Supportzeiträume für vernetzte Produkte: Sicherheitsupdates unter dem CRA planen

Der Supportzeitraum ist kein beliebiges Marketingdatum

Artikel 13 sieht grundsätzlich einen Unterstützungszeitraum von mindestens fünf Jahren vor. Wird erwartet, dass ein Produkt mit digitalen Elementen weniger als fünf Jahre genutzt wird, kann der Zeitraum der erwarteten Nutzungsdauer entsprechen. Umgekehrt macht der Gesetzestext deutlich, dass bei einer erwarteten Nutzung von mehr als fünf Jahren ein längerer Zeitraum relevant werden kann. Gerade industrielle Produkte werden im Erwägungsgrund ausdrücklich als Beispiel für lange Nutzungszeiten genannt.

Das Enddatum muss sichtbar werden

Die EU-Zusammenfassung verlangt, dass das Enddatum des Unterstützungszeitraums einschließlich Monat und Jahr beim Kauf klar und verständlich angegeben wird. Damit wird aus einer internen Wartungsannahme eine Information, die Produktmanagement, Vertrieb und Kundendokumentation konsistent handhaben müssen. Wer heute nur allgemeine Formulierungen wie „Updates nach Bedarf" verwendet, sollte prüfen, ob künftig eine präzisere Produktzusage benötigt wird.

Der Zeitraum beeinflusst Kosten und Architektur

Ein langer Supportzeitraum betrifft mehr als das Patchen einzelner Fehler. Abhängigkeiten zu Betriebssystemen, Bibliotheken, Cloud-Diensten, Zertifikaten, Hardwarekomponenten und Entwicklungswerkzeugen müssen über Jahre beherrschbar bleiben. Produktteams müssen deshalb früh entscheiden, wie lange Build-Umgebungen reproduzierbar bleiben, wie Komponenten ersetzt werden können und welche Updatekanäle dauerhaft verfügbar sind.

Dokumentation und Schwachstellenprozess laufen mit

Die Informationen, die bei der Festlegung des Supportzeitraums berücksichtigt wurden, gehören in die technische Dokumentation. Die Kommission nennt diese Dokumentation ausdrücklich als Teil der Herstellerpflichten rund um die Festlegung des Supportzeitraums. Während dieses Zeitraums müssen Schwachstellen wirksam behandelt werden. Das verbindet Produktlebenszyklus, Vertragsgestaltung und Sicherheitsorganisation. Ein kurzer Produktzyklus im Vertrieb beendet nicht automatisch die Verantwortung für bereits ausgelieferte Geräte.

Fragen vor der Supportzusage

Vor einer verbindlichen Supportzusage sollte geklärt werden: Wie lange wird das Produkt realistisch genutzt? Welche Komponenten haben kürzere Hersteller-Supportzeiten? Welche Updatewege stehen beim Kunden zur Verfügung? Wer trägt die Kosten für Tests und Verteilung? Eine unverbindliche Vorprüfung kann diese Fragen strukturieren und aufzeigen, wo technische Planung oder rechtliche Auslegung vertieft werden muss. Sie ist keine Zertifizierung und ersetzt keine Rechtsberatung.

Häufige Fragen