Security-Updates über den gesamten Supportzeitraum: Die CRA-Pflicht für Hersteller
Ein Hersteller verkauft ein vernetztes Gerät oder eine Software. Drei Jahre später meldet ein Sicherheitsforscher eine neue Lücke. Gibt es dann noch ein Update, oder ist das Produkt längst sich selbst überlassen? Der Cyber Resilience Act beantwortet diese Frage mit einer klaren Pflicht: dem CRA-Supportzeitraum. Sicherheitsupdates enden damit nicht automatisch beim Verkauf. Hersteller müssen sie über einen festgelegten Zeitraum danach liefern, in der Regel mindestens fünf Jahre. Für viele Softwarehäuser ist das eine neue Verpflichtung. Sie betrifft Budgets, Verträge und Abhängigkeiten direkt, und sie lässt sich nicht einfach auf später verschieben.
Was genau verlangt der CRA-Supportzeitraum?
Der Cyber Resilience Act (CRA) ist die EU-Verordnung 2024/2847. Mehr zur Grundlage und wer betroffen ist, erklären wir in unserem Artikel zum Cyber Resilience Act: Wer ist betroffen.
Ab Dezember 2027 gelten die vollständigen Anforderungen des CRA. Eine davon ist der Supportzeitraum. Hersteller müssen für jedes Produkt mit digitalen Elementen Sicherheitsupdates über einen festgelegten Zeitraum liefern. Der Gesetzgeber nennt fünf Jahre als Richtwert, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer ist.
Was heißt „erwartete Nutzungsdauer“? Ein Smart-Home-Sensor für 30 Euro hat vermutlich eine kürzere Lebensdauer als eine Buchhaltungssoftware, die Unternehmen über Jahrzehnte einsetzen. Der Hersteller muss diese Dauer realistisch einschätzen und vor dem Kauf kommunizieren. Wer eine kürzere Dauer angibt, um sich Pflichten zu sparen, riskiert Ärger mit der Marktüberwachungsbehörde, sobald diese die Angabe mit der tatsächlichen Nutzung vergleicht.
Zwei weitere Vorgaben gehören direkt zum Supportzeitraum. Updates müssen kostenlos sein. Und sie müssen leicht zugänglich sein. Ein Patch, der nur gegen Aufpreis oder über ein kompliziertes Support-Ticket erreichbar ist, erfüllt die Pflicht nicht.
Supportzeitraum ist nicht dasselbe wie Gewährleistung
Viele Unternehmen verwechseln den CRA-Supportzeitraum mit der gesetzlichen Gewährleistung. Die Gewährleistung betrifft Mängel, die schon beim Kauf bestanden haben, und läuft meist zwei Jahre. Der Supportzeitraum betrifft etwas anderes: neue Sicherheitslücken, die erst nach dem Kauf bekannt werden, teilweise Jahre später. Beide Fristen laufen unabhängig voneinander und können unterschiedlich lang sein. Ein Produkt kann also längst aus der Gewährleistung heraus sein und trotzdem noch mitten im Supportzeitraum stecken.
Was passiert, wenn der Supportzeitraum endet?
Der Supportzeitraum endet nicht stillschweigend. Hersteller müssen das Ende der Updates vorher ankündigen, damit Kunden sich auf den anstehenden End of Life einstellen können. Wer ein Produkt rechtzeitig abkündigt, gibt Kunden Zeit für ein Upgrade oder einen Anbieterwechsel. Wer es verschweigt, lässt Kunden mit einem Produkt zurück, das plötzlich ohne Schutz weiterläuft, ohne dass sie es merken.
Welche Konsequenzen hat ein zu kurzer Supportzeitraum?
Wer den Supportzeitraum ignoriert oder zu kurz ansetzt, riskiert mehr als ein schlechtes Gewissen.
Bußgelder und Marktverbot
Verstöße gegen den Cyber Resilience Act können mit Bußgeldern bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher liegt. In Deutschland ist das BSI als Marktüberwachungsbehörde zuständig und kann solche Verfahren einleiten. Die Behörde kann ein Produkt zusätzlich vom Markt nehmen lassen, noch bevor überhaupt ein Bußgeld verhängt wird.
