Leitfaden Stand 7. Oktober 2026 Lesezeit 9 Min.

Unterstützungszeitraum: Wie lange Sicherheitsupdates Pflicht sind

Der Unterstützungszeitraum ist die Zeit, in der ein Hersteller Schwachstellen in seinem Produkt beheben muss. Fünf Jahre sind die Untergrenze, nicht der Standard. Diese Seite erklärt, wie der Zeitraum bestimmt wird, was dabei zu beachten ist und was für Maschinen gilt.

Der Cyber Resilience Act verpflichtet Hersteller, Schwachstellen in ihren Produkten während eines Unterstützungszeitraums zu beheben, der sich nach der erwarteten Nutzungsdauer richtet und mindestens fünf Jahre beträgt (Artikel 13 Absatz 8). Das Enddatum muss beim Kauf sichtbar sein, mindestens mit Monat und Jahr (Artikel 13 Absatz 19). Sicherheitsupdates sind unverzüglich und kostenlos zu liefern, möglichst getrennt von neuen Funktionen (Anhang I Teil II Nummer 2 und 8). Jedes Update bleibt nach Bereitstellung mindestens zehn Jahre abrufbar (Artikel 13 Absatz 9). Für Maschinen und Steuerungen, die 15 oder 20 Jahre laufen, sind fünf Jahre schwer zu begründen.

Das Wichtigste

Maßstab ist die voraussichtliche Nutzungsdauer. Fünf Jahre sind das Minimum, kürzer nur bei nachweislich kürzerer Nutzung (Artikel 13 Absatz 8).
Das Enddatum steht beim Kauf auf Produkt, Verpackung oder digital, mindestens Monat und Jahr (Artikel 13 Absatz 19).
Sicherheitsupdates: unverzüglich, kostenlos, möglichst getrennt von Funktionsupdates (Anhang I Teil II Nummer 2 und 8).
Jedes Sicherheitsupdate bleibt mindestens zehn Jahre verfügbar (Artikel 13 Absatz 9).
Nur die neueste Version zu pflegen ist erlaubt, wenn Nutzer kostenlos und ohne neue Hardware wechseln können (Artikel 13 Absatz 10).

Was ist der Unterstützungszeitraum?

Artikel 3 Nummer 20 definiert ihn als den Zeitraum, in dem der Hersteller die wirksame Behandlung von Schwachstellen nach Anhang I Teil II sicherstellen muss. Gemeint ist nicht Gewährleistung oder Ersatzteilversorgung, sondern die Pflicht, bekannt gewordene Sicherheitslücken zu schließen: ermitteln, beheben, Sicherheitsupdates verteilen, Nutzer informieren.

Wie lang muss der Zeitraum sein?

Die Verordnung nennt keine feste Zahl je Produktart, sondern einen Maßstab und eine Untergrenze. Artikel 13 Absatz 8 Unterabsatz 2 verlangt, den Zeitraum nach der voraussichtlichen Nutzungsdauer festzulegen. Maßgeblich sind die angemessene Erwartung der Nutzer, Art und Zweckbestimmung des Produkts und einschlägiges EU-Recht zur Lebensdauer. Dazu kommen Vergleichsprodukte, die Verfügbarkeit der Betriebsumgebung und die Supportzeiträume integrierter Kernkomponenten. Unterabsatz 3 setzt die Untergrenze: mindestens fünf Jahre. Nur wenn das Produkt erwartbar kürzer genutzt wird, entspricht der Zeitraum dieser kürzeren Nutzungsdauer.

Erwägungsgrund 60 macht die Richtung deutlich. Länger als fünf Jahre sollte der Zeitraum etwa bei Hauptplatinen, Mikroprozessoren, Routern, Modems, Switches und Betriebssystemen sein. Industrielle Steuerungssysteme werden laut Erwägungsgrund "häufig über deutlich längere Zeiträume" genutzt. Kürzer darf er nur bei nachweisbar kürzerer Nutzung sein; als Beispiele nennt der Erwägungsgrund eine Kontaktnachverfolgungs-App während einer Pandemie und Abonnement-Software, die nach Ende des Abonnements nicht mehr nutzbar ist.

