Sicherheitsaktualisierung

Was ist eine Sicherheitsaktualisierung?

Im CRA-Kontext ist eine Sicherheitsaktualisierung eine Aktualisierung, mit der Schwachstellen eines Produkts mit digitalen Elementen behandelt oder behoben beziehungsweise festgestellte Sicherheitsprobleme bewältigt werden; sie ist von einer Funktionsaktualisierung zu unterscheiden.

Quellengebundene Einordnung: Artikel 3 des Cyber Resilience Act (CRA) enthält keine eigenständige Legaldefinition des Ausdrucks. Die Kurzdefinition fasst die Anforderungen aus Anhang I Teil II Nummern 2 und 8 zusammen.

Der Normwortlaut

Die Hersteller von Produkten mit digitalen Elementen müssen im Hinblick auf die Risiken im Zusammenhang mit den Produkten mit digitalen Elementen unverzüglich Schwachstellen behandeln und beheben, unter anderem durch Bereitstellung von Sicherheitsaktualisierungen; soweit technisch machbar, müssen neue Sicherheitsaktualisierungen getrennt von den Funktionsaktualisierungen bereitgestellt werden;

Amtliche Fundstelle: Verordnung (EU) 2024/2847, Anhang I Teil II Nummer 2. Der Normtext richtet sich an Hersteller. Auslöser sind Schwachstellen, die im Hinblick auf die Produktrisiken zu behandeln sind; hierfür gilt „unverzüglich“. Nur die getrennte Bereitstellung steht unter dem Vorbehalt technischer Machbarkeit. Der 11. Dezember 2027 ist der allgemeine Geltungsbeginn und keine Frist dieses einzelnen Tatbestands.

Für wen und welche Produkte gilt die Pflicht?

Sie trifft primär Hersteller erfasster Produkte mit digitalen Elementen während des festgelegten Unterstützungszeitraums. Grundsätzlich erfasst sind Produkte, die auf dem Unionsmarkt bereitgestellt werden und deren Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.

Rechtliche Grenzen: Zu berücksichtigen sind sämtliche Ausschlüsse nach Artikel 2 Absätze 2 bis 4, 6 und 7 sowie Einschränkungen durch delegierte Rechtsakte nach Artikel 2 Absatz 5. Die Anwendbarkeit ist deshalb für das konkrete Produkt zu prüfen.

Was löst die Schwachstellenbehandlung aus?

Stellt der Hersteller eine Schwachstelle fest, muss er sie risikobezogen unverzüglich behandeln und beheben, gegebenenfalls durch eine Sicherheitsaktualisierung. Betrifft die Schwachstelle eine integrierte Komponente, muss der Hersteller außerdem die Person oder Einrichtung unterrichten, die diese Komponente herstellt oder wartet.

Ist eine Sicherheitsaktualisierung zur Bewältigung festgestellter Sicherheitsprobleme verfügbar, muss sie unverzüglich und grundsätzlich kostenlos verbreitet werden. Nur bei einem maßgeschneiderten Produkt mit digitalen Elementen darf der Hersteller mit einem gewerblichen Nutzer etwas anderes vereinbaren.

Wie muss eine Sicherheitsaktualisierung bereitgestellt werden?

Neue Sicherheitsaktualisierungen müssen, soweit technisch machbar, getrennt von Funktionsaktualisierungen bereitgestellt werden. Die Herstellerbereitstellung ist dabei nicht mit der Installation beim Nutzer gleichzusetzen.

Informationen über eine behobene Schwachstelle dürfen bei hinreichender Begründung aufgeschoben werden, wenn die Risiken ihrer Veröffentlichung die Sicherheitsvorteile überwiegen. Der Aufschub darf jedoch nur so lange dauern, bis Nutzer den entsprechenden Patch anwenden konnten.

Welche Fristen und Zeiträume sind maßgeblich?

Der Unterstützungszeitraum beträgt grundsätzlich mindestens fünf Jahre. Wird erwartet, dass das Produkt weniger als fünf Jahre genutzt wird, muss der Zeitraum der erwarteten Nutzungsdauer entsprechen.

Eine während des Unterstützungszeitraums bereitgestellte Sicherheitsaktualisierung muss mindestens zehn Jahre nach dem Inverkehrbringen des Produkts oder für den verbleibenden Unterstützungszeitraum verfügbar bleiben – je nachdem, welcher Zeitraum länger ist. Bezugspunkt der Zehnjahresfrist ist nicht die Bereitstellung der einzelnen Aktualisierung.

Müssen Sicherheitsaktualisierungen automatisch installiert werden?

Nein, nicht pauschal. Soweit es nach der Cybersicherheitsrisikobewertung anwendbar ist, muss das Produkt die Schwachstellenbehebung durch Sicherheitsaktualisierungen ermöglichen. Dies schließt gegebenenfalls standardmäßig aktivierte automatische Aktualisierungen innerhalb eines angemessenen Zeitraums ein.

Werden automatische Sicherheitsaktualisierungen eingesetzt, sind Nutzer verständlich zu benachrichtigen. Sie benötigen einen klaren Opt-out-Mechanismus und die Möglichkeit, verfügbare Aktualisierungen vorübergehend zu verschieben. Aus dem CRA folgt daher keine ausnahmslose automatische Installationspflicht.

Wie unterscheidet sich eine Sicherheitsaktualisierung vom Patch-Management?

