: gamintojas privalo nustatyti ir viešai paskelbti laikotarpį, per kurį teiks saugumo atnaujinimus produktui. Numatytasis minimumas — penkeri metai nuo produkto pateikimo rinkai, nebent produkto numatoma naudojimo trukmė yra trumpesnė — tokiu atveju palaikymo laikotarpis gali atitikti tą trumpesnę trukmę.

Kodėl tai nėra vien techninis klausimas: saugumo atnaujinimai per palaikymo laikotarpį dažniausiai turi būti teikiami nemokamai, nebent aiškiai sutarta kitaip. Tai reiškia, kad produkto kaina (arba atskira palaikymo ar prenumeratos kaina) turi atspindėti realius penkerių metų palaikymo kaštus, o ne tik kūrimo kaštus iki paleidimo į rinką.

Poveikis skirtingiems verslo modeliams skiriasi. Vienkartinio pirkimo aparatinei įrangai (pvz. IoT įrenginiui) palaikymo kaštai turi būti įskaičiuoti į pradinę kainą arba perkelti į atskirą prenumeratos modelį. Produktams su trumpu rinkos ciklu (pvz. metinis modelio atnaujinimas) reikia aiškiai komunikuoti, kada senesnio modelio palaikymas baigiasi, kad klientai galėtų planuoti. Programinės įrangos produktams su licencijavimu palaikymo laikotarpis turi būti suderintas su licencijavimo ar prenumeratos sąlygomis.

Kas atsitinka pasibaigus palaikymo laikotarpiui: gamintojas turi aiškiai ir iš anksto informuoti naudotojus, kad palaikymas baigiasi, ir, kiek įmanoma, pateikti rekomendacijas, pvz. perėjimą į naujesnį modelį.

Praktinis patarimas: apskaičiuokite realius penkerių metų palaikymo kaštus — saugumo stebėseną, atnaujinimų kūrimą ir platinimą, pažeidžiamumų valdymo komandos laiką — kaip atskirą eilutę produkto kainodaros modelyje, o ne kaip duotybę, kurią komanda kažkaip sutvarkys vėliau savo sąskaita.

Tai sritis, kurioje verta į pasiruošimo pokalbį įtraukti ne tik inžinerijos, bet ir finansų ar produkto komandą — sprendimas čia paveikia ne tik kodą, bet ir tai, kiek realiai kainuoja parduoti produktą ateinančius penkerius metus.