Die Herleitung gehört in die technische Dokumentation (Artikel 13 Absatz 8 Unterabsatz 5, Anhang VII Nummer 4); Behörden können sie anfordern (Erwägungsgrund 59). Wer fünf Jahre pauschal ansetzt, hat an dieser Stelle eine Lücke.

Welche Zeiträume sind plausibel?

Die Tabelle ist eine Orientierung für die eigene Herleitung, keine Rechtsaussage. Verbindliche Mindestzeiträume je Kategorie kann die Kommission per delegiertem Rechtsakt festlegen (Artikel 13 Absatz 8 Unterabsatz 4); bisher hat sie das nicht getan.

Produktart	Erwartete Nutzungsdauer	Sinnvoller Zeitraum (Orientierung)
Steuerung einer Verpackungsmaschine	15 bis 20 Jahre	Deutlich über fünf Jahre, realistisch 10 Jahre und mehr; Supportzeiten von Prozessor und Betriebssystem einbeziehen
Router oder Switch für Unternehmensnetze	Über fünf Jahre	Länger als fünf Jahre (Erwägungsgrund 60 nennt die Produktart ausdrücklich)
Smarte Steckdose für Verbraucher	Fünf bis sieben Jahre	Fünf bis sieben Jahre; ob die Spanne je Exemplar ab Kauf läuft, ist nur über Sekundärquellen belegt
Desktop-Software mit jährlichen Hauptversionen	Mehrere Jahre, mit Versionswechsel	Mindestens fünf Jahre; Pflege nur der neuesten Version möglich, wenn der Wechsel kostenlos ist (Artikel 13 Absatz 10)
Abonnement-Software, nach Abo-Ende nicht nutzbar	Laufzeit des Abonnements	Kürzer als fünf Jahre möglich, wenn die kürzere Nutzung nachweisbar ist (Erwägungsgrund 60)

Was muss beim Kauf sichtbar sein?

Artikel 13 Absatz 19 verlangt, dass das Enddatum zum Zeitpunkt des Kaufs leicht zugänglich ist, mindestens mit Monat und Jahr, auf dem Produkt, der Verpackung oder digital. Wo technisch machbar, soll der Nutzer beim Erreichen des Endes benachrichtigt werden. Anhang II Nummer 7 verlangt die Angabe zusätzlich in den Nutzerinformationen. Ein Enddatum nur im Vertrag reicht nicht.

Offen ist, wie bei Exemplaren zu zählen ist, die spät im Produktzyklus verkauft werden. Die Formulierung "zum Zeitpunkt des Kaufs" spricht dafür, dass jedes Exemplar ab seinem Kauf die volle Spanne erhält. Sekundärquellen zur Kommissionsleitlinie lesen es so; der Originaltext konnte für diese Seite nicht geprüft werden.

Was gilt für Sicherheitsupdates?

Vier Regeln aus Artikel 13 und Anhang I Teil II:

Unverzüglich und kostenlos. Anhang I Teil II Nummer 8 verlangt, Sicherheitsupdates ohne Verzögerung und ohne Entgelt zu verteilen, mit Hinweisen für die Nutzer. Ausnahme nur für maßgeschneiderte Produkte für gewerbliche Nutzer, wenn es so vereinbart ist (Erwägungsgrund 64). Ein Wartungsvertrag als Bedingung für Sicherheitsupdates ist damit nicht vereinbar.
Getrennt von Funktionsupdates. Anhang I Teil II Nummer 2 verlangt, Sicherheitsupdates, soweit technisch machbar, getrennt von Funktionsaktualisierungen auszuliefern.
Zehn Jahre verfügbar. Nach Artikel 13 Absatz 9 bleibt jedes Sicherheitsupdate nach Bereitstellung mindestens zehn Jahre oder bis zum Ende des Unterstützungszeitraums abrufbar, je nachdem, was länger ist.
Sicher verteilt. Anhang I Teil II Nummer 7 verlangt Mechanismen für die sichere Verteilung, Anhang I Teil I Nummer 2 Buchstabe c eine einfache Installation, gegebenenfalls automatisch mit Widerspruchsmöglichkeit. Erwägungsgrund 56 nimmt Komponenten zur Integration und professionelle Netze davon aus, insbesondere kritische und industrielle Umgebungen.

