Leitfaden Stand 8. Oktober 2026 Lesezeit 11 Min.

Unterstützungszeitraum: Wie lange Sicherheitsupdates Pflicht sind

Der Unterstützungszeitraum ist die Zeit, in der ein Hersteller Schwachstellen in seinem Produkt beheben muss. Fünf Jahre sind die Untergrenze, nicht der Standard. Diese Seite erklärt, wie der Zeitraum bestimmt wird, was dabei zu beachten ist und was für Maschinen gilt.

Der Cyber Resilience Act verpflichtet Hersteller, Schwachstellen in ihren Produkten während eines Unterstützungszeitraums zu beheben, der sich nach der erwarteten Nutzungsdauer richtet und mindestens fünf Jahre beträgt (Artikel 13 Absatz 8). Das Enddatum muss beim Kauf sichtbar sein, mindestens mit Monat und Jahr (Artikel 13 Absatz 19). Sicherheitsupdates sind unverzüglich und kostenlos zu liefern, möglichst getrennt von neuen Funktionen (Anhang I Teil II Nummer 2 und 8). Jedes Update bleibt nach Bereitstellung mindestens zehn Jahre abrufbar (Artikel 13 Absatz 9). Für Maschinen und Steuerungen, die 15 oder 20 Jahre laufen, sind fünf Jahre schwer zu begründen.

Das Wichtigste

Maßstab ist die voraussichtliche Nutzungsdauer. Fünf Jahre sind das Minimum, kürzer nur bei nachweislich kürzerer Nutzung (Artikel 13 Absatz 8).
Das Enddatum steht beim Kauf auf Produkt, Verpackung oder digital, mindestens Monat und Jahr (Artikel 13 Absatz 19).
Sicherheitsupdates: unverzüglich, kostenlos, möglichst getrennt von Funktionsupdates (Anhang I Teil II Nummer 2 und 8).
Jedes Sicherheitsupdate bleibt mindestens zehn Jahre verfügbar (Artikel 13 Absatz 9).
Nur die neueste Version zu pflegen ist erlaubt, wenn Nutzer kostenlos und ohne neue Hardware wechseln können (Artikel 13 Absatz 10).

Was ist der Unterstützungszeitraum?

Artikel 3 Nummer 20 definiert ihn als den Zeitraum, in dem der Hersteller die wirksame Behandlung von Schwachstellen nach Anhang I Teil II sicherstellen muss. Gemeint ist nicht Gewährleistung oder Ersatzteilversorgung, sondern die Pflicht, bekannt gewordene Sicherheitslücken zu schließen: ermitteln, beheben, Sicherheitsupdates verteilen, Nutzer informieren.

Wie lang muss der Zeitraum sein?

Die Verordnung nennt keine feste Zahl je Produktart, sondern einen Maßstab und eine Untergrenze. Artikel 13 Absatz 8 Unterabsatz 2 verlangt, den Zeitraum nach der voraussichtlichen Nutzungsdauer festzulegen. Maßgeblich sind die angemessene Erwartung der Nutzer, Art und Zweckbestimmung des Produkts und einschlägiges EU-Recht zur Lebensdauer. Dazu kommen Vergleichsprodukte, die Verfügbarkeit der Betriebsumgebung und die Supportzeiträume integrierter Kernkomponenten. Unterabsatz 3 setzt die Untergrenze: mindestens fünf Jahre. Nur wenn das Produkt erwartbar kürzer genutzt wird, entspricht der Zeitraum dieser kürzeren Nutzungsdauer.

Erwägungsgrund 60 macht die Richtung deutlich. Länger als fünf Jahre sollte der Zeitraum etwa bei Hauptplatinen, Mikroprozessoren, Routern, Modems, Switches und Betriebssystemen sein. Industrielle Steuerungssysteme werden laut Erwägungsgrund "häufig über deutlich längere Zeiträume" genutzt. Kürzer darf er nur bei nachweisbar kürzerer Nutzung sein; als Beispiele nennt der Erwägungsgrund eine Kontaktnachverfolgungs-App während einer Pandemie und Abonnement-Software, die nach Ende des Abonnements nicht mehr nutzbar ist.

