Was ist der Unterstützungszeitraum nach dem CRA?
Der Unterstützungszeitraum nach dem CRA ist der Zeitraum, in dem ein Hersteller sicherstellen muss, dass Schwachstellen eines Produkts mit digitalen Elementen wirksam und gemäß Anhang I Teil II behandelt werden.
Rechtliche Einordnung: Artikel 3 Nummer 20 der Verordnung (EU) 2024/2847 definiert den Begriff über diese Pflicht zur Schwachstellenbehandlung. Wie lang der Zeitraum ist, bestimmt der Hersteller nicht frei, sondern nach Artikel 13 Absatz 8 anhand des konkreten Produkts und seiner voraussichtlichen Nutzung.
Der Normwortlaut
Die amtliche deutsche Fassung regelt Pflicht, Festlegung, Kriterien, Dauer und Folgeverpflichtungen in Artikel 13 Absatz 8 wie folgt:
„Wenn sie ein Produkt mit digitalen Elementen in den Verkehr bringen und während der erwarteten Produktlebensdauer und des Unterstützungszeitraums stellen die Hersteller sicher, dass Schwachstellen dieses Produkts, einschließlich seiner Komponenten, wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden.
Die Hersteller legen den Unterstützungszeitraum so fest, dass er die Dauer der voraussichtlichen Nutzung des Produkts widerspiegelt, wobei sie insbesondere angemessenen Erwartungen der Nutzer, der Art des Produkts, einschließlich seiner Zweckbestimmung, sowie den einschlägigen Rechtsvorschriften der Union zur Festlegung der Lebensdauer von Produkten mit digitalen Elementen Rechnung tragen. Bei der Bestimmung des Unterstützungszeitraums können die Hersteller auch die Unterstützungszeiträume von Produkten mit digitalen Elementen, die von anderen Herstellern in Verkehr gebracht wurden und eine ähnliche Funktionalität bieten, die Verfügbarkeit der Betriebsumgebung, die Unterstützungszeiträume integrierter Komponenten, die Kernfunktionen bereitstellen und von Dritten bezogen werden, sowie einschlägige Leitlinien der gemäß Artikel 52 Absatz 15 eingerichteten speziellen Gruppe für die administrative Zusammenarbeit (ADCO) und der Kommission berücksichtigen. Die zur Bestimmung des Unterstützungszeitraums zu berücksichtigenden Aspekte werden in einer Weise berücksichtigt, die die Verhältnismäßigkeit gewährleistet.
Unbeschadet Unterabsatz 2 beträgt der Unterstützungszeitraum mindestens fünf Jahre. Wird davon ausgegangen, dass das Produkt mit digitalen Elementen weniger als fünf Jahre im Betrieb ist, muss der Unterstützungszeitraum der voraussichtlichen Nutzungsdauer entsprechen.
Auf der Grundlage einschlägiger ADCO-Empfehlungen und Marktüberwachungsdaten, die darauf hindeuten, dass die Unterstützungszeiträume für bestimmte Produktkategorien unangemessen sind, kann die Kommission gemäß Artikel 61 delegierte Rechtsakte zur Ergänzung dieser Verordnung erlassen, um Mindestunterstützungszeiträume für diese Produktkategorien festzulegen.
Die Hersteller nehmen die Informationen, die bei der Festlegung des Unterstützungszeitraums eines Produkts mit digitalen Elementen berücksichtigt wurden, in die technische Dokumentation gemäß Anhang VII auf.
Die Hersteller müssen über geeignete Strategien und Verfahren verfügen, einschließlich der in Anhang I Teil II Nummer 5 genannten Strategien für die koordinierte Offenlegung von Schwachstellen, um mögliche Schwachstellen des Produkts mit digitalen Elementen, die aus internen oder externen Quellen gemeldet wurden, zu verarbeiten und zu beheben.“
Amtliche Fundstelle: Verordnung (EU) 2024/2847, Artikel 13 Absatz 8.
