Unterstützungszeitraum nach der EU-Cyberresilienz-Verordnung
Sytance · Aktualisiert
Der CRA-Supportzeitraum ist der Zeitraum, in dem der Hersteller die wirksame Behandlung von Schwachstellen für ein Produkt mit digitalen Elementen gewährleisten muss. Er ist keine Gewährleistungsfrist, sondern der Zeitraum für die Cybersicherheitswartung im Rahmen der Schwachstellenbehandlung nach Anhang I Teil II.
Bedeutung des Supportzeitraums
‚Supportzeitraum‘ den Zeitraum, in dem ein Hersteller verpflichtet ist, sicherzustellen, dass Schwachstellen eines Produkts mit digitalen Elementen wirksam und im Einklang mit den in Anhang I Teil II festgelegten grundlegenden Cybersicherheitsanforderungen behandelt werden;
Verordnung (EU) 2024/2847, Artikel 3 Nummer 20
Die Definition bezieht sich auf die Schwachstellenbehandlung. Während des Supportzeitraums muss der Hersteller sicherstellen, dass die Prozesse zur Entgegennahme, Bewertung, Behebung, Offenlegung und Kommunikation von Schwachstellen für das Produkt und seine Komponenten funktionieren.
Produkt und Komponenten
Der Zeitraum umfasst Schwachstellen im Produkt und in den darin enthaltenen Komponenten.
Sicherheitsupdates
Behebungen und Gegenmaßnahmen sind Teil des Schwachstellenbehandlungsprozesses; der Support geht jedoch über die Veröffentlichung von Patches hinaus.
Enddatum
Das Enddatum des Supportzeitraums muss für Nutzer sichtbar sein, mindestens mit Monat und Jahr.
Dauer des Supports
Unbeschadet des Unterabsatzes 2 beträgt der Supportzeitraum mindestens fünf Jahre. Wird davon ausgegangen, dass das Produkt mit digitalen Elementen weniger als fünf Jahre lang genutzt wird, entspricht der Supportzeitraum der erwarteten Nutzungsdauer.
Verordnung (EU) 2024/2847, Artikel 13 Absatz 8 Unterabsatz 3
Fünf Jahre sind ein Mindestzeitraum, keine Höchstgrenze. Artikel 13 Absatz 8 verlangt, dass der Zeitraum der erwarteten Nutzungsdauer des Produkts entspricht. Ein Produkt, das üblicherweise länger als fünf Jahre verwendet wird, kann einen längeren Supportzeitraum erfordern.
Die Verordnung verlangt vom Hersteller, Folgendes zu berücksichtigen:
- die berechtigten Erwartungen der Nutzer an diese Art von Produkt;
- die Art und den bestimmungsgemäßen Zweck des Produkts;
- einschlägige Rechtsvorschriften der Union, die die Lebensdauer des Produkts festlegen.
Nach Artikel 13 Absatz 8 darf der Hersteller außerdem die folgenden Faktoren berücksichtigen; keiner davon ist für sich genommen verpflichtend:
- den Supportzeitraum ähnlicher Produkte;
- die erwartete Verfügbarkeit der Betriebsumgebung;
- die Supportzeiträume integrierter Komponenten von Drittanbietern, die Kernfunktionen bereitstellen;
- einschlägige Leitlinien der ADCO und der Kommission.
Diese Faktoren sind verhältnismäßig zu berücksichtigen. Der Hersteller muss die zur Festlegung des Supportzeitraums herangezogenen Informationen in die technische Dokumentation aufnehmen.
Unter welchen Bedingungen der Support kürzer sein darf
Ein Supportzeitraum von weniger als fünf Jahren ist nur zulässig, wenn das Produkt voraussichtlich weniger als fünf Jahre lang genutzt wird. In diesem Fall muss der Supportzeitraum der erwarteten Nutzungsdauer entsprechen.
Die FAQ der Kommission nennt als Beispiele eine zeitlich begrenzte Notfall-App oder bestimmte Abonnementsoftware, die nach Ablauf des Abonnements nicht mehr verfügbar ist. Ein kurzer kommerzieller Supportplan reicht für sich genommen nicht aus.
Eine kürzere erwartete Nutzung kann den Support verkürzen
Der Supportzeitraum richtet sich nach dem Produkt und seiner erwarteten Nutzung, nicht nur nach dem Supportpaket, das der Hersteller bevorzugt verkaufen möchte.
Schwachstellenbehandlung während des Supports
Anhang I Teil II erläutert die Arbeiten, die während des Supportzeitraums fortgesetzt werden. Die Liste beschreibt Prozesse. Sie gilt nach dem Inverkehrbringen des Produkts und solange der Supportzeitraum läuft.
- Schwachstellen und Komponenten identifizieren und dokumentieren, einschließlich mindestens der Abhängigkeiten der obersten Ebene in der SBOM;
- Schwachstellen im Verhältnis zu den Risiken, die sie für das Produkt verursachen, behandeln und beheben;
- wirksame und regelmäßige Sicherheitsprüfungen und -bewertungen durchführen;
- eine koordinierte Richtlinie zur Offenlegung von Schwachstellen und eine Kontaktadresse für Meldungen aufrechterhalten;
- Updates sicher verteilen, damit Schwachstellen rechtzeitig behoben oder verringert werden können;
- Sicherheitsupdates unverzüglich und in der Regel kostenlos mit Hinweisen für Nutzer bereitstellen.
Sicherheitsupdates bleiben verfügbar
Die Hersteller stellen sicher, dass jedes Sicherheitsupdate gemäß Anhang I Teil II Nummer 8, das den Nutzern während des Supportzeitraums bereitgestellt wurde, nach seiner Veröffentlichung mindestens zehn Jahre lang oder für den Rest des Supportzeitraums – je nachdem, welcher Zeitraum länger ist – verfügbar bleibt.
Verordnung (EU) 2024/2847, Artikel 13 Absatz 9
Diese Regel gilt für Sicherheitsupdates, die während des Supportzeitraums bereitgestellt wurden. Sie sorgt dafür, dass veröffentlichte Fehlerbehebungen weiterhin erreichbar sind. Sie macht nicht jeden Supportzeitraum zu einem zehnjährigen Supportzeitraum.
Artikel 13 Absatz 10 erlaubt dem Hersteller, bestimmte Behebungsarbeiten auf die neueste wesentlich veränderte Softwareversion zu konzentrieren, aber nur, wenn frühere Nutzer kostenlos und ohne zusätzliche Anpassungskosten auf diese neueste Version zugreifen können.
Artikel 13 Absatz 11 erlaubt öffentliche Softwarearchive, die den Zugang zu historischen Versionen verbessern. Nutzer müssen eindeutig über die Risiken der Verwendung nicht mehr unterstützter Software informiert werden.
Nach der FAQ der Kommission können Exemplare, die bereits auf dem Unionsmarkt in Verkehr gebracht wurden, auch nach Ablauf ihres Supportzeitraums weiterhin auf dem Markt bereitgestellt werden. Neu in Verkehr gebrachte Exemplare benötigen einen eigenen Supportzeitraum.