Den fem-årige tjenesteavtalen og den tjuefem-årige støtteforpliktelsen

Prosjektets kommersielle team har ferdigstilt den langsiktige tjenesteavtalen med turbin-produsenten. Fem år fra kommersiell driftsdato, fornybar deretter, med tilgjengelighets-garantier, responstider, reservedels-lager-forpliktelser, og en avtalt plan for rutine-vedlikehold. Kontrakten er femti sider lang. Begge parters juridiske team har gjennomgått den. Den er signert.

Anleggseiers sikkerhets-arkitekt leser kontrakten for et annet formål. Hun mapper den mot Cyber Resilience Act sitt krav om at produsenten offentlig må deklarere støtteperioden for produktet — vinduet hvor sikkerhets-oppdateringer skal leveres gratis, gjennom oppdaterings-kontrakten tidligere i serien. Hun finner den deklarerte støtteperioden oppgitt i produsentens produkt-dokumentasjon, separat fra tjenesteavtalen. Produktets støtteperiode er femten år fra første utgivelse.

Vindparken settes i drift i 2027. Turbinene som installeres i dag er basert på en produkt-linje som først ble utgitt i 2022. Den deklarerte støtteperioden slutter derfor i 2037 — ti år inn i en tjuefem-årig anleggslevetid. Den langsiktige tjenesteavtalen dekker år én til fem av denne levetiden, fornybar for ytterligere perioder. Långiverens term sheet krever at anlegget forblir støttebart for hele driftslevetiden.

Tre tidslinjer, ingen som er på linje, ingen som adresserer det samme spørsmålet. Tjenesteavtalen beskytter tilgjengelighet og løpende vedlikehold. Produktets støtteperiode beskytter sikkerhets-oppdatering. Anleggets driftslevetid er lengre enn begge. Arkitekturen for å lukke gapene er emnet for denne artikkelen, fordi ingen av tidslinjene lukker dem alene.

Prinsippet er distinksjonen mellom produsentens to forpliktelser. Tjenesteavtalen er et kommersielt arrangement — hva produsenten vil gjøre for anleggseier, på hvilke vilkår, til hvilken pris, over hvilken varighet. Produktets støtteperiode er en regulatorisk forpliktelse — hva produsenten må gjøre for produktet, uavhengig av en spesifikk kommersiell relasjon, under Cyber Resilience Act og de ekvivalente regimene som dukker opp i andre jurisdiksjoner. De to opererer på forskjellige tidsskalaer, styres av forskjellige rammeverk, og pålegger produsenten forskjellige forpliktelser. De er ikke substitutter, og å behandle den ene som om den dekket den andres omfang er en kategorifeil anleggseier ikke har råd til å gjøre.

De to forpliktelsene og hva hver av dem dekker

Den langsiktige tjenesteavtalen er det veletablerte kommersielle instrumentet. Fem år fra kommersiell driftsdato er den typiske innledende termen, forlengbar ved gjensidig avtale på tre- til fem-årige sykluser deretter. Avtalen dekker tilgjengelighets-garantier (typisk uttrykt som årlig kapasitets-faktor eller ekvivalent), gjennomsnittlig tid til gjenoppretting for ulike feil-kategorier, responstid-forpliktelser for teknisk engasjement, reservedels-lager- og påfyllings-forpliktelser, planlagt og uplanlagt vedlikehold, ytelses-garantier, og de kommersielle vilkårene — fast honorar, variabelt element, indeksering, betalingsplan — som matcher arbeidet med inntekt.

Avtalen er bilateral. Den kan reforhandles ved fornyelse, overføres under definerte betingelser, sies opp for årsak, eller noveres som del av selskaps-transaksjoner på begge sider. Prisingen reflekterer produsentens forventede kostnad ved å levere tjenesten over den avtalte termen, med margin. Begge parter har forhandlings-posisjoner; resultatet er en kontrakt.

Produktets støtteperiode er noe ganske annet. CRA Artikkel 13, lest sammen med de implementerende rettsakter etter hvert som de utstedes gjennom 2026 og 2027, krever at produsenten offentlig deklarerer støtteperioden for produktet — vinduet hvor sikkerhets-oppdateringer skal leveres. Den deklarerte perioden må reflektere produkt-klassens forventede levetid og bruk. For industrielt utstyr med designet driftslevetid målt i tiår, må støtteperioden reflektere den levetiden; å deklarere et fem-års støttevindu for en turbin-kontroller designet for å operere i tretti år er ikke en forsvarlig posisjon under regelverkets intensjon, selv om det er teknisk en deklarasjon.

