Der Supportzeitraum nach dem Cyber Resilience Act
Stand: 1. November 2026 · Dieser Ratgeber erklärt das Gesetz in einfachen Worten. Er ist keine Rechtsberatung.
Nach dem Cyber Resilience Act (CRA), offiziell Cyberresilienz-Verordnung, legen Sie als Hersteller einen Supportzeitraum fest, in dem Sie Schwachstellen beheben und Sicherheitsupdates liefern. Er beträgt mindestens fünf Jahre. Kürzer darf er nur sein, wenn das Produkt erwartbar kürzer genutzt wird.
Das ist Gesetz, keine Empfehlung: Artikel 13 Absatz 8 der Verordnung (EU) 2024/2847. Im amtlichen deutschen Text heißt er „Unterstützungszeitraum“. Wir schreiben hier Supportzeitraum, weil das in der Praxis üblich ist.
Wie Sie die Dauer festlegen
Der Ausgangspunkt ist die Frage, wie lange Ihr Produkt voraussichtlich in Gebrauch ist. Artikel 13 Absatz 8 nennt, was Sie dabei berücksichtigen müssen:
- vernünftige Erwartungen der Nutzer;
- die Art des Produkts und seinen Zweck;
- EU-Recht, das die Lebensdauer bestimmter Produkte regelt.
Sie dürfen außerdem einbeziehen, wie lange andere Hersteller ähnliche Produkte unterstützen, wie lange die Betriebsumgebung verfügbar ist und wie lange zugekaufte Kernbauteile unterstützt werden. Auch Leitlinien der Kommission und der Verwaltungsgruppe ADCO zählen dazu.
Fünf Jahre sind die Untergrenze, kein Richtwert. Die Erwägungsgründe der Verordnung nennen ausdrücklich Router, Modems, Switches und industrielle Steuerungen als Beispiele für Produkte, die oft deutlich länger laufen. Eine Steuerung, die zwanzig Jahre im Schaltschrank hängt, mit fünf Jahren Support zu verkaufen, ist schwer zu begründen.
Wann es kürzer sein darf
Nur wenn das Produkt erwartbar weniger als fünf Jahre genutzt wird. Dann entspricht der Supportzeitraum dieser Nutzungsdauer. Die Erwägungsgründe nennen als Beispiel eine Kontaktverfolgungs-App für eine Pandemie. Für ein vernetztes Gerät, das man an die Wand schraubt, passt diese Ausnahme selten.
Was während des Supportzeitraums gilt
| Pflicht | Wo im CRA |
|---|---|
| Schwachstellen wirksam behandeln, auch in Komponenten | Artikel 13 Absatz 8, Anhang I Teil II |
| Sicherheitsupdates unverzüglich und kostenlos bereitstellen, mit Hinweisen für Nutzer | Anhang I Teil II Nr. 2 und 8 |
| Risikobewertung aktuell halten | Artikel 13 Absatz 3 |
| Technische Dokumentation aktuell halten | Artikel 31 Absatz 2 |
| Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Vorfälle | Artikel 14 |
Die Kosten dafür sollten Sie von Anfang an in den Produktpreis rechnen. Fünf Jahre Updates heißt fünf Jahre lang jemanden, der Schwachstellenmeldungen liest, Bibliotheken aktualisiert, testet und ausliefert.
Was über den Supportzeitraum hinaus gilt
Zwei Fristen laufen länger.
Jedes Sicherheitsupdate, das Sie im Supportzeitraum veröffentlicht haben, bleibt mindestens 10 Jahre nach Veröffentlichung oder für den Rest des Supportzeitraums verfügbar, je nachdem, was länger ist (Artikel 13 Absatz 9). Der Download-Server muss also bleiben.
Technische Dokumentation und EU-Konformitätserklärung bewahren Sie mindestens 10 Jahre nach dem Inverkehrbringen oder für den Supportzeitraum auf, auch hier gilt der längere Wert (Artikel 13 Absatz 13).
Wo das Enddatum stehen muss
Kunden sollen vor dem Kauf wissen, wie lange sie Updates bekommen. Artikel 13 Absatz 19 verlangt, dass das Ende des Supportzeitraums beim Kauf klar und leicht zugänglich angegeben wird, mindestens mit Monat und Jahr. Wo es geht, auch auf dem Produkt, der Verpackung oder digital.
Konkret heißt das zum Beispiel „Sicherheitsupdates bis mindestens Dezember 2032“ auf der Produktseite im Shop und im Datenblatt. Auch in die Nutzerinformation nach Anhang II Nr. 7 gehört das Enddatum.
Wo es technisch machbar ist, zeigen Sie Nutzern außerdem einen Hinweis, wenn der Supportzeitraum endet.
In der technischen Dokumentation
Sie halten fest, welche Informationen Sie für die Festlegung des Supportzeitraums berücksichtigt haben (Artikel 13 Absatz 8 und Anhang VII Nr. 4). Eine Zahl allein genügt nicht. Die Behörde will sehen, warum Sie bei dieser Zahl gelandet sind.
Ein kurzer Absatz reicht oft: erwartete Nutzungsdauer und woher Sie das wissen, Support der wichtigsten Zulieferbauteile, etwa des Linux-Kernels oder des Funkmoduls, und was ähnliche Produkte am Markt bieten.
Ein Detail für Softwareprodukte
Bringen Sie wesentlich geänderte Folgeversionen einer Software auf den Markt, dürfen Sie Schwachstellen nur in der neuesten Version beheben. Bedingung: Nutzer älterer Versionen können kostenlos auf die neueste wechseln, ohne zusätzliche Kosten für Hardware oder Umgebung (Artikel 13 Absatz 10). Für Firmware auf fester Hardware hilft das nur, wenn die neue Version auf derselben Hardware läuft.
Was Proofsheet hier erstellt
Den Supportzeitraum legen Sie fest. Keine Software kann diese Entscheidung treffen oder Updates für Sie liefern. Die Web-App Proofsheet erstellt aber das Paket „The Paperwork“ (249 €) mit einer Vorlage, um Ihren Supportzeitraum und seine Begründung festzuhalten, dazu eine Vorlage für Ihre Richtlinie zu Updates und Schwachstellenbehandlung. Der erstellte Bericht zeigt außerdem, welche Bauteile in Ihrer Firmware veraltet sind, ein guter Startpunkt für die Frage, wie lange Sie diese Teile realistisch pflegen können.
Proofsheet liefert technische Nachweise, kein rechtliches Zertifikat. Alle Pakete und Preise finden Sie unter Preise. Passend dazu: technische Dokumentation und Pflichten für Hersteller.