Wie lange muss ein Hersteller nach dem CRA Sicherheitsupdates liefern?

Über den gesamten Unterstützungszeitraum des Produkts. Die Verordnung schreibt keine feste Mindestdauer vor, sondern knüpft an die Zeit, die der Hersteller selbst als Supportzeitraum für das Produkt angibt oder die Nutzer vernünftigerweise erwarten können. Die Pflicht endet nicht mit dem Auslaufen einer Version, sondern mit dem Ende des Unterstützungzeitraums des Produkts.

Kann ein Hersteller den Unterstützungszeitraum einfach abkürzen?

Nein, nicht einseitig. Ein Supportende ist gegenüber der Marktüberwachungsbehörde und den Nutzern zu begründen, und die Sicherheitsrisiken eines vorzeitigen Endes fließen in diese Entscheidung ein. Ein Supportende, das lediglich der Kostensenkung dient und bekannte Schwachstellen offen lässt, verträgt sich nicht mit der Sorgfaltspflicht des Artikels 13.

Gilt die Update-Pflicht auch für Altprodukte vor dem Stichtag 2027?

Für die Meldepflicht gelten Altprodukte ausdrücklich. Für die übrigen Herstellerpflichten gilt die Übergangsregel: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden und nicht wesentlich verändert werden, bleiben ausgenommen. Ein erhebliches Update kann allerdings eine wesentliche Veränderung sein und das Produkt dann in den vollen Anwendungsbereich ziehen.

Ratgeber - Laufende Pflichten

Wie lange muss ein Hersteller Sicherheitsupdates nach dem CRA liefern?

Über den gesamten Unterstützungszeitraum, nicht über eine feste Mindestdauer

Die Meldepflicht ist die kürzeste Pflicht des CRA. Die längste läuft im Alltag: Ein Produkt, das einmal in Verkehr gebracht ist, muss über seinen ganzen Unterstützungszeitraum hinweg sicher gehalten werden.

Die Kurzfassung

Die Pflicht läuft über den Unterstützungszeitraum, den der Hersteller selbst setzt

Artikel 13 verlangt vom Hersteller, Schwachstellen und Sicherheitslücken seiner Produkte über den gesamten Unterstützungszeitraum zu behandeln, ohne sie zu verschweigen. Der Unterstützungszeitraum ist dabei keine Zahl aus der Verordnung, sondern die Zeitspanne, die der Hersteller für sein Produkt angibt oder die nach vernünftiger Erwartung der Nutzer gilt. Wer einem Produkt fünf Jahre Support zusagt, trägt für diese fünf Jahre die Pflicht.

GrundlageArt. 13 CRA

Die Praxis

Was die Support-Pflicht für vier Situationen bedeutet

Situation	Was gilt	Der Hintergrund
Laufendes Produkt mit zugesagtem Support	Schwachstellen behandeln und melden, solange der Support läuft	Die Zusage setzt den Zeitraum, die Pflicht folgt ihr
Abgekündigtes Produkt ohne Supportzusage	Supportende begründen und dokumentieren	Ein stilles Auslaufen lässt die Pflicht offen und wird im Behördenfall zum Problem
Update für ein Altprodukt	Prüfen, ob es eine wesentliche Veränderung ist	Eine erhebliche Änderung zieht das Produkt in den vollen Anwendungsbereich ab 2027
Komponente eines anderen Herstellers	Sorgfalt bei Auswahl und Überwachung der Komponente	Die Pflicht des Artikel 13 verlangt die Betrachtung integrierter Komponenten

Die vierte Zeile betrifft fast jedes moderne Produkt: Kaum eine Software besteht nur aus eigenem Code. Die Sorgfaltspflicht für integrierte Komponenten verlangt, die Lieferkette zu kennen und zu überwachen, nicht jede Bibliothek selbst zu prüfen.

Der Supportzeitraum ist eine Zweisamkeit aus Zusage und Erwartung. Wer beides dokumentiert, kann die Pflicht abgrenzen.

Der Grund

Warum die Verordnung die Pflicht an den Support knüpft

Das Interesse hinter der Regel

Ein Produkt auf dem Markt bleibt oft jahrelang im Einsatz, auch wenn der Hersteller längst die nächste Version verkauft. Die Verordnung schließt die Lücke zwischen Verkaufsdatum und Nutzungsrealität: Sie verlangt, dass die Sicherheit nicht mit der Lieferung endet. Wer bezahlt, ist der Hersteller, und wer profitiert, ist der Nutzer, der auf eine zugesagte Betreuung vertrauen kann.

Vertiefung

Weiterführende Seiten

Was eine SBOM für den CRA istDie Komponentenliste des Produkts als Grundlage der Sorgfaltspflicht.Aktiv ausgenutzte Schwachstelle meldenAlle Angaben je Meldestufe als Checkliste, mit Fundstellen.