Supportzeitraum nach dem CRA: wie lange Sie Sicherheitsupdates liefern müssen
Nach dem Cyber Resilience Act müssen Sie festlegen, dokumentieren und ankündigen, wie lange jedes Produkt Sicherheitsupdates erhält. Hier die Regeln zum Supportzeitraum, die fünf Jahre als Standard und was Sie festhalten sollten, damit die Entscheidung trägt.
Mindestens fünf Jahre
Artikel 13 legt einen Supportzeitraum von mindestens fünf Jahren fest. Er darf nur kürzer sein, wenn das Produkt voraussichtlich weniger als fünf Jahre genutzt wird, und entspricht dann dieser erwarteten Nutzungsdauer.
Bei der Festlegung berücksichtigen Sie, was Nutzer vernünftigerweise erwarten können, Art und Zweck des Produkts und das EU-Recht zur Lebensdauer von Produkten. Sie können auch vergleichbare Produkte heranziehen, wie lange die Betriebsumgebung verfügbar bleibt und wie lange Drittkomponenten mit Kernfunktionen unterstützt werden.
Was Sie in dieser Zeit schulden
- Schwachstellen behandeln, wie in Anhang I Teil II beschrieben: unverzüglich beheben, testen, Behobenes veröffentlichen.
- Jedes Sicherheitsupdate verfügbar halten, mindestens zehn Jahre nach seiner Bereitstellung oder für den Rest des Supportzeitraums, wenn dieser länger ist.
- Das Enddatum angeben, mit mindestens Monat und Jahr, klar zum Zeitpunkt des Kaufs und gegebenenfalls auf dem Produkt, seiner Verpackung oder digital.
- Nutzer über das Supportende informieren, soweit das technisch machbar ist.
Was Sie festhalten sollten
Halten Sie für jedes Produkt und jede Version das Enddatum und die Begründung fest, besonders wenn es kürzer als fünf Jahre ist. Bewahren Sie diese Begründung mit der technischen Dokumentation auf, die mindestens zehn Jahre oder für den Supportzeitraum aufbewahrt wird, wenn dieser länger ist. Prüfen Sie alle paar Monate, welche Versionen sich ihrem Enddatum nähern, damit die Ankündigung nie überraschend kommt.
Wobei Clearlane CRA hilft
Clearlane CRA führt Ihre Produkte und Versionen in Jira, jede mit ihrem eigenen Supportzeitraum. Standard sind fünf Jahre, ein kürzerer Zeitraum braucht eine festgehaltene Begründung. Das Register listet die Supportzeiträume, die innerhalb von sechs Monaten enden.
Diese Regeln gelten für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden. Den vollständigen Ablauf zeigt der CRA-Zeitplan.
Quelle: Verordnung (EU) 2024/2847, Artikel 13 und Anhang I Teil II. Geprüft am 16. Oktober 2026.