Muss ich alte Versionen weiter pflegen?

Nicht in jedem Fall. Artikel 13 Absatz 10 erlaubt, die Schwachstellenbehebung auf die neueste wesentlich geänderte Version zu beschränken, wenn Nutzer kostenlos und ohne zusätzliche Kosten für ihre Hardware- oder Softwareumgebung auf diese Version wechseln können. Erwägungsgrund 40 ergänzt: Läuft die neueste Version auf der vorhandenen Hardware nicht mehr, muss die letzte kompatible Version weiter versorgt werden. Was als Zusatzkosten gilt, ist laut Kommissionsleitlinie (Sekundärquelle) neue Hardware, der Ersatz von Infrastruktur oder eine grundlegende Änderung der Betriebsumgebung; normaler Test- und Konfigurationsaufwand beim Kunden zählt nicht dazu.

Historische Versionen dürfen in öffentlichen Archiven bleiben, wenn der Hersteller klar auf die Risiken hinweist (Artikel 13 Absatz 11). Was eine neue Version für den Zeitraum bedeutet, lesen Sie unter Wesentliche Änderung. Kurz: Jede wesentlich geänderte Version hat laut Leitlinie (Sekundärquelle) einen eigenen Unterstützungszeitraum, der neu zu bewerten ist; ein automatischer Neustart folgt daraus nicht.

Was das praktisch heißt: Maschinenbau und Verbraucherprodukte

Ein Hersteller von Verpackungsmaschinen liefert eine Steuerung, die beim Kunden 15 bis 20 Jahre läuft. Erwägungsgrund 60 nennt industrielle Steuerungen ausdrücklich als Fall für längere Zeiträume. Fünf Jahre wären angreifbar; realistisch sind zehn Jahre und mehr, mit dokumentierter Herleitung und Blick auf die Supportzeiten von Prozessor und Betriebssystem. Automatische Updates sind in dieser Umgebung nicht erwartbar (Erwägungsgrund 56), also braucht es eine sichere manuelle Verteilung und Sicherheitshinweise, etwa im CSAF-Format (ein maschinenlesbares Format für Sicherheitshinweise). Das Enddatum gehört ins Datenblatt und in die Dokumentation. Mehr dazu unter CRA im Maschinen- und Anlagenbau.

Ein Hersteller smarter Steckdosen rechnet mit fünf bis sieben Jahren Nutzung: mindestens fünf Jahre, nach der Lesart der Sekundärquellen ab Kauf jedes Exemplars, automatische Updates als Standard mit Widerspruchsmöglichkeit, Enddatum auf der Verpackung oder im App-Eintrag.

Für beide hat der Zeitraum Folgen über die Entwicklung hinaus. Verträge: Liefer- und Wartungsverträge müssen den Zeitraum und die Kostenfreiheit der Sicherheitsupdates abbilden; Zulieferverträge müssen sichern, dass Komponenten mindestens so lange versorgt werden wie das Produkt. Ersatzteile und Abkündigung: Läuft die Spanne je Exemplar ab Kauf, verlängert jedes verkaufte Exemplar die Pflicht; eine Abkündigung muss dann den Zeitraum der zuletzt verkauften Exemplare einplanen. Meldepflicht: Während des gesamten Zeitraums gilt Artikel 14, auch im zwölften Jahr einer Steuerung. CRA Response Center hält dafür Meldeadresse, Rufkette und Fristen-Uhren bereit, unabhängig davon, wie alt das Produkt ist.

