CRA 第 13(19) 條有一句話，硬體業的人第一次讀到通常會愣一下：

支援期間的結束日期，至少要標到年與月，而且要在購買當下就以容易取得的方式清楚說明，必要時標在產品上、包裝上，或以數位方式呈現。技術上可行的話，產品還要在支援期滿時主動通知使用者。

第 13(8) 條接著給了下限：支援期間至少五年，除非產品預期使用時間本來就不到五年，那就照實際使用時間。

所以這是一個要印在盒子上的日期。一個原本躺在內部維護排程裡、隨時可以調整的數字，現在變成對外的承諾，而且它會跟著產品走完整個生命週期。

那麼問題來了：你產品裡那顆 SoC 的 BSP，晶片商支援到哪一年哪一月？

多數人答不出來。那份資料從來沒有以「日期」的形式存在過，通常只存在於某位業務的口頭說法裡。

法規自己承認了這件事很難

第 13(8) 條在講怎麼決定支援期間的時候，列了幾個可以納入考量的因素。其中一項是：第三方提供、負責核心功能的整合元件，它們的支援期間。

這一行值得停下來看兩秒。立法者知道你的產品是組裝出來的，也知道你的承諾長度受制於上游。

但它允許你「納入考量」，沒有允許你因此低於五年。下限就是下限。

所以當上游只給三年，你只有三條路：

**第一，自己接手。**上游停止支援之後，剩下的兩年由你自己 backport 安全修補。這條路要評估的是能力而非意願：那顆元件有沒有原始碼、你的人看不看得懂、修了之後誰驗證。

**第二，換料。**在設計階段就選支援期間夠長的元件，把「支援到哪一年」變成選型規格的一欄，跟功耗與價格並列。這條路最便宜，但只有在新案子上有效，既有產品線來不及。

**第三，縮短產品預期使用時間的宣告。**理論上存在，實務上多數硬體產品沒有這個空間。工業主板、控制器、電源模組賣出去就是十年起跳，你宣告五年，客戶的採購規範會先擋下來。

我的判斷是第二條路優先、第一條路做為既有產品線的補救，第三條路基本上不要碰。

建商對結構體的保固年限是一個數字，他採購的防水材料保固年限是另一個數字。兩者不一致的時候，買房子的人只會記得建商那個。

盡職調查是一條持續的義務

第 13(5) 條要求製造商在整合第三方元件時盡職調查，明文包含開源元件。很多人把它讀成採購時的一次性動作，但它跟 Annex I Part II 綁在一起之後，效果是持續的。

落地成四個問題就夠了，每個核心元件都問一次：

它現在有沒有已知弱點？公開資料庫查得到的那種。
它的維護狀態如何？最近一次安全修補是什麼時候。
它的支援期限到哪一年哪一月？
出事的時候誰修？有沒有一個會回信的窗口。

第四題最常被跳過，但它決定了你在第 14 條那個時鐘下面的求生能力。你手上有一條 CVE、七十二小時要交報告，這時候需要的不是採購合約，是一個會回信的人。

開源沒有對象可以問，但有一條你可能沒讀到的義務

第 13(6) 條是這樣寫的：發現整合元件有弱點時，製造商要把它通報給製造或維護該元件的個人或組織，並依 Annex I Part II 修補。如果你已經做出了修補，還要把相關的程式碼或文件交回給上游，適當時以機器可讀的格式提供。

這一條的方向是反過來的。前面二十四天講的全是外面的資訊怎麼進來，這一條講的是你的修補要出去。

對硬體廠來說，這件事的實際意義是：你在 BSP 上打的那些補丁，如果只留在自己的 git 裡，你每一次升級都要重打一遍，而且 CRA 現在還把它寫成了義務。往上游推，是唯一會隨時間變便宜的做法。

問不到的時候，要用最保守的假設

詢問信寄出去，不會每一封都有回音。晶片商的回覆速度跟你的採購量成正比，這是現實。

所以政策裡要先寫好「沒有回覆」的處理方式，不然這件事會永遠卡在等回信的狀態。我的建議是：沒有書面答覆的元件，一律以「已經沒有支援」列管，然後排進自行維護的清單裡。

這個假設會讓你的成本估算偏高，但偏高的成本估算只是難看，偏低的承諾是印在包裝上的。

交付物一：供應商詢問信

寄出去之前只要改三個地方：元件名稱、你的產品類別、回覆期限。

最後那段的用意是把你自己的處理原則先說清楚。實務上它也是整封信裡最容易換到回覆的一段。

交付物二：支援期間差距表

每一個核心元件填一列。差距欄就是你要自己吃下來的部分。

元件 上游支援到期（年／月） 你的承諾到期 差距 承接方式 負責人

填寫準則：

□ 「上游支援到期」欄沒有書面依據的，填「未知」，不要填推測值。未知一律等同已到期。
□ 承接方式只有三個選項：自行維護、設計替換、不承接。第三個要附上它為什麼不影響產品安全的理由。
□ 負責人填名字。這一欄空白的元件，五年後就是沒有人記得的元件。
□ 這張表要跟技術文件一起版本控管，因為查廠的時候它會被要求出示。

支援期間政策的骨架很短，三句話：

支援期間 = 五年與預期使用時間，取其長
起算點 = 最後一台該型號出貨的日期
結束日期 = 標到年月，隨產品、包裝或數位方式公開

第二行是最多人填錯的一行。用首次上市日起算，你會在產品還在出貨的時候就走到支援期末。

明天 Day 26：技術文件與符合性聲明，查廠時真正被翻的東西

幕四收尾。前面幾天的掃描結果、SBOM、差距表，怎麼變成一份拿得出來的技術文件。也講版本凍結：文件寫的是哪一版，出貨的又是哪一版。

順便問一句。你們產品裡最關鍵的那顆第三方元件：

它的安全支援到哪一年哪一月？

（a）有書面依據，查得到　（b）業務口頭說過，沒有白紙黑字　（c）問了還沒回　（d）還沒問過

留個字母就好。（b）跟（c）在稽核上的效力是一樣的，這件事我自己也是最近才想清楚。

這系列每天更新，覺得有用的話訂閱一下，我盡量不寫廢話。

參考：Regulation (EU) 2024/2847 第 13(5)(6)(8)(19) 條、Annex I Part II。支援期間至少五年、預期使用時間較短者從短，以及結束日期須於購買時清楚標示至年月，均為條文明文。三條承接路徑、詢問信寫法與差距表為個人整理，尚未經導入驗證。