Zeitraum, in dem ein Hersteller nach dem Cyber Resilience Act Sicherheitsupdates liefern muss. In der Regel mindestens fünf Jahre, es sei denn, das Produkt wird kürzer genutzt.
Der Unterstützungszeitraum ist die Zeit, in der der Hersteller eines Produkts mit digitalen Elementen Schwachstellen beheben und Sicherheitsupdates bereitstellen muss. Geregelt ist er in Art. 13 Abs. 8 des Cyber Resilience Act. Der Hersteller legt ihn so fest, dass er der erwarteten Nutzungsdauer entspricht, unter Berücksichtigung der Erwartungen der Nutzer, der Art des Produkts und seines Zwecks. Er beträgt mindestens fünf Jahre. Nur wenn das Produkt voraussichtlich weniger als fünf Jahre im Betrieb ist, muss er der erwarteten Nutzungsdauer entsprechen.
Das Enddatum, mindestens mit Monat und Jahr, muss zum Zeitpunkt des Kaufs klar und verständlich angegeben werden (Art. 13 Abs. 19). Sicherheitsupdates, die während des Zeitraums bereitgestellt wurden, müssen nach der Ausgabe mindestens zehn Jahre oder bis zum Ende des Zeitraums verfügbar bleiben, je nachdem, was länger ist (Art. 13 Abs. 9). Wo es technisch möglich ist, soll das Produkt die Nutzer am Ende des Zeitraums informieren. Die Pflichten gelten für Produkte, die ab dem 11. Dezember 2027 in Verkehr kommen. Bei früher in Verkehr gebrachten Produkten greifen sie nur nach einer wesentlichen Veränderung (Art. 69).
Für den Betrieb wirkt der Unterstützungszeitraum wie eine Garantiegrenze. Danach liefert der Hersteller keine Sicherheitsupdates mehr, die vernetzte Steuerung oder das Gateway bleibt aber meist in der Anlage. Das ist ein Kostenpunkt, weil Ersatz oder eine Absicherung nötig werden, und ein Haftungspunkt: Nach der neuen Produkthaftungsrichtlinie kann das Fehlen erforderlicher Sicherheitsupdates für einen Produktfehler sprechen. Wer nach dem Ende des Zeitraums ungepatchte Komponenten weiter betreibt, sollte das bewusst und mit einer Gefährdungsbeurteilung tun. Tragen Sie das Enddatum deshalb wie eine Prüffrist in den Kalender ein.
Worauf es ankommt
- Notieren Sie je vernetzter Komponente das Enddatum des Unterstützungszeitraums in der Anlagenakte.
- Verlangen Sie die Angabe vor dem Kauf schriftlich.
- Planen Sie Ersatz oder Absicherung, etwa Netztrennung und Zugangsbeschränkung, vor dem Enddatum ein.
- Vereinbaren Sie mit der Servicefirma, wer Updates im Unterstützungszeitraum einspielt und dokumentiert.
Nehmen wir an, ein Betreiber erhält für ein neues Fernwartungsgateway die Angabe, der Unterstützungszeitraum ende in einem bestimmten Monat. Er trägt das Datum in den Kalender ein und lässt ein Jahr vorher im Servicegespräch klären, ob ein Austausch, ein Wechsel auf ein Nachfolgemodell oder eine Abschaltung der Fernverbindung sinnvoll ist.
Im Wortlaut
„[…] beträgt der Unterstützungszeitraum mindestens fünf Jahre. Wird davon ausgegangen, dass das Produkt mit digitalen Elementen weniger als fünf Jahre im Betrieb ist, muss der Unterstützungszeitraum der voraussichtlichen Nutzungsdauer entsprechen.“
„Die Hersteller stellen sicher, dass das Enddatum des in Absatz 8 genannten Unterstützungszeitraums, zum Zeitpunkt des Kaufs in leicht zugänglicher Weise und sofern zutreffend auf dem Produkt mit digitalen Elementen, seiner Verpackung oder mit digitalen Mitteln klar und verständlich angegeben wird, wobei mindestens der Monat und das Jahr anzugeben sind.“