Periodi di supporto di sicurezza: per quanto tempo un dispositivo riceve aggiornamenti e dove leggerlo

Un dispositivo connesso riceve aggiornamenti di sicurezza finché il produttore lo promette, e quella promessa oggi va messa per iscritto in sempre più luoghi. Nel Regno Unito il produttore deve pubblicare un periodo di supporto definito per i prodotti connettibili destinati ai consumatori. Nell’UE telefoni, tablet e TV hanno già obblighi sugli aggiornamenti, e da dicembre 2027 quasi ogni prodotto connesso dovrà indicare al momento dell’acquisto la data di fine del suo periodo di supporto. Negli Stati Uniti il Cyber Trust Mark, volontario, mette la data in un registro online.

Questa guida spiega cosa chiede ogni regola, dove compare l’informazione e come leggere una dichiarazione di supporto. La più ampia guida alla normativa sulla sicurezza IoT tratta il resto di ciascun regime.

Che cos’è esattamente un periodo di supporto?

Un periodo di supporto di sicurezza è il tempo minimo durante il quale il produttore si impegna a correggere le vulnerabilità e a distribuire aggiornamenti di sicurezza. Non è una garanzia, e non è la promessa di tenere in funzione un servizio cloud o un’app.

I dettagli cambiano da un regime all’altro, e le differenze contano quando confronti i prodotti:

Cosa si promette. Solo correzioni di sicurezza, oppure anche correzioni di bug e nuove funzioni.
Come è espresso. Una data di fine (“fino a marzo 2031”) o una durata (“cinque anni”).
Da quando parte il conteggio. Dal giorno dell’acquisto, dal lancio del modello o dal giorno in cui è stata venduta l’ultima unità del modello.

Cosa richiede il regime PSTI britannico?

I regolamenti sulla sicurezza dei prodotti del regime PSTI, in vigore dal 29 aprile 2024, definiscono il “periodo di supporto definito” come il tempo minimo, espresso come periodo con una data di fine, durante il quale saranno forniti aggiornamenti di sicurezza. L’allegato 1, paragrafo 3 impone ai produttori di pubblicarlo: in modo chiaro, in inglese, gratuitamente, senza che il lettore debba chiederlo o fornire dati personali, e in termini comprensibili a chi non ha competenze tecniche. Sulle pagine di vendita del produttore deve stare accanto alle informazioni principali sul prodotto, o avere la stessa evidenza.

Il produttore può estendere il periodo e deve pubblicare quello nuovo appena possibile, ma il requisito non è rispettato se il periodo viene ridotto dopo la pubblicazione. Il periodo compare anche nella dichiarazione di conformità che deve accompagnare il prodotto.

Cosa richiede il Cyber Resilience Act europeo?

Il Cyber Resilience Act, regolamento (UE) 2024/2847, copre quasi ogni prodotto con elementi digitali e si applica integralmente dall’11 dicembre 2027. Le sue regole sul periodo di supporto sono nell’articolo 13 e nell’allegato II:

Durata (articolo 13, paragrafo 8). Il produttore fissa il periodo in modo che rifletta il tempo per cui si prevede che il prodotto resti in uso, tenendo conto delle ragionevoli aspettative degli utenti. Deve essere di almeno cinque anni, salvo che il prodotto sia destinato a restare in uso per meno tempo, nel qual caso coincide con quel tempo. La Commissione può fissare minimi più lunghi per specifiche categorie di prodotti.
Indicazione (articolo 13, paragrafo 19). La data di fine, con almeno mese e anno, deve essere indicata chiaramente al momento dell’acquisto, in modo facilmente accessibile e, se del caso, sul prodotto, sull’imballaggio o con mezzi digitali.
Notifica. Se tecnicamente possibile, il produttore deve mostrare una notifica che avvisa gli utenti che il prodotto ha raggiunto la fine del periodo di supporto.
Informazioni per l’utente (allegato II, punto 7). Le istruzioni devono indicare il tipo di supporto tecnico di sicurezza offerto e la data di fine del periodo di supporto.
Disponibilità (articolo 13, paragrafo 9). Ogni aggiornamento di sicurezza rilasciato durante il periodo deve restare disponibile per almeno dieci anni, o per il resto del periodo di supporto se più lungo.
Prezzo (allegato I, parte II). Gli aggiornamenti di sicurezza sono gratuiti, salvo diverso accordo per prodotti su misura destinati a utenti commerciali.

Cosa aggiungono le regole UE per telefoni, tablet e TV?

Alcuni gruppi di prodotti hanno già regole sugli aggiornamenti nella normativa UE sulla progettazione ecocompatibile e sull’etichettatura energetica.

Smartphone e tablet. Il regolamento (UE) 2023/1670, applicabile dal 20 giugno 2025, stabilisce che se un produttore fornisce aggiornamenti di sicurezza, correttivi o funzionali al sistema operativo, deve renderli disponibili gratuitamente per tutte le unità del modello almeno fino a cinque anni dopo l’immissione sul mercato dell’ultima unità di quel modello. Gli aggiornamenti di sicurezza e correttivi devono arrivare agli utenti entro quattro mesi dalla pubblicazione del codice sorgente dell’aggiornamento del sistema operativo sottostante oppure, se il codice non è pubblico, dal rilascio dell’aggiornamento da parte del fornitore del sistema operativo. Il conteggio parte quando il modello esce di vendita, quindi chi compra presto può avere ben più di cinque anni.