Ein Beispiel macht die Dimension greifbar. Ein Softwarehaus mit eigener Abrechnungslösung und zwei Millionen Euro Jahresumsatz verkauft sein Produkt an vierzig Kunden. Setzt die Behörde ein Bußgeld im mittleren einstelligen Prozentbereich des Umsatzes an, geht es schnell um eine Summe, die die Substanz des Unternehmens gefährdet. Die Prozentzahl wirkt abstrakt, bis sie auf die eigene Bilanz angewendet wird.
Verträge, die plötzlich nicht mehr passen
Viele Softwareverträge laufen über Jahre, ohne den Supportzeitraum konkret zu regeln. Fragt ein Kunde nach der CRA-Grundlage, wie lange Updates garantiert sind, fehlt oft eine klare Antwort. Spätestens bei Ausschreibungen und Vergabeverfahren wird das zum Problem, wenn der Nachweis fehlt. Öffentliche Auftraggeber prüfen solche Nachweise inzwischen gezielt ab, bevor sie einen Zuschlag erteilen.
Abhängigkeiten, die den Zeitraum verkürzen
Ein Supportzeitraum von fünf Jahren nützt wenig, wenn eine eingesetzte Bibliothek oder ein Framework schon nach zwei Jahren selbst keine Updates mehr bekommt. Wer einen eigenen Zeitraum zusagt, muss wissen, wie lange die eigenen Abhängigkeiten mitziehen. Ohne eine aktuelle Liste der verwendeten Komponenten lässt sich das kaum seriös einschätzen. Mehr dazu, wie fehlende Patches in der Praxis zum Problem werden, lesen Sie in unserem Artikel über Security Patches.
Was Hersteller jetzt konkret planen müssen
Vier Schritte helfen, den Supportzeitraum sauber in die eigene Planung aufzunehmen.
Schritt 1: Nutzungsdauer realistisch festlegen
Legen Sie für jedes Produkt eine erwartete Nutzungsdauer fest, die sich begründen lässt. Fünf Jahre sind der Richtwert. Bei sicherheitskritischen Produkten, etwa in der Industrie oder im Gesundheitswesen, kann deutlich mehr nötig sein. Dokumentieren Sie schriftlich, warum Sie sich für eine bestimmte Dauer entschieden haben, denn genau das kann eine Behörde später abfragen.
Schritt 2: Updates fest einplanen statt nur zu reagieren
Ein Supportzeitraum verlangt ein laufendes Update-Budget, keine reine Reaktion im Krisenfall. Reservieren Sie dafür feste Zeit pro Quartal, nicht nur dann, wenn eine Lücke öffentlich wird. Wer diesen Posten nicht fest in die Kalkulation aufnimmt, saniert später unter Zeitdruck. Das wird deutlich teurer als eine geplante Wartung. Wie sich diese Kosten realistisch einplanen lassen, zeigen wir in unserem Artikel zu Software-Wartungskosten.
Schritt 3: Abhängigkeiten im Blick behalten
Prüfen Sie, welche Bibliotheken und Komponenten in Ihrem Produkt stecken und wie lange deren Hersteller selbst Updates zusagen. Eine einfache Liste reicht als Start. Wächst diese Liste, lohnt sich ein Werkzeug, das neue Schwachstellen in den eingesetzten Komponenten automatisch meldet, statt dass jemand im Team das händisch nachprüft.
Schritt 4: Supportzeitraum im Vertrag festhalten
Nennen Sie Kunden schriftlich, wie lange Sie Sicherheitsupdates liefern, und zu welchen Bedingungen. Das schafft Klarheit auf beiden Seiten und erfüllt gleichzeitig die Informationspflicht aus dem CRA. Ein Satz im Angebot oder in den Allgemeinen Geschäftsbedingungen reicht oft schon aus, um diese Pflicht abzudecken.
Fazit: Der Supportzeitraum ist kein Kleingedrucktes mehr
Der CRA-Supportzeitraum verändert, wie Hersteller über die Lebensdauer ihrer Produkte denken. Sicherheitsupdates sind ab Dezember 2027 keine Kulanzleistung mehr, sondern eine Pflicht mit festem Zeitrahmen. Wer seine Prozesse, Budgets und Verträge jetzt daran ausrichtet, vermeidet teure Überraschungen kurz vor der Deadline.
Sprechen Sie uns an. Das Erstgespräch ist kostenlos. Wir schauen uns Ihre Software und Ihre Abhängigkeiten an und sagen Ihnen ehrlich, wie lange Sie Updates realistisch zusagen können.