Die Herleitung gehört in die technische Dokumentation (Artikel 13 Absatz 8 Unterabsatz 5, Anhang VII Nummer 4); Behörden können sie anfordern (Erwägungsgrund 59). Wer fünf Jahre pauschal ansetzt, hat an dieser Stelle eine Lücke.

Welche Zeiträume sind plausibel?

Die Tabelle ist eine Orientierung für die eigene Herleitung, keine Rechtsaussage. Verbindliche Mindestzeiträume je Kategorie kann die Kommission per delegiertem Rechtsakt festlegen (Artikel 13 Absatz 8 Unterabsatz 4); bisher hat sie das nicht getan.

Produktart	Erwartete Nutzungsdauer	Sinnvoller Zeitraum (Orientierung)
Steuerung einer Verpackungsmaschine	15 bis 20 Jahre	Deutlich über fünf Jahre, realistisch 10 Jahre und mehr; Supportzeiten von Prozessor und Betriebssystem einbeziehen
Router oder Switch für Unternehmensnetze	Über fünf Jahre	Länger als fünf Jahre (Erwägungsgrund 60 nennt die Produktart ausdrücklich)
Smarte Steckdose für Verbraucher	Fünf bis sieben Jahre	Fünf bis sieben Jahre, gerechnet ab dem Inverkehrbringen der Geräte, nicht ab dem Kauf durch den Endkunden (Beispiel in der FAQ der Kommission, Frage 4.5.3)
Desktop-Software mit jährlichen Hauptversionen	Mehrere Jahre, mit Versionswechsel	Mindestens fünf Jahre; Pflege nur der neuesten Version möglich, wenn der Wechsel kostenlos ist (Artikel 13 Absatz 10)
Abonnement-Software, nach Abo-Ende nicht nutzbar	Laufzeit des Abonnements	Kürzer als fünf Jahre möglich, wenn die kürzere Nutzung nachweisbar ist (Erwägungsgrund 60)

Was muss beim Kauf sichtbar sein?

Artikel 13 Absatz 19 verlangt, dass das Enddatum zum Zeitpunkt des Kaufs leicht zugänglich ist, mindestens mit Monat und Jahr, auf dem Produkt, der Verpackung oder digital. Wo technisch machbar, soll der Nutzer beim Erreichen des Endes benachrichtigt werden. Anhang II Nummer 7 verlangt die Angabe zusätzlich in den Nutzerinformationen. Ein Enddatum nur im Vertrag reicht nicht.

Ab wann der Zeitraum läuft, sagt die Verordnung nicht ausdrücklich. "Zum Zeitpunkt des Kaufs" in Artikel 13 Absatz 19 regelt, wann das Enddatum sichtbar sein muss, nicht, wann der Zeitraum beginnt. Die Kommission rechnet ab dem Inverkehrbringen. In ihrer FAQ (Frage 4.5.3) bringt ein Hersteller im Januar 2028 10.000 baugleiche Geräte mit fünf Jahren Unterstützung in Verkehr, also bis Januar 2033; ein Händler darf übrig gebliebene Geräte auch danach noch verkaufen. Ein spät verkauftes Gerät erhält nach diesem Beispiel also nicht die volle Spanne ab seinem Kauf. Bringt der Hersteller 2030 weitere 5.000 Geräte desselben Modells in Verkehr, muss er für diese einen eigenen Zeitraum nach Artikel 13 Absatz 8 festlegen. Auch das Smartphone-Beispiel der Leitlinie rechnet ab dem Tag des Inverkehrbringens (Beispiel 52). Bei Software gelten nach der Leitlinie alle Kopien einer Version als gleichzeitig in Verkehr gebracht (Randnummer 14); das Enddatum hängt dann an der Version, nicht am einzelnen Download. Leitlinie und FAQ sind rechtlich unverbindlich.