L’etichetta energetica. L’etichetta di telefoni e tablet, regolamento delegato (UE) 2023/1669, aggiunge un campo alla scheda informativa del prodotto nella banca dati europea EPREL: la disponibilità minima garantita degli aggiornamenti del sistema operativo, in anni. Il punteggio di riparabilità dell’etichetta assegna punti per cinque, sei e sette o più anni.

TV e monitor. Le regole di progettazione ecocompatibile per i display elettronici, regolamento (UE) 2019/2021, impongono che l’ultima versione del firmware e l’ultimo aggiornamento di sicurezza restino disponibili per almeno otto anni dopo l’immissione sul mercato dell’ultima unità di un modello, e che la disponibilità minima garantita degli aggiornamenti compaia nella scheda informativa del prodotto. Attenzione alla formulazione: l’ultimo aggiornamento deve restare scaricabile, che non equivale a un impegno a continuare a scrivere nuove patch.

Cosa mostra il Cyber Trust Mark statunitense?

Gli Stati Uniti non hanno una legge generale sui periodi di supporto. Il Cyber Trust Mark, volontario, adottato dalla FCC con il Report and Order FCC 24-26, abbina un logo a un codice QR che porta a una voce di registro. Tra i campi obbligatori del registro c’è la data fino alla quale il produttore si impegna a individuare le vulnerabilità critiche e a rilasciare aggiornamenti, descritta come periodo minimo di supporto, oppure una dichiarazione che il dispositivo non è supportato. Il registro indica anche se gli aggiornamenti sono automatici.

La FCC ha scelto di non stampare una data di scadenza sull’etichetta, citando ricerche in cui i consumatori interpretavano quelle date come il giorno in cui il dispositivo avrebbe smesso di funzionare. I produttori possono estendere il periodo nel registro.

Come si confrontano le regole?

Regola	Prodotti	Cosa va indicato	Dove
PSTI (Regno Unito)	Prodotti connettibili per consumatori	Periodo di supporto con data di fine	Sito del produttore e dichiarazione di conformità
CRA (UE, da dic. 2027)	Prodotti con elementi digitali	Data di fine, almeno mese e anno	Punto vendita, prodotto o imballaggio, istruzioni
UE 2023/1670 e 2023/1669	Telefoni e tablet	Anni di aggiornamenti del sistema operativo	Scheda informativa EPREL
UE 2019/2021	TV e monitor	Anni di disponibilità di firmware e aggiornamenti di sicurezza	Scheda informativa del prodotto
Cyber Trust Mark (USA)	Prodotti di consumo con il marchio	Data di fine supporto o “non supportato”	Registro online tramite QR

Come si legge una dichiarazione di supporto?

Cinque verifiche intercettano la maggior parte dei problemi:

C’è una data di fine? “Cinque anni” da un inizio non precisato è difficile da far valere. Un mese e un anno no.
Cosa copre? Correzioni di sicurezza, correzioni di bug, nuove funzioni e servizi cloud sono promesse distinte.
Da quando parte il conteggio? Per i telefoni decorre dalla fine delle vendite del modello; per molti altri prodotti, da un riferimento scelto dal produttore. Comprare un modello a fine carriera riduce la tua parte.
Chi lo dichiara? Uno studio sui negozi online europei ha rilevato che rivenditori, produttori e banca dati UE indicano spesso periodi diversi per lo stesso modello, con i rivenditori che di solito dichiarano meno. La dichiarazione del produttore è quella che CRA e PSTI rendono vincolante per il produttore.
Conserva una copia. Salva la pagina o uno screenshot con la data. Con il PSTI il periodo può essere esteso ma non ridotto, e una prova rende più semplice ogni contestazione successiva.

In casa, confronta le date di fine come confronti i prezzi e pianifica di sostituire o isolare un dispositivo quando arriva la sua data. In un edificio o in un’azienda, registra la data di fine per ogni modello accanto alla versione del firmware, come parte della gestione del ciclo di vita del dispositivo.

Per continuare

Cosa succede quando un dispositivo smart non riceve più aggiornamenti? racconta chiusure documentate e cosa può fare chi possiede i dispositivi.
La normativa sulla sicurezza IoT spiega CRA, PSTI e Cyber Trust Mark oltre i periodi di supporto.
I negozi online europei dicono di rado per quanti anni un dispositivo IoT riceverà aggiornamenti riporta quanto spesso l’informazione arriva agli acquirenti.
Gestione dei dispositivi e aggiornamenti over the air mostra cosa serve, in termini di ingegneria, per mantenere quella promessa.

Argomenti: periodo di supporto, aggiornamenti di sicurezza, PSTI, Cyber Resilience Act, Cyber Trust Mark, progettazione ecocompatibile, domande di tutti i giorni