Redaktionelle Einordnung: Nutzererwartungen, Produktart und Zweckbestimmung sowie einschlägiges Unionsrecht sind zu berücksichtigen; die weiteren im Normtext genannten Kriterien darf der Hersteller berücksichtigen. Sämtliche maßgeblichen Aspekte sind verhältnismäßig anzuwenden. Die Befugnis der Kommission setzt einschlägige ADCO-Empfehlungen und Marktüberwachungsdaten voraus, die auf unangemessene Unterstützungszeiträume bestimmter Produktkategorien hindeuten; sie ist keine Verkürzungsoption für Hersteller.
Für wen gilt die Regel?
Sie adressiert Hersteller, die ein Produkt mit digitalen Elementen auf dem Unionsmarkt in Verkehr bringen. Artikel 2 Absatz 1 erfasst Produkte, deren Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.
Die Ausnahmen und möglichen Einschränkungen aus Artikel 2 Absätze 2 bis 7 bleiben maßgeblich. Eine pauschale Aussage für jedes Software- oder Hardwareprodukt wäre deshalb zu weit.
Wann entsteht die Pflicht?
Auslöser ist das Inverkehrbringen. Der Hersteller muss den Unterstützungszeitraum anhand der Vorgaben des Artikels 13 Absatz 8 festlegen, die berücksichtigten Informationen dokumentieren und die wirksame Schwachstellenbehandlung während des maßgeblichen Zeitraums gewährleisten.
Für eine nachfolgende wesentlich geänderte Softwareversion erlaubt Artikel 13 Absatz 10 eine begrenzte Sonderregel: Der Hersteller darf die Einhaltung von Anhang I Teil II Nummer 2 auf die zuletzt in Verkehr gebrachte Version beschränken, aber nur, wenn Nutzer früherer Versionen kostenlos auf die neue Version zugreifen können und ihnen keine zusätzlichen Kosten für die Anpassung ihrer Hard- oder Softwareumgebung entstehen.
Wie wird die Dauer bestimmt?
Grundsätzlich beträgt der Unterstützungszeitraum mindestens fünf Jahre. Wird erwartet, dass das Produkt weniger als fünf Jahre im Betrieb ist, muss der Zeitraum stattdessen dessen voraussichtlicher Nutzungsdauer entsprechen. Weniger als fünf Jahre sind damit nicht schon deshalb zulässig, weil der Hersteller einen kürzeren Support wirtschaftlich bevorzugt.
Verpflichtend zu berücksichtigen sind angemessene Nutzererwartungen, Produktart und Zweckbestimmung sowie einschlägiges Unionsrecht zur Lebensdauer. Vergleichbare Produkte, Betriebsumgebung, Drittkomponenten und einschlägige ADCO- oder Kommissionsleitlinien darf der Hersteller ebenfalls berücksichtigen. Die Bewertung muss verhältnismäßig erfolgen. Ein delegierter Rechtsakt der Kommission kann für Produktkategorien einen Mindestzeitraum festlegen; diese Befugnis ist keine Verkürzungsoption für Hersteller.
Wie lange müssen Sicherheitsaktualisierungen verfügbar bleiben?
Jede Sicherheitsaktualisierung, die während des Unterstützungszeitraums bereitgestellt wird, muss ab ihrer Bereitstellung mindestens zehn Jahre oder für die verbleibende Dauer des Unterstützungszeitraums verfügbar bleiben – je nachdem, welcher Zeitraum länger ist. Diese Verfügbarkeitsregel aus Artikel 13 Absatz 9 verlängert den Unterstützungszeitraum nicht automatisch.
Welche technischen und Informationspflichten gehören dazu?
Technische Einordnung: Maßgeblich sind die Behandlung und Behebung von Schwachstellen nach Anhang I Teil II, insbesondere durch Sicherheitsaktualisierungen. Diese sind grundsätzlich unverzüglich und kostenlos zu verbreiten. Bei einem maßgeschneiderten Produkt darf mit einem gewerblichen Nutzer ausdrücklich etwas anderes vereinbart werden.
Nach Anhang II Nummer 7 müssen die Nutzerinformationen die Art der technischen Sicherheitsunterstützung und das Enddatum des Unterstützungszeitraums nennen. Artikel 13 Absatz 19 verlangt, dass dieses Enddatum beim Kauf klar und leicht zugänglich, mindestens mit Monat und Jahr, angegeben wird. Die entscheidungsrelevanten Informationen gehören außerdem nach Artikel 13 Absatz 8 und Anhang VII Nummer 4 in die technische Dokumentation.
