Wesentliche Änderung
Nicht jedes Update macht aus einem Produkt ein neues. Die Verordnung zieht die Grenze bei Änderungen, die die Sicherheitsanforderungen oder den Zweck des Produkts berühren. Sicherheitsfixes bleiben außen vor.
Wesentliche Änderung ist eine Änderung an einem Produkt nach dem Inverkehrbringen, die sich auf die Erfüllung der Cybersicherheitsanforderungen auswirkt oder die Zweckbestimmung ändert. Die geänderte Version gilt dann als neu in Verkehr gebracht.
Definition in der Verordnung
Artikel 3 Nummer 30 der Verordnung (EU) 2024/2847 definiert die wesentliche Änderung als Änderung nach dem Inverkehrbringen, die sich auf die Konformität mit Anhang I Teil I auswirkt oder zu einer Änderung der Zweckbestimmung führt, für die das Produkt geprüft wurde. Erwägungsgrund 39 konkretisiert: Eine Sicherheitsaktualisierung, die das Risiko senkt und den Zweck nicht ändert, ist keine wesentliche Änderung. Geringfügige Funktionsupdates wie neue Sprachen oder Piktogramme in der Regel auch nicht. Ein Funktionsupdate, das Funktionen, Art oder Leistung ändert, ist wesentlich, weil neue Funktionen die Angriffsfläche vergrößern. Nach Erwägungsgrund 41 ist die Konformität dann zu überprüfen, gegebenenfalls mit neuer Konformitätsbewertung. Nach Artikel 69 Absatz 2 fallen Bestandsprodukte erst bei einer wesentlichen Änderung nach dem 11. Dezember 2027 unter die Anforderungen.
Was das für Hersteller bedeutet
Jedes Release braucht eine kurze Bewertung: Führt das Update neue Schnittstellen, Verbindungen oder Abhängigkeiten ein? Ändert es, wofür das Produkt gedacht ist? Beispiele aus Leitlinie und Fachquellen für wesentlich: eine neue Fernverbindung, ein System, das statt Daten anzuzeigen nun Maschinen steuert, geänderte Verschlüsselungsprotokolle. Versionsnummern sind unerheblich; eine wesentliche Änderung kann auch in einem Minor-Release stecken. Die Folgen: Die neue Version gilt als neu in Verkehr gebracht, nur die betroffenen Aspekte sind neu zu bewerten, und sie bekommt einen eigenen Unterstützungszeitraum, der neu festzulegen ist, aber nicht automatisch neu startet. Wer ein fremdes Produkt wesentlich ändert, wird nach Artikel 21 oder 22 selbst Hersteller.
Verwandte Begriffe
- Inverkehrbringen
- Rollenwechsel
- Sicherheitsupdate
- Unterstützungszeitraum
- Bestandsprodukte (Übergangsbestimmung)