Was gilt für Sicherheitsupdates?

Vier Regeln aus Artikel 13 und Anhang I Teil II:

Unverzüglich und kostenlos. Anhang I Teil II Nummer 8 verlangt, Sicherheitsupdates ohne Verzögerung und ohne Entgelt zu verteilen, mit Hinweisen für die Nutzer. Ausnahme nur für maßgeschneiderte Produkte für gewerbliche Nutzer, wenn es so vereinbart ist (Erwägungsgrund 64). Ein Wartungsvertrag als Bedingung für Sicherheitsupdates ist damit nicht vereinbar.
Getrennt von Funktionsupdates. Anhang I Teil II Nummer 2 verlangt, Sicherheitsupdates, soweit technisch machbar, getrennt von Funktionsaktualisierungen auszuliefern.
Zehn Jahre verfügbar. Nach Artikel 13 Absatz 9 bleibt jedes Sicherheitsupdate nach Bereitstellung mindestens zehn Jahre oder bis zum Ende des Unterstützungszeitraums abrufbar, je nachdem, was länger ist.
Sicher verteilt. Anhang I Teil II Nummer 7 verlangt Mechanismen für die sichere Verteilung, Anhang I Teil I Nummer 2 Buchstabe c eine einfache Installation, gegebenenfalls automatisch mit Widerspruchsmöglichkeit. Erwägungsgrund 56 nimmt Komponenten zur Integration und professionelle Netze davon aus, insbesondere kritische und industrielle Umgebungen.

Muss ich alte Versionen weiter pflegen?

Nicht in jedem Fall. Artikel 13 Absatz 10 erlaubt, die Schwachstellenbehebung auf die neueste wesentlich geänderte Version zu beschränken, wenn Nutzer kostenlos und ohne zusätzliche Kosten für ihre Hardware- oder Softwareumgebung auf diese Version wechseln können. Erwägungsgrund 40 ergänzt: Läuft die neueste Version auf der vorhandenen Hardware nicht mehr, muss die letzte kompatible Version weiter versorgt werden. Was als Zusatzkosten gilt, ist laut Kommissionsleitlinie (Randnummer 130) neue Hardware, der Ersatz von Infrastruktur oder eine grundlegende Änderung der Betriebsumgebung; normaler Test- und Konfigurationsaufwand beim Kunden zählt nicht dazu.

Historische Versionen dürfen in öffentlichen Archiven bleiben, wenn der Hersteller klar auf die Risiken hinweist (Artikel 13 Absatz 11). Was eine neue Version für den Zeitraum bedeutet, lesen Sie unter Wesentliche Änderung. Kurz: Eine wesentliche Änderung startet den Zeitraum laut Leitlinie nicht automatisch neu. Der Hersteller bewertet ihn neu und berechnet ihn nur dann neu, wenn sich die Faktoren der erwarteten Nutzungsdauer ändern (Randnummern 133 bis 135). Bei Software verlangt die Leitlinie für jede wesentlich geänderte Version einen eigenen erklärten Zeitraum (Randnummer 131); bleiben die Faktoren gleich, bleibt der ursprüngliche Zeitraum bestehen, auch wenn weniger als fünf Jahre übrig sind (Randnummer 128).