Ab wann gelten diese Vorgaben?
Die Verordnung ist bereits in Kraft. Die hier beschriebenen allgemeinen Pflichten gelten nach Artikel 71 grundsätzlich ab dem 11. Dezember 2027. Nach Artikel 69 Absatz 1 unterliegen Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, den Anforderungen grundsätzlich nur, wenn sie ab diesem Datum wesentlich geändert werden.
Häufige Fehlannahmen
- „Der Support dauert immer genau fünf Jahre.“ Falsch: Fünf Jahre sind grundsätzlich die Mindestdauer; bei einem voraussichtlichen Betrieb unter fünf Jahren gilt die voraussichtliche Nutzungsdauer. Kategorienbezogene Mindestzeiträume können zusätzlich festgelegt werden.
- „Der Hersteller kann die Dauer frei wählen.“ Falsch: Er muss die verpflichtenden Kriterien und alle maßgeblichen Aspekte verhältnismäßig berücksichtigen; die bei der Bestimmung berücksichtigten einschlägigen Informationen muss er in die technische Dokumentation aufnehmen.
- „Unterstützungszeitraum bedeutet Produktgarantie.“ Falsch: Der CRA-Begriff betrifft die wirksame Behandlung von Schwachstellen und die zugehörige Sicherheitsunterstützung, nicht die Zusage allgemeiner Mangelfreiheit.
- „Zehn Jahre Aktualisierungsverfügbarkeit bedeuten zehn Jahre Unterstützungszeitraum.“ Falsch: Artikel 13 Absatz 9 regelt die Verfügbarkeit bereits bereitgestellter Sicherheitsaktualisierungen und verlängert den Unterstützungszeitraum nicht automatisch.
- „Nur das Enddatum muss veröffentlicht werden.“ Falsch: Nutzerinformationen müssen auch die Art der technischen Sicherheitsunterstützung nennen; die Festlegungsgrundlagen gehören in die technische Dokumentation.
Was die Geschäftsleitung tun sollte
Die folgenden Schritte sind Governance-Empfehlungen zur Umsetzung der Herstellerpflichten, keine im CRA ausdrücklich benannte Organpflicht:
- Für jedes erfasste Produkt eine verantwortliche Stelle bestimmen, die voraussichtliche Nutzung und Unterstützungszeitraum vor dem Inverkehrbringen festlegt.
- Pflichtkriterien, fakultative Kriterien, Annahmen und die verhältnismäßige Abwägung nachvollziehbar in der technischen Dokumentation festhalten.
- Schwachstellenbearbeitung sowie unverzügliche und grundsätzlich kostenlose Sicherheitsaktualisierungen organisatorisch und technisch absichern; für ausdrücklich abweichende Vereinbarungen über maßgeschneiderte Produkte mit gewerblichen Nutzern einen kontrollierten Ausnahmeprozess vorsehen.
- Nutzer- und Kaufinformationen so freigeben, dass Art der Sicherheitsunterstützung und Enddatum klar, leicht zugänglich und mindestens mit Monat und Jahr erscheinen.
- Produktportfolio, Artikel-2-Ausnahmen, wesentlich geänderte Softwareversionen und mögliche kategorienbezogene Mindestzeiträume regelmäßig rechtlich prüfen lassen.
Für die Geschäftsleitung
Reichweite: Relevant ist die Regel für Hersteller erfasster Produkte mit digitalen Elementen; Artikel 2 kann Produkte ausnehmen oder die Anwendung begrenzen. Entscheidung: Die Dauer ist produktbezogen und grundsätzlich auf mindestens fünf Jahre festzulegen, bei erwartetem Betrieb unter fünf Jahren jedoch auf die voraussichtliche Nutzungsdauer. Nachweis: Kriterienentscheidung, technische Dokumentation, Schwachstellenprozesse, Aktualisierungsverfügbarkeit und Nutzerinformation müssen zusammenpassen und prüfbar sein.
Quellen
- Verordnung (EU) 2024/2847, amtliche deutsche Fassung, insbesondere Artikel 2, Artikel 3 Nummer 20, Artikel 13 Absätze 8 bis 10 und 19, Artikel 69, Artikel 71 sowie Anhänge I, II und VII.
