Unterstützungszeitraum
Der Unterstützungszeitraum legt fest, wie lange ein Hersteller Sicherheitslücken in einem Produkt schließen muss. Fünf Jahre sind die Untergrenze, nicht der Standard.
Unterstützungszeitraum ist der Zeitraum, in dem der Hersteller die wirksame Behandlung von Schwachstellen in einem Produkt sicherstellen muss. Er richtet sich nach der erwarteten Nutzungsdauer und beträgt mindestens fünf Jahre; kürzer darf er nur sein, wenn das Produkt voraussichtlich kürzer genutzt wird.
Definition in der Verordnung
Artikel 3 Nummer 20 der Verordnung (EU) 2024/2847 definiert den Unterstützungszeitraum als Zeitraum, in dem der Hersteller die Schwachstellenbehandlung nach Anhang I Teil II sicherstellen muss. Artikel 13 Absatz 8 regelt die Festlegung: Maßgeblich ist die voraussichtliche Nutzungsdauer, bestimmt nach der angemessenen Erwartung der Nutzer, der Art des Produkts und dem Unionsrecht zur Lebensdauer. Der Zeitraum beträgt mindestens fünf Jahre; nur wenn das Produkt voraussichtlich weniger als fünf Jahre in Betrieb ist, darf er kürzer sein und muss dann der voraussichtlichen Nutzungsdauer entsprechen. Die Kriterien gehören in die technische Dokumentation. Artikel 13 Absatz 19 verlangt, das Enddatum mit mindestens Monat und Jahr zum Zeitpunkt des Kaufs leicht zugänglich anzugeben. Artikel 13 Absatz 9 ergänzt, dass jedes Sicherheitsupdate nach Bereitstellung mindestens zehn Jahre oder bis zum Ende des Unterstützungszeitraums verfügbar bleiben muss, je nachdem, was länger ist.
Was das für Hersteller bedeutet
Für Maschinensteuerungen, die 15 bis 20 Jahre laufen, wären fünf Jahre kaum haltbar; Erwägungsgrund 60 nennt industrielle Steuerungssysteme ausdrücklich als Fall für längere Zeiträume. Realistisch sind zehn Jahre und mehr, mit dokumentierter Herleitung und Blick auf die Supportzeiten eingebauter Komponenten wie Prozessor und Betriebssystem. Das Enddatum gehört ins Datenblatt, auf die Verpackung oder in die Produktinformation, nicht nur in den Vertrag. Gerechnet wird nach Lesart der Kommission ab dem Inverkehrbringen, nicht ab dem Kauf durch den Kunden; für später in Verkehr gebrachte Geräte desselben Modells legt der Hersteller einen eigenen Zeitraum fest (FAQ der Kommission, Frage 4.5.3). Eine wesentliche Änderung verlangt laut Leitlinie der Kommission eine Neubewertung, startet den Zeitraum aber nicht automatisch neu (Randnummer 133). Die Pflicht gilt ab dem 11. Dezember 2027 für neu in Verkehr gebrachte Produkte.
Kostenlose VorlagenCRA-Meldepflicht-KitMelde-Playbook, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Rufkette und Fristenrechner. Sechs Word-Vorlagen, zwei Excel-Mappen und ein Handbuch, kostenlos per E-Mail.Kit anfordernVerwandte Begriffe
- Sicherheitsupdate
- Wesentliche Änderung
- Informationen und Anleitung für Nutzer (Anhang II)
- Technische Dokumentation