Was das praktisch heißt: Maschinenbau und Verbraucherprodukte

Ein Hersteller von Verpackungsmaschinen liefert eine Steuerung, die beim Kunden 15 bis 20 Jahre läuft. Erwägungsgrund 60 nennt industrielle Steuerungen ausdrücklich als Fall für längere Zeiträume. Fünf Jahre wären angreifbar; realistisch sind zehn Jahre und mehr, mit dokumentierter Herleitung und Blick auf die Supportzeiten von Prozessor und Betriebssystem. Automatische Updates sind in dieser Umgebung nicht erwartbar (Erwägungsgrund 56), also braucht es eine sichere manuelle Verteilung und Sicherheitshinweise, etwa im CSAF-Format (ein maschinenlesbares Format für Sicherheitshinweise). Das Enddatum gehört ins Datenblatt und in die Dokumentation. Mehr dazu unter CRA im Maschinen- und Anlagenbau.

Ein Hersteller smarter Steckdosen rechnet mit fünf bis sieben Jahren Nutzung: mindestens fünf Jahre ab dem Inverkehrbringen der Geräte, für später ausgelieferte Produktionsmengen ein eigenes Enddatum, automatische Updates als Standard mit Widerspruchsmöglichkeit, Enddatum auf der Verpackung oder im App-Eintrag.

Für beide hat der Zeitraum Folgen über die Entwicklung hinaus. Verträge: Liefer- und Wartungsverträge müssen den Zeitraum und die Kostenfreiheit der Sicherheitsupdates abbilden; Zulieferverträge müssen sichern, dass Komponenten mindestens so lange versorgt werden wie das Produkt. Ersatzteile und Abkündigung: Jede neu in Verkehr gebrachte Menge eines Modells braucht einen eigenen Zeitraum (FAQ der Kommission, Frage 4.5.3); eine Abkündigung muss deshalb den Zeitraum der zuletzt ausgelieferten Geräte einplanen. Geräte, die schon beim Händler liegen, darf dieser auch nach dem Enddatum verkaufen. Meldepflicht: Während des gesamten Zeitraums gilt Artikel 14, auch im zwölften Jahr einer Steuerung. CRA Response Center liest dafür die Meldeadresse mit und benachrichtigt die zuständigen Personen, unabhängig davon, wie alt das Produkt ist.

Typische Fehler

Fünf Jahre pauschal deklarieren. Ohne Herleitung aus der Nutzungsdauer, bei Industrieprodukten unplausibel.
Enddatum nur im Vertrag. Artikel 13 Absatz 19 verlangt es beim Kauf leicht zugänglich.
Sicherheitsfix nur im nächsten Feature-Release. Anhang I Teil II Nummer 2 verlangt die Trennung, soweit technisch machbar.
Wartungsvertrag als Bedingung. Sicherheitsupdates sind kostenlos (Anhang I Teil II Nummer 8).
Alte Updates löschen. Zehn Jahre Verfügbarkeit nach Artikel 13 Absatz 9.
Komponenten ohne passende Supportzusage einkaufen. Läuft der Support des Betriebssystems früher aus, trägt der Hersteller das Risiko für die restlichen Jahre.

Was bleibt offen?

Die delegierten Rechtsakte zu Mindestzeiträumen je Produktkategorie (Artikel 13 Absatz 8 Unterabsatz 4) sind nicht erlassen. Ab wann der Zeitraum läuft, sagt die Verordnung selbst nicht ausdrücklich; Leitlinie (Beispiel 52) und FAQ der Kommission (Frage 4.5.3) rechnen ab dem Inverkehrbringen, beide sind unverbindlich. Wie sich Randnummer 128 (ursprünglicher Zeitraum bleibt bei unveränderten Faktoren) und Randnummer 131 (eigener erklärter Zeitraum je wesentlich geänderter Softwareversion) zueinander verhalten, lässt die Leitlinie offen. Das Verhältnis zum Recht auf Reparatur (Richtlinie (EU) 2024/1799) und zu Ökodesign-Vorgaben ist nicht geklärt.

Kostenlose VorlagenCRA-Meldepflicht-KitMelde-Playbook, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Rufkette und Fristenrechner. Sechs Word-Vorlagen, zwei Excel-Mappen und ein Handbuch, kostenlos per E-Mail.Kit anfordern

Häufige Fragen

Wie lange muss ich Sicherheitsupdates liefern?