Typische Fehler

Fünf Jahre pauschal deklarieren. Ohne Herleitung aus der Nutzungsdauer, bei Industrieprodukten unplausibel.
Enddatum nur im Vertrag. Artikel 13 Absatz 19 verlangt es beim Kauf leicht zugänglich.
Sicherheitsfix nur im nächsten Feature-Release. Anhang I Teil II Nummer 2 verlangt die Trennung, soweit technisch machbar.
Wartungsvertrag als Bedingung. Sicherheitsupdates sind kostenlos (Anhang I Teil II Nummer 8).
Alte Updates löschen. Zehn Jahre Verfügbarkeit nach Artikel 13 Absatz 9.
Komponenten ohne passende Supportzusage einkaufen. Läuft der Support des Betriebssystems früher aus, trägt der Hersteller das Risiko für die restlichen Jahre.

Was bleibt offen?

Die delegierten Rechtsakte zu Mindestzeiträumen je Produktkategorie (Artikel 13 Absatz 8 Unterabsatz 4) sind nicht erlassen. Ob das Enddatum für spät verkaufte Exemplare je Exemplar neu läuft, ist nur über Sekundärquellen belegt. Das Verhältnis zum Recht auf Reparatur (Richtlinie (EU) 2024/1799) und zu Ökodesign-Vorgaben ist nicht geklärt.

Häufige Fragen

Wie lange muss ich Sicherheitsupdates liefern?

Mindestens fünf Jahre, länger bei längerer erwarteter Nutzungsdauer (Artikel 13 Absatz 8). Bei Maschinen und Steuerungen sind fünf Jahre selten zu begründen.

Darf ich weniger als fünf Jahre angeben?

Nur, wenn das Produkt nachweislich kürzer genutzt wird (Artikel 13 Absatz 8 Unterabsatz 3), etwa Abonnement-Software, die nach Abo-Ende nicht mehr läuft (Erwägungsgrund 60).

Wo muss das Enddatum stehen?

Beim Kauf leicht zugänglich, mindestens Monat und Jahr, auf dem Produkt, der Verpackung oder digital (Artikel 13 Absatz 19), zusätzlich in den Nutzerinformationen (Anhang II Nummer 7).

Müssen Sicherheitsupdates kostenlos sein?

Ja (Anhang I Teil II Nummer 8). Eine Ausnahme gilt nur für maßgeschneiderte Produkte für gewerbliche Nutzer, wenn es vereinbart ist.

Was bedeutet "zehn Jahre verfügbar"?

Jedes bereitgestellte Sicherheitsupdate muss nach Bereitstellung zehn Jahre oder bis zum Ende des Unterstützungszeitraums abrufbar bleiben, je nachdem, was länger ist (Artikel 13 Absatz 9).

Muss ich alte Versionen pflegen?

Nicht, wenn Nutzer kostenlos und ohne neue Hardware auf die neueste Version wechseln können (Artikel 13 Absatz 10). Läuft die neueste Version auf der vorhandenen Hardware nicht, bleibt die letzte kompatible Version zu versorgen (Erwägungsgrund 40).

Startet der Zeitraum bei einer neuen Version neu?

Jede wesentlich geänderte Version hat laut Kommissionsleitlinie (Sekundärquelle) einen eigenen Zeitraum, der neu zu bewerten ist. Ein automatischer Neustart folgt daraus nicht.

Weiterlesen

Quellen

Verordnung (EU) 2024/2847 (Cyber Resilience Act), Artikel 3 Nummer 20, Artikel 13 Absatz 8 bis 11 und 19, Anhang I Teil I Nummer 2 Buchstabe c, Teil II Nummer 2, 7 und 8, Anhang II Nummer 7, Anhang VII Nummer 4, Erwägungsgründe 40, 56, 59, 60, 61 und 64, Amt für Veröffentlichungen der EU, 20. November 2024.
The new CRA guidance in practice, Schutzwerk, 2026.
Cyber Resilience Act guidance: products, obligations, Gamingtechlaw, 5. August 2026.
EU Cyber Resilience Act: New Guidance Clarifies Scope, Orrick, September 2026.
CRA Commission guidance, Noze, 28. Juli 2026.