Sicherheitsupdates über den gesamten Unterstützungszeitraum bereitstellen
- Gilt für
- Manufacturer
- Quellenangaben
- Art. 13(9)Art. 13(8)Annex I Part I §8
- Produktklassen
- DefaultImportant — Class IImportant — Class IICritical
Einfache Sprache
Sicherheitslücken im Produkt sind mindestens fünf Jahre nach der Markteinführung zu beheben – und Kunden ist im Voraus mitzuteilen, wie lange dieser Support besteht. Sicherheits-Patches müssen kostenlos sein. Sie sind getrennt von neuen Funktionen bereitzustellen, damit Kunden sie schnell einspielen können, ohne Regressionsrisiken befürchten zu müssen.
Rechtstext
Artikel 13(8) der Verordnung (EU) 2024/2847 schreibt vor, dass der Unterstützungszeitraum für Produkte mit digitalen Elementen ab dem Datum des Inverkehrbringens mindestens fünf Jahre betragen muss, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer ist.
Artikel 13(9) verpflichtet Hersteller, während des Unterstützungszeitraums sicherzustellen, dass Schwachstellen effektiv behandelt werden, einschließlich der Bereitstellung von Sicherheitsupdates ohne Entgelt.
Wesentliche Anforderungen
- Mindest-Unterstützungszeitraum von 5 Jahren (oder erwartete Nutzungsdauer, falls kürzer – siehe Hinweis)
- Kostenlose Sicherheitsupdates – keine kostenpflichtigen Update-Pläne für Sicherheitsbehebungen
- Zeitnahe Bereitstellung – Updates proportional zu Schweregrad und Risiko
- Separate Bereitstellung – Sicherheitsupdates müssen von Funktionsupdates unterscheidbar sein
- Offenlegung des Unterstützungszeitraums – Enddatum muss in der Produktdokumentation und am Verkaufsort erscheinen
Hinweise zur 5-Jahres-Mindestanforderung
Die Entwurfsleitlinien der Kommission vom März 2026 (Abschnitt zum Unterstützungszeitraum) stellen klar, dass fünf Jahre eine Mindestanforderung und kein Standardwert sind. Bei Produkten mit einer über fünf Jahre hinausgehenden erwarteten Nutzungsdauer (z. B. industrielle Steuerungssysteme, intelligente Zähler) muss der Unterstützungszeitraum dieser längeren Nutzungsdauer entsprechen.
Nachweise, die Sie möglicherweise benötigen
- Erklärter Unterstützungszeitraum (in Produktdokumentation und auf der Verkaufsseite)
- Aufzeichnungen zur Veröffentlichung von Sicherheitsupdates mit Zeitstempeln
- Dokumentation des Schwachstellenbehandlungsprozesses
- Nachweis, dass keine Sicherheitsupdates kostenpflichtig sind