Sind fünf Jahre der Normalfall?

Nein, sie sind die Untergrenze. Artikel 13 Absatz 8 verlangt, den Zeitraum so festzulegen, dass er die voraussichtliche Nutzungsdauer widerspiegelt, und nennt dann fünf Jahre als Mindestmaß. Bei Produkten, die erfahrungsgemäß länger im Einsatz sind, etwa Netzwerkgeräten oder Betriebssystemen, ist ein längerer Zeitraum die konsequente Folge. Wird davon ausgegangen, dass das Produkt weniger als fünf Jahre im Betrieb ist, muss der Zeitraum der voraussichtlichen Nutzungsdauer entsprechen.

Können wir den Unterstützungszeitraum später verkürzen?

Eine einmal kommunizierte Angabe ist eine Zusage an Nutzer und Markt, auf die sich Kaufentscheidungen stützen. Sie nachträglich zu verkürzen, wäre kaum mit den Erwartungen vereinbar, an denen die Festlegung sich ausrichten soll. Umgekehrt ist eine Verlängerung jederzeit möglich. Wer unsicher ist, setzt konservativ an. Nach unten korrigieren ist der problematische Weg.

Was, wenn eine zugekaufte Komponente früher aus der Pflege fällt?

Das Problem bleibt bei Ihnen. Der CRA nennt die Unterstützungszeiträume integrierter Komponenten, die Kernfunktionen erbringen und von Dritten bezogen werden, ausdrücklich als einen Aspekt, den Hersteller bei der Festlegung berücksichtigen können. Aus der Verantwortung nimmt er Sie damit aber nicht. Praktisch heißt das: Entweder Sie sichern die Pflege vertraglich ab, oder Sie planen den Austausch der Komponente ein.

Cyber Resilience Act

Unterstützungszeitraum

Legaldefinition Art. 3 Nr. 20 CRA

„den Zeitraum, in dem der Hersteller sicherstellen muss, dass die Schwachstellen des Produkts mit digitalen Elementen wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“

Verordnung (EU) 2024/2847, Art. 3 Nr. 20 CRA

Der Unterstützungszeitraum (englisch support period, umgangssprachlich oft Support-Zeitraum) beantwortet die Frage, wie lange ein Hersteller für die Sicherheit seines Produkts geradesteht. Er beginnt mit dem Inverkehrbringen und umfasst die gesamte Behandlung von Schwachstellen nach Anhang I Teil II.

Er ist damit kein Servicelevel und kein Wartungsvertrag, sondern eine gesetzliche Pflicht mit einer klar bezifferten Untergrenze.

Wie der Zeitraum bemessen wird

Artikel 13 Absatz 8 des Cyber Resilience Acts (CRA) gibt die Richtung vor: Hersteller legen den Unterstützungszeitraum so fest, dass er die Dauer der voraussichtlichen Nutzung des Produkts widerspiegelt. Die Vorschrift unterscheidet dabei zwischen Aspekten, denen Hersteller Rechnung tragen müssen, und solchen, die sie zusätzlich heranziehen können

Zwingend: angemessene Erwartungen der Nutzer.
Zwingend: die Art des Produkts einschließlich seiner Zweckbestimmung.
Zwingend: die einschlägigen Rechtsvorschriften der Union zur Festlegung der Lebensdauer von Produkten mit digitalen Elementen.
Fakultativ: die Unterstützungszeiträume funktionsgleicher Produkte anderer Hersteller, die Verfügbarkeit der Betriebsumgebung und die Unterstützungszeiträume integrierter Komponenten, die Kernfunktionen erbringen und von Dritten bezogen werden.
Fakultativ: die einschlägigen Leitlinien der Gruppe für administrative Zusammenarbeit (ADCO) und die Leitlinien der Kommission.

Unabhängig davon gilt: mindestens fünf Jahre. Wird davon ausgegangen, dass das Produkt weniger als fünf Jahre im Betrieb ist, muss der Unterstützungszeitraum der voraussichtlichen Nutzungsdauer entsprechen.

Warum fünf Jahre selten die richtige Antwort sind

Die Fünf-Jahres-Marke wird gern als Zielwert gelesen. Der Verordnungstext legt das Gegenteil nahe: Sie ist der Boden, und die eigentliche Vorgabe ist die tatsächliche Nutzungsdauer. Bei Hauptplatinen, Routern oder Betriebssystemen liegt die realistische Einsatzzeit deutlich darüber, ebenso wie die Erwartung der Nutzer.

Wer hier zu knapp ansetzt, riskiert nicht nur eine Diskussion mit der Marktüberwachungsbehörde, sondern liefert Wettbewerbern ein Argument.

Was in dieser Zeit zu leisten ist

Über den gesamten Zeitraum müssen Schwachstellen wirksam behandelt werden. Das heißt erkennen, dokumentieren, beheben und Nutzer informieren. Auch die Bewertung der Cybersicherheitsrisiken wird während dieser Zeit dokumentiert und bei Bedarf aktualisiert.

Das ist der Grund, warum der Unterstützungszeitraum kalkulatorisch relevant ist: Er bestimmt, wie lange ein Produkt Aufwand verursacht, nachdem der Umsatz damit gemacht wurde.

Kommunikation nach außen

Der Zeitraum ist keine interne Größe. Nutzer müssen wissen, wie lange sie mit Sicherheitsaktualisierungen rechnen können. Das Enddatum gehört nach Anhang II Nummer 7 zu den Informationen, die dem Produkt beiliegen, und ist nach Artikel 13 Absatz 19 zum Zeitpunkt des Kaufs in leicht zugänglicher Weise anzugeben, mindestens mit Monat und Jahr. Die Informationen, die der Festlegung zugrunde lagen, nehmen Hersteller nach Artikel 13 Absatz 8 in die technische Dokumentation gemäß Anhang VII auf.

Damit ist die Herleitung selbst dokumentationspflichtig: Eine Zahl ohne nachvollziehbare Begründung genügt nicht.

Fragen aus der Praxis

: Nein, sie sind die Untergrenze. Artikel 13 Absatz 8 verlangt, den Zeitraum so festzulegen, dass er die voraussichtliche Nutzungsdauer widerspiegelt, und nennt dann fünf Jahre als Mindestmaß. Bei Produkten, die erfahrungsgemäß länger im Einsatz sind, etwa Netzwerkgeräten oder Betriebssystemen, ist ein längerer Zeitraum die konsequente Folge. Wird davon ausgegangen, dass das Produkt weniger als fünf Jahre im Betrieb ist, muss der Zeitraum der voraussichtlichen Nutzungsdauer entsprechen.
: Eine einmal kommunizierte Angabe ist eine Zusage an Nutzer und Markt, auf die sich Kaufentscheidungen stützen. Sie nachträglich zu verkürzen, wäre kaum mit den Erwartungen vereinbar, an denen die Festlegung sich ausrichten soll. Umgekehrt ist eine Verlängerung jederzeit möglich. Wer unsicher ist, setzt konservativ an. Nach unten korrigieren ist der problematische Weg.
: Das Problem bleibt bei Ihnen. Der CRA nennt die Unterstützungszeiträume integrierter Komponenten, die Kernfunktionen erbringen und von Dritten bezogen werden, ausdrücklich als einen Aspekt, den Hersteller bei der Festlegung berücksichtigen können. Aus der Verantwortung nimmt er Sie damit aber nicht. Praktisch heißt das: Entweder Sie sichern die Pflege vertraglich ab, oder Sie planen den Austausch der Komponente ein.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.