Produktets støtteperiode er unilateral. Produsenten forplikter seg til perioden offentlig, på tidspunktet for å plassere produktet på EU-markedet. Forpliktelsen gjelder for alle kunder av produktet, ikke spesifikt for noen enkelt av dem. Den kan ikke reforhandles nedover på anleggseiers forespørsel; den krever ikke at en bestemt kommersiell relasjon fortsetter; og den pålegger forpliktelsen til å levere gratis sikkerhets-oppdateringer uavhengig av om anleggseier har en aktiv tjenesteavtale med produsenten.

De to forpliktelsene er uavhengige i utforming, relaterte i praksis, og ofte forvirrede i tidlige samtaler. CRA krever ikke at produsenten leverer felt-tjeneste gratis i tretti år — tjenesteavtalen er det riktige stedet å adressere felt-tjeneste. CRA krever at produsenten leverer sikkerhets-oppdateringer for den deklarerte støtteperioden, uavhengig av om en tjenesteavtale er på plass. De to fungerer sammen når begge er i drift; de divergerer når én ikke er det.

Hva CRAs deklarerte støtteperiode faktisk krever

Den deklarerte støtteperioden er produsentens offentlige forpliktelse, oppgitt på tidspunktet produktet plasseres på EU-markedet, vedrørende varigheten av gratis sikkerhets-oppdaterings-levering. Cyber Resilience Act spesifiserer ikke en minimums-periode i absolutte termer; den spesifiserer at perioden må være passende for produktets forventede bruk og levetid.

For forbruker-produkter med korte bruks-sykluser kan støtteperioder på noen få år være tilstrekkelig. For industrielt utstyr — reflektert i de implementerende rettsaktene og i veiledning fra ENISA — er Kommisjonens åpenbare forventning at støtteperioden er på linje med driftslevetiden for utstyret i sin tiltenkte deployerings-kontekst. En industriell kontroller designet for tjuefem-årig deployering vil forventes å deklarere en støtteperiode som svarer til den levetiden.

Forpliktelsene innenfor den deklarerte støtteperioden er spesifikke. Sikkerhets-oppdateringer må leveres gratis. De må gjøres tilgjengelige uten unødig forsinkelse etter produsentens kjennskap til en aktivt utnyttet sårbarhet — 24/72/14-timers kadensen fra CRA Artikkel 14 gjelder uavhengig av om en spesifikk kunde har en aktiv tjenesteavtale. Oppdateringene må leveres gjennom den strukturerte kontrakten beskrevet tidligere i serien — signerte artefakter, utgivelses-dokumentasjon, SBOM-diff, rollback-prosedyre — ikke som stille oppdateringer eller som kunde-spesifikke leveranser.

Hva støtteperioden ikke inkluderer er funksjons-oppdateringer, ytelses-forbedringer, eller ikke-sikkerhets-vedlikehold. Disse forblir kommersielle tilbud, typisk levert gjennom tjenesteavtalen. Linjen mellom sikkerhets- og ikke-sikkerhets-arbeid er noen ganger omstridt i praksis — en firmware-oppdatering kan inkludere begge — men prinsippet er at sikkerhets-komponenten er gratis innenfor støtteperioden, og funksjons-komponenten er hva det kommersielle arrangementet spesifiserer.

En spesiell operasjonell konsekvens verdt å nevne. CRAs støtteforpliktelse gjelder for den deployerte produkt-versjonen, ikke bare for den nåværende produkt-linjen. En turbin-kontroller utgitt i 2022 og deployert i 2027 er underlagt en femten-års støtteforpliktelse beregnet fra sin opprinnelige utgivelses-dato, uavhengig av om produsentens nåværende produkt-tilbud har gått videre til en nyere modell. Dette er viktig for industrielt utstyr fordi deployerings-syklusene er lange: en kontroller installert i dag kan være basert på en produkt-linje som er flere år gammel når den settes i drift.

Hva skjer når tjenesteavtalen ikke fornyes

Scenariene hvor de to tidslinjene divergerer er operasjonelt viktige.

Tjenesteavtalen når slutten av sin innledende term og fornyes ikke. Anleggseier kan ha forhandlet for fornyelse på uakseptable kommersielle vilkår; kan ha besluttet å engasjere en annen tjenesteleverandør av kostnads- eller kvalitets-årsaker; kan ha gått over til intern drift og vedlikehold for utstyret. Produktets støtteperiode fortsetter uansett. Oppdateringer kommer fortsatt gjennom oppdaterings-kontrakten, gratis, på produsentens utgivelses-kadens. Det som endres er deployerings-kapasiteten — anleggseiers eget team, den nye tjenesteleverandøren, eller en tredjeparts drift- og vedlikeholds-kontraktør utfører felt-arbeidet.

