联网设备能收到多长时间的安全更新？
英国 PSTI、欧盟《网络弹性法案》、欧盟生态设计规则和美国网络信任标志如何要求厂商写明支持期，以及怎样读懂这类声明。
图片： Mary Borozdina / Unsplash
读完本文，你将能够：
- 在法律规定必须标示的地方，找到一台设备的安全支持期
- 比较英国、欧盟和美国的规则如何定义和计算支持期
- 带着批判眼光阅读支持期声明：结束日期、覆盖范围、起算点和相互矛盾之处
借助 AI 根据一手资料起草 · 由另一个独立的 AI 智能体核查 · 编辑部抽查 · 我们如何核查（英文）
本页内容
联网设备能收到多久的安全更新，取决于厂商的承诺，而这个承诺如今必须在越来越多的地方白纸黑字写出来。在英国，消费类可联网产品的厂商必须公布明确的支持期。在欧盟，手机、平板和电视已经承担更新义务；从2027年12月起，几乎所有联网产品都必须在购买时写明支持期的结束日期。在美国，自愿参与的网络信任标志（U.S. Cyber Trust Mark）把这个日期放进一个在线登记库。
本指南说明每项规则要求什么、这些信息出现在哪里，以及怎样读懂一份支持期声明。各项法规的其他内容，见更全面的物联网安全法规指南。
支持期到底是什么？
安全支持期是厂商承诺修复漏洞、推送安全更新的最短期限。它不是保修，也不是承诺云服务或 App 会一直运行下去。
不同制度的细节各不相同，比较产品时，这些差别很重要：
- 承诺了什么。 只修安全问题，还是也修普通缺陷、增加新功能。
- 怎么表述。 写一个结束日期（“至2031年3月”），还是写一段时长（“五年”）。
- 从哪天开始算。 从你购买那天、该型号上市那天，还是该型号最后一台售出那天开始算。
英国 PSTI 制度有什么要求？
英国《产品安全和电信基础设施法案》（PSTI）框架下的产品安全条例自2024年4月29日起生效。条例把“明确支持期”（defined support period）定义为提供安全更新的最短期限，以一个带结束日期的期间来表示。附表 1 第 3 段要求厂商公布这一期限：表述清楚，使用英文，免费提供，读者无需索取、也无需提交个人信息就能看到，而且不懂技术的读者也能看懂。在厂商自己的网店页面上，支持期必须与主要产品信息放在一起，或者与之同样醒目。
厂商可以延长支持期，并须尽快公布新的期限；但如果公布之后又缩短，就不算满足要求。支持期还要写进随产品附带的合规声明。
欧盟《网络弹性法案》有什么要求？
欧盟《网络弹性法案》（CRA），即法规 (EU) 2024/2847，几乎涵盖所有带数字元素的产品，自2027年12月11日起全面适用。有关支持期的规定在第 13 条和附件二：
- 期限（第 13 条第 8 款）。 厂商确定支持期时，应反映产品预计的使用时长，并考虑用户的合理预期。支持期至少五年；如果产品预计的使用时间不到五年，则与该时间一致。欧盟委员会可以为特定产品类别规定更长的最低期限。
- 披露（第 13 条第 19 款）。 结束日期至少要写到月份和年份，必须在购买时以便于获取的方式清楚标明，并视情况标在产品或包装上，或以数字方式提供。
- 通知。 在技术上可行时，厂商必须向用户显示通知，告知产品的支持期已经结束。
- 用户信息（附件二第 7 点）。 使用说明必须写明所提供的技术安全支持类型，以及支持期的结束日期。
- 可获取性（第 13 条第 9 款）。 支持期内发布的每一项安全更新，都必须至少保留十年可供获取；如果支持期的剩余时间更长，则保留到支持期结束。
- 价格（附件一第二部分）。 安全更新免费提供，但为企业定制、且双方另有约定的产品除外。
欧盟针对手机、平板和电视的规则还增加了什么？
根据欧盟的生态设计和能效标签法规，部分产品类别已经有了关于更新的规定。