Technische Einordnung: Die Bereitstellung einer Aktualisierung ist nur ein Teil des betrieblichen Patch-Managements. Dieses umfasst nach NIST auch Identifizierung, Priorisierung, Beschaffung, Installation und Überprüfung von Patches, Updates und Upgrades. Die Herstellerpflicht zur Bereitstellung und die betriebliche Entscheidung, Prüfung, Installation und Verifikation durch eine Nutzerorganisation sind deshalb getrennte Vorgänge.

Was gilt für Altprodukte und wesentliche Änderungen?

Für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, gelten die CRA-Anforderungen nach Artikel 69 Absatz 2 grundsätzlich erst, wenn das Produkt ab diesem Datum wesentlich geändert wird; Artikel 14 bleibt davon ausgenommen.

Auslegung des CRA: Eine reine Sicherheitsaktualisierung, die das Cybersicherheitsrisiko senkt und die Zweckbestimmung nicht verändert, ist keine wesentliche Änderung. Enthält ein Update zusätzlich eine Funktionsänderung, ist diese gesondert anhand der Kriterien des Artikels 3 Nummer 30 zu beurteilen.

Häufige Fehlannahmen

Die folgenden Verkürzungen geben die CRA-Anforderungen nicht zutreffend wieder:

• „Jedes Sicherheitsupdate muss automatisch installiert werden.“ Automatische Aktualisierungen sind nur gegebenenfalls und abhängig von der Cybersicherheitsrisikobewertung vorgesehen; Opt-out und vorübergehende Verschiebung müssen möglich sein.
• „Sicherheits- und Funktionsupdates müssen immer getrennt erscheinen.“ Die Trennung ist nur vorgeschrieben, soweit sie technisch machbar ist.
• „Jede Sicherheitsaktualisierung muss zehn Jahre ab ihrem Erscheinungstag abrufbar sein.“ Die Zehnjahresfrist beginnt mit dem Inverkehrbringen des Produkts; alternativ gilt der längere verbleibende Unterstützungszeitraum.
• „Sicherheitsaktualisierungen dürfen stets kostenpflichtig sein.“ Sie sind grundsätzlich kostenlos zu verbreiten. Eine abweichende Vereinbarung ist nur für ein maßgeschneidertes Produkt mit einem gewerblichen Nutzer vorgesehen.
• „Bereitstellung bedeutet erfolgreiche Installation.“ Herstellerbereitstellung und betriebliche Installation samt Prüfung und Verifikation sind unterschiedliche Schritte.
• „Jede Sicherheitsaktualisierung ist eine wesentliche Änderung.“ Senkt sie lediglich das Cybersicherheitsrisiko und ändert die Zweckbestimmung nicht, ist sie nach der CRA-Auslegung keine wesentliche Änderung.

Was die Geschäftsleitung tun sollte

Die folgenden Schritte sind aus den Herstellerpflichten abgeleitete Governance-Empfehlungen, keine eigenständigen, unmittelbar an die Geschäftsleitung gerichteten CRA-Pflichten:

• Verantwortlichkeiten und nachweisbare Abläufe für Risikobewertung, Schwachstellenannahme, Priorisierung, Behandlung und Behebung festlegen.
• Eine sichere, unverzügliche und grundsätzlich kostenlose Update-Verteilung organisieren sowie Sicherheits- und Funktionsupdates soweit technisch machbar trennen.
• Unterstützungszeiträume und die erforderliche Verfügbarkeit bereitgestellter Aktualisierungen produktbezogen festlegen, überwachen und dokumentieren.
• Nutzerinformationen, Benachrichtigungen, Opt-out und Verschiebungsmöglichkeiten für gegebenenfalls eingesetzte automatische Aktualisierungen gestalten und nachweisen.
• Nicht anwendbare grundlegende Cybersicherheitsanforderungen in der technischen Dokumentation nachvollziehbar begründen.

Diese Vorkehrungen sollten vor dem jeweiligen Inverkehrbringen und während des Unterstützungszeitraums wirksam sein. Der CRA gilt allgemein ab dem 11. Dezember 2027; Artikel 14 gilt bereits ab dem 11. September 2026. Für Altprodukte ist zusätzlich Artikel 69 Absatz 2 zu beachten.

Für die Geschäftsleitung

Entscheidend sind drei Punkte: Zunächst ist die Reichweite für jedes Produkt einschließlich Ausschlüssen und Altproduktregel zu bestimmen. Danach sind risikobezogene Entscheidungen über Schwachstellenbehandlung, Update-Ausgestaltung, technische Trennung und Unterstützungszeitraum zu treffen. Schließlich sollte die Geschäftsleitung Zuständigkeiten, Fristen, Nutzerinformationen, Ausnahmen und die Verfügbarkeit der Aktualisierungen nachvollziehbar dokumentieren lassen.

Quellen

• Verordnung (EU) 2024/2847 (Cyber Resilience Act), amtlicher deutscher Text: insbesondere Artikel 2, Artikel 3 Nummern 1, 13 und 30, Artikel 13 Absätze 2, 6, 8 und 9, Artikel 69 Absatz 2, Artikel 71 Absatz 2, Anhang I Teil I Nummer 2 Buchstabe c, Anhang I Teil II Nummern 2, 4, 7 und 8 sowie Erwägungsgrund 53.
• NIST SP 800-40 Rev. 4: autoritative technische Abgrenzung des betrieblichen Patch-Managements, Abstract.