Tjenesteavtalen fornyes under en annen tjenesteleverandør. Uavhengige drift- og vedlikeholds-selskaper — Vestas Multibrand Services, GE Vernova Services, Siemens Gamesa Services, men også uavhengige leverandører som UpWind Solutions, Deutsche Windtechnik for kryss-OEM-arbeid i vind, og flere andre på tvers av sol og batteri — leverer i økende grad tjenester for flere produsenters utstyr under felles kontrakter. Den opprinnelige produsentens støtteforpliktelse for sikkerhets-oppdateringer fortsetter; den operasjonelle tjeneste-relasjonen overføres. Dette mønsteret blir mer vanlig etter hvert som fornybare energi-prosjekter modnes og anleggseiere optimaliserer drift- og vedlikeholds-økonomien sin på tvers av blandede flåter.

Produsenten kjøpes opp av et annet selskap. Den opprinnelige enhetens CRA-støtteforpliktelse overføres til den oppkjøpende enheten som et spørsmål om regelverk. I praksis kan integrasjonen av produkt-linjer, ingeniør-organisasjoner og oppdaterings-infrastruktur under den nye konsernstrukturen ta måneder eller år; anleggseiers kontraktuelle posisjon bør forvente dette, med forpliktelser som overlever selskaps-transaksjoner og rettsmidler som aktiveres hvis den oppkjøpende enheten ikke opprettholder støtteforpliktelsene.

Produsenten forlater markedet eller opphører drift. Dette er scenariet sikkerhets-nettet spesifikt adresserer. Produktets støtteforpliktelse fortsetter i prinsippet, men er ikke lenger praktisk leveringsbar av den opprinnelige forpliktede. Anleggseiers posisjon avhenger av hva som ble forutsett i den opprinnelige anskaffelsen — deponerings-arrangementene, overgangs-støtte-forpliktelsene, kilde-kode-tilgangen som neste seksjon beskriver.

Sikkerhets-nettet: deponering, overgangs-støtte, avvikling

Kilde-kode-deponering er det mest konsekvente elementet av sikkerhets-nettet for industrielt utstyr. For kritiske firmware-komponenter — PLC-kode, omformer-kontroll-programvare, sikkerhets-instrumentert system-kode, bootloaderen og den sikre oppstart-kjeden, protokoll-implementasjonene — deponeres kilde-koden hos en nøytral tredjeparts deponerings-agent under en deponerings-avtale. Vanlige deponerings-agenter for industriell programvare inkluderer NCC Groups Escode, Iron Mountains deponerings-tjenester, og Lloyd's Register for arrangementer med høyere sikringsgrad.

Avtalen spesifiserer utløsnings-betingelser. Betingelsene inkluderer vanligvis produsent-insolvens eller opphør av drift, produsentens manglende evne til å levere sikkerhets-oppdateringer innen avtalte tidsfrister, produsentens nektelse eller manglende evne til å rette en kritisk sårbarhet, og utløpet av den deklarerte støtteperioden uten en fornyelses-forpliktelse. Ved frigivelse blir kilde-koden tilgjengelig for anleggseier eller en utpekt etterfølgende tjenesteleverandør, med dokumenterte bygge-instruksjoner, avhengighets-lister, og de tekniske artefaktene som kreves for å gjøre koden vedlikeholdbar.

Deponering er mer enn kilde-koden selv. Den inkluderer typisk bygge-miljø-spesifikasjonene, test-pakken, dokumentasjonen av utviklings-praksisene som 62443-4-1-samsvar krever, de kryptografiske signerings-nøklene (eller deres reset-prosedyre), og leverandør-kontaktene for tredjeparts-komponenter inkorporert i firmware. Uten disse er ikke kilde-kode alene nok til å fortsette vedlikehold; med dem kan en kompetent ingeniør-organisasjon overta støtte-funksjonen.

Overgangs-støtte-forpliktelser er det andre elementet. Produsenten forplikter seg til en definert periode med overgangs-bistand hvis tjenesteavtalen ikke fornyes eller hvis produsenten forlater markedet — typisk tolv til tjuefire måneder, med dokumenterte leveranser: opplæring for den etterfølgende tjeneste-organisasjonen, dokumentasjons-pakker, overføring av reservedels-lager, og tilgang til ingeniør-støtte for spesifikke tekniske spørsmål i overgangs-vinduet. Overgangs-støtte-forpliktelsen er kontraktuell snarere enn regulatorisk; anleggseier forhandler den ved anskaffelse, og produsenten forplikter seg til den som en betingelse for prosjektet.