智能手机和平板。 法规 (EU) 2023/1670 自2025年6月20日起适用。它规定，如果厂商为操作系统提供安全更新、纠错更新或功能更新，就必须对该型号的所有设备免费提供，期限至少到该型号最后一台投放市场后五年。安全更新和纠错更新必须在底层操作系统更新的源代码公布后四个月内送达用户；如果源代码不公布，则不晚于操作系统提供方发布该更新后四个月。由于计时从该型号停售时才开始，早买的用户得到的更新期可能远超五年。
能效标签。 手机和平板的能效标签依据授权法规 (EU) 2023/1669，在欧盟 EPREL 数据库的产品信息表中增加了一个字段：操作系统更新的最低保证提供期限，以年为单位。标签上的可维修性评分会为五年、六年以及七年或以上的更新期给分。
电视和显示器。 电子显示器的生态设计规则，即法规 (EU) 2019/2021，要求最新固件和最新安全更新在该型号最后一台投放市场后至少八年内保持可获取，并要求在产品信息表中注明更新的最低保证提供期限。注意措辞：规定的是最新更新必须一直可以下载，这和承诺持续开发新补丁不是一回事。
美国网络信任标志显示什么？
美国没有关于支持期的一般性法律。自愿参与的网络信任标志由美国联邦通信委员会（FCC）通过《报告和命令》FCC 24-26 确立，它把一个标识和一个二维码配在一起，扫码可以进入登记库中的对应条目。登记库的必填字段之一，是厂商承诺识别严重漏洞并发布更新的截止日期，也就是所谓的最短支持期；如果设备不受支持，则须写明这一点。登记库还会说明更新是否自动进行。
FCC 决定不在标签本身印上到期日期，理由是有研究发现，消费者会把这类日期误解为设备停止工作的日子。厂商可以在登记库中延长支持期。
这些规则有什么不同？
| 规则 | 产品 | 必须说明什么 | 在哪里 |
|---|---|---|---|
| 英国 PSTI | 消费类可联网产品 | 带结束日期的支持期 | 厂商网站和合规声明 |
| 欧盟 CRA（2027年12月起） | 带数字元素的产品 | 结束日期，至少写到月份和年份 | 销售点、产品或包装、使用说明 |
| 欧盟 2023/1670 和 2023/1669 | 手机和平板 | 操作系统更新的年限 | EPREL 产品信息表 |
| 欧盟 2019/2021 | 电视和显示器 | 固件和安全更新可获取的年限 | 产品信息表 |
| 美国网络信任标志 | 贴有该标志的消费类产品 | 支持结束日期，或“不受支持” | 通过二维码访问的在线登记库 |
怎样读懂一份支持期声明？
下面五项检查能发现大多数问题：
- 有没有结束日期？ 起点不明的“五年”，很难让谁兑现承诺。写明月份和年份才行。
- 覆盖什么？ 安全修复、缺陷修复、新功能和云服务，是各自独立的承诺。
- 从什么时候开始算？ 手机从该型号停售时起算；许多其他产品则从厂商自己定的参照点起算。在一款型号生命周期的后段才买，你能分到的支持期就更短。
- 是谁说的？ 一项针对欧盟网店的研究发现，零售商、厂商和欧盟数据库对同一型号给出的支持期常常不一样，零售商写的通常更短。CRA 和 PSTI 约束厂商的，正是厂商自己作出的声明。
- 留一份副本。 把页面保存下来，或者截图并记下日期。按照 PSTI，支持期可以延长但不能缩短，有了记录，日后出现争议会简单得多。
家庭用户选购时，要像比价格一样比较结束日期，并计划在到期时更换设备或把它隔离开。楼宇或企业则应按型号记录结束日期，和固件版本放在一起，作为设备生命周期管理的一部分。
延伸阅读
- 《智能设备停止更新后会怎样？》介绍有据可查的停止支持案例，以及设备主人能做什么。
- 《物联网安全法规》讲解支持期之外的 CRA、PSTI 和网络信任标志。
- 《欧盟网店很少说明物联网设备能获得多久的安全更新》报告这类信息有多少能真正送到买家面前。
- 《设备管理与 OTA 升级》说明从工程角度兑现这一承诺需要做些什么。
主题：支持期、安全更新、PSTI、网络弹性法案、网络信任标志、生态设计、日常问题