Sicherheitsupdates über den gesamten Unterstützungszeitraum bereitstellen

Sicherheitslücken im Produkt sind mindestens fünf Jahre nach der Markteinführung zu beheben – und Kunden ist im Voraus mitzuteilen, wie lange dieser Support besteht. Sicherheits-Patches müssen kostenlos sein. Sie sind getrennt von neuen Funktionen bereitzustellen, damit Kunden sie schnell einspielen können, ohne Regressionsrisiken befürchten zu müssen.

Rechtstext

Artikel 13(8) der Verordnung (EU) 2024/2847 schreibt vor, dass der Unterstützungszeitraum für Produkte mit digitalen Elementen ab dem Datum des Inverkehrbringens mindestens fünf Jahre betragen muss, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer ist.

Artikel 13(9) verpflichtet Hersteller, während des Unterstützungszeitraums sicherzustellen, dass Schwachstellen effektiv behandelt werden, einschließlich der Bereitstellung von Sicherheitsupdates ohne Entgelt.

Wesentliche Anforderungen

Mindest-Unterstützungszeitraum von 5 Jahren (oder erwartete Nutzungsdauer, falls kürzer – siehe Hinweis)
Kostenlose Sicherheitsupdates – keine kostenpflichtigen Update-Pläne für Sicherheitsbehebungen
Zeitnahe Bereitstellung – Updates proportional zu Schweregrad und Risiko
Separate Bereitstellung – Sicherheitsupdates müssen von Funktionsupdates unterscheidbar sein
Offenlegung des Unterstützungszeitraums – Enddatum muss in der Produktdokumentation und am Verkaufsort erscheinen

Hinweise zur 5-Jahres-Mindestanforderung

Die Leitlinien der Kommission (C(2026) 5252, 27. Juli 2026, § 5) stellen klar, dass fünf Jahre eine Mindestanforderung und kein Standardwert sind. Bei Produkten mit einer über fünf Jahre hinausgehenden erwarteten Nutzungsdauer (z. B. industrielle Steuerungssysteme, intelligente Zähler) muss der Unterstützungszeitraum dieser längeren Nutzungsdauer entsprechen.

Nachweise, die Sie möglicherweise benötigen

Erklärter Unterstützungszeitraum (in Produktdokumentation und auf der Verkaufsseite)
Aufzeichnungen zur Veröffentlichung von Sicherheitsupdates mit Zeitstempeln
Dokumentation des Schwachstellenbehandlungsprozesses
Nachweis, dass keine Sicherheitsupdates kostenpflichtig sind