Sikker avvikling er det tredje elementet, som adresserer slutten av anleggets driftslevetid. Når utstyret tas ut av drift, må det kryptografiske materialet det holder — private nøkler for PKI-integrasjon, lagrede legitimasjoner, sertifikater — slettes sikkert før avhending. Anleggseiers PKI-tilbakekall-infrastruktur må registrere tilbakekall av enhetens sertifikater. Konfigurasjons-dataene må saneres. Fysisk avhending må følge gjeldende WEEE-regelverk for elektrisk og elektronisk avfall i vert-landet og eventuelle ekstraterritorielle forpliktelser.

Hver av disse — deponering, overgangs-støtte, avvikling — er en leveranse anleggseier forutser ved anskaffelse og utøver på spesifikke livssyklus-punkter. Ingen av dem kommer gratis; hver er en kostnad produsentens tilbud må inkludere. Kostnaden er beskjeden i absolutte termer, men uforholdsmessig viktig hvis de usannsynlige scenariene materialiserer seg.

På tilbuds-stadiet

Et tilbud fra en produsent som adresserer livssyklus-spørsmålet eksplisitt — som oppgir den deklarerte støtteperioden og viser den justert med anleggets driftslevetid, som inkluderer kilde-kode-deponerings-arrangementer med dokumenterte utløsnings-betingelser, som forplikter seg til overgangs-støtte med spesifikke leveranser og tidsfrister, og som adresserer sikker avvikling — er et tilbud som har forutsett samtalen. Långiverens etterlevelses-team gjennomgår livssyklus-pakken sammen med de andre innleveringene; samtalen som følger handler om spesifikke vilkår snarere enn om hvorvidt produsenten har tenkt gjennom den lange horisonten.

Et tilbud som forveksler tjenesteavtalens term med den regulatoriske støtteforpliktelsen, eller som foreslår kun LTSA uten å adressere hva som skjer i år seks og videre, signaliserer en mangel. Mangelen er ikke uoverkommelig. En deklarert støtteperiode kan oppgis separat. En deponerings-avtale kan forhandles med en av de etablerte agentene på tre til fire uker. Overgangs-støtte-forpliktelser er standard kontraktuelt språk. Arbeidet er anskaffelig fra etablerte leverandører; produsentens oppgave er å innse at arbeidet er nødvendig.

Den dypere observasjonen er at produsentens produkt-strategi og anleggseiers prosjekt-strategi opererer på forskjellige tidsskalaer. Produsentens produkt-roadmap kan inkludere slutt-av-livssyklus for en produkt-linje innen ti år; anleggets driftslevetid er to til tre ganger så lang. CRAs deklarerte støtteperiode formaliserer denne spenningen og tvinger produsenten til å tenke på livssyklus-forpliktelser annerledes enn historisk praksis har krevd. Produsenter som internaliserer dette — deklarere meningsfulle støtteperioder, bygge deponering inn i sitt standard-tilbud, behandle overgangs-støtte som en tjeneste snarere enn en engangs-leveranse — er posisjonert for et marked hvor livssyklus-forpliktelser er et anskaffelses-kriterium snarere enn en kontraktuell fotnote.

Den neste artikkelen tar opp menneskene og prosedyrene som spenner over alle disse livssyklus-spørsmålene: personell-sertifiseringene, bakgrunns-sjekkene, opplærings-disiplinen, og forsikrings-arrangementene som produsentens tjeneste-organisasjon må opprettholde gjennom hele støtteperioden, uavhengig av hvilket kommersielt instrument som er på plass til enhver tid.

Denne artikkelen reflekterer det regulatoriske og kommersielle landskapet på publiseringstidspunktet. Cyber Resilience Acts implementerende rettsakter fortsetter å utstedes gjennom 2026 og 2027 og kan klargjøre eller endre spesifikke støtteperiode-forpliktelser. Henvisninger til deponerings-agenter og drift- og vedlikeholds-leverandører er illustrerende snarere enn anbefalinger; spesifikke arrangementer bør gjennomgås av kvalifisert juridisk rådgivning. Hvis en kildereferanse er foreldet eller en klausul har flyttet seg, er LinkedIn måten å flagge det på.