Mindestens fünf Jahre, länger bei längerer erwarteter Nutzungsdauer (Artikel 13 Absatz 8). Bei Maschinen und Steuerungen sind fünf Jahre selten zu begründen.

Darf ich weniger als fünf Jahre angeben?

Nur, wenn das Produkt nachweislich kürzer genutzt wird (Artikel 13 Absatz 8 Unterabsatz 3), etwa Abonnement-Software, die nach Abo-Ende nicht mehr läuft (Erwägungsgrund 60).

Wo muss das Enddatum stehen?

Beim Kauf leicht zugänglich, mindestens Monat und Jahr, auf dem Produkt, der Verpackung oder digital (Artikel 13 Absatz 19), zusätzlich in den Nutzerinformationen (Anhang II Nummer 7).

Müssen Sicherheitsupdates kostenlos sein?

Ja (Anhang I Teil II Nummer 8). Eine Ausnahme gilt nur für maßgeschneiderte Produkte für gewerbliche Nutzer, wenn es vereinbart ist.

Was bedeutet "zehn Jahre verfügbar"?

Jedes bereitgestellte Sicherheitsupdate muss nach Bereitstellung zehn Jahre oder bis zum Ende des Unterstützungszeitraums abrufbar bleiben, je nachdem, was länger ist (Artikel 13 Absatz 9).

Muss ich alte Versionen pflegen?

Nicht, wenn Nutzer kostenlos und ohne neue Hardware auf die neueste Version wechseln können (Artikel 13 Absatz 10). Läuft die neueste Version auf der vorhandenen Hardware nicht, bleibt die letzte kompatible Version zu versorgen (Erwägungsgrund 40).

Läuft der Zeitraum ab dem Kauf des Kunden?

Nach Lesart der Kommission nicht. Ihre FAQ (Frage 4.5.3) rechnet ab dem Inverkehrbringen der Geräte, und ein Händler darf Restbestände auch nach dem Enddatum verkaufen. Artikel 13 Absatz 19 verlangt nur, dass das Enddatum beim Kauf sichtbar ist.

Startet der Zeitraum bei einer neuen Version neu?

Nicht automatisch. Eine wesentliche Änderung verlangt laut Kommissionsleitlinie eine Neubewertung; neu berechnet wird der Zeitraum, wenn sich die Faktoren der erwarteten Nutzungsdauer ändern (Randnummern 133 bis 135). Bei Software braucht jede wesentlich geänderte Version einen eigenen erklärten Zeitraum (Randnummer 131).

Weiterlesen

Quellen

Verordnung (EU) 2024/2847 (Cyber Resilience Act), Artikel 3 Nummer 20, Artikel 13 Absatz 8 bis 11 und 19, Anhang I Teil I Nummer 2 Buchstabe c, Teil II Nummer 2, 7 und 8, Anhang II Nummer 7, Anhang VII Nummer 4, Erwägungsgründe 40, 56, 59, 60, 61 und 64, Amt für Veröffentlichungen der EU, 20. November 2024, Artikel 13 Absatz 8 in der berichtigten Fassung vom 2. Juli 2025.
Leitlinie der Kommission zur Anwendung des Cyber Resilience Act, Anhang zur Mitteilung C(2026) 5252, Randnummern 14 und 125 bis 135, Beispiel 52, Europäische Kommission, 27. Juli 2026.
FAQs on the Cyber Resilience Act, Version 1.4, Frage 4.5.3, Kommissionsdienststellen, 4. September 2026.
The new CRA guidance in practice, Schutzwerk, 2026.
Cyber Resilience Act guidance: products, obligations, Gamingtechlaw, 5. August 2026.
EU Cyber Resilience Act: New Guidance Clarifies Scope, Orrick, September 2026.
CRA Commission guidance, Noze, 28. Juli 2026.