Cyber Resilience Act

Schwachstellenmanagement und Support-Zeitraum

Anders als bisher endet die Verantwortung nicht mit dem Verkauf. Der CRA verpflichtet Hersteller, Schwachstellen über einen festgelegten Support-Zeitraum zu behandeln, Sicherheitsupdates zeitnah und in der Regel kostenlos bereitzustellen und eine Software-Stückliste (SBOM) zu führen. Der Support-Zeitraum muss die erwartete Nutzungsdauer des Produkts abbilden.

CRAArt. 13 CRA, Anhang I Teil II

Warum diese Pflicht wichtig ist

Das Schwachstellenmanagement ist die dauerhafteste CRA-Pflicht: Sie läuft über die gesamte Lebensdauer des Produkts. Für viele Mittelständler bedeutet das erstmals einen strukturierten Update- und Offenlegungsprozess statt punktueller Reaktion. Verstöße gegen Anhang I Teil II gehören zur höchsten Bußgeldstufe.

So setzen Sie die Pflicht um

01Support-Zeitraum je Produkt festlegen und beim Kauf klar kommunizieren
02Schwachstellen erkennen, dokumentieren und mit Priorität beheben
03Sicherheitsupdates zeitnah und getrennt von Funktionsupdates bereitstellen
04Software-Stückliste (SBOM) führen und aktuell halten
05Prozess zur koordinierten Schwachstellen-Offenlegung (CVD) mit Kontaktstelle einrichten

Diese Nachweise sind gefragt

Dokumentierter Support-Zeitraum je Produkt (auch für Kunden sichtbar)
Schwachstellen-Register mit Behandlungsstatus und SBOM
Veröffentlichte Kontaktstelle und Richtlinie zur Schwachstellen-Offenlegung

Häufige Fehler

Kein Update-KanalEs gibt keinen etablierten Weg, Sicherheitsupdates auszuliefern. Im Ernstfall bleibt eine bekannte Lücke offen.

Support-Ende unklarKunden erfahren nicht, wie lange ein Produkt Sicherheitsupdates erhält. Der CRA verlangt eine klare Angabe beim Kauf.

Begriffe zum Nachschlagen

Diese Begriffe aus dem Compliance-Lexikon vertiefen den Bereich:

SBOM (Software Bill of Materials)Eine SBOM (Software Bill of Materials) ist ein strukturiertes Verzeichnis aller Software-Bestandteile eines Produkts, einschließlich Fremd- und Open-Source-Komponenten. Sie ist Grundlage, um Schwachstellen schnell zuzuordnen.Koordinierte Schwachstellen-Offenlegung (CVD)Die koordinierte Schwachstellen-Offenlegung (CVD) ist ein geregelter Prozess, über den Sicherheitsforscher gefundene Schwachstellen vertraulich an den Hersteller melden, damit dieser sie vor einer Veröffentlichung beheben kann.Cyber Resilience Act (CRA)Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen an Produkte mit digitalen Elementen stellt, von der sicheren Entwicklung über das Schwachstellenmanagement bis zur CE-Kennzeichnung.

Häufig gestellte Fragen

Wie lange muss ich Sicherheitsupdates bereitstellen?

Maßgeblich ist die erwartete Nutzungsdauer des Produkts: Der Support-Zeitraum muss sie nach Artikel 13 widerspiegeln. Die häufig genannten fünf Jahre sind kein harter Mindestwert, sondern ein Orientierungswert aus den Erwägungsgründen, der greift, sofern das Produkt nicht erkennbar kürzer genutzt wird.

Was ist eine SBOM?

Eine Software Bill of Materials ist ein strukturiertes Verzeichnis aller Software-Bestandteile eines Produkts, einschließlich Fremd- und Open-Source-Komponenten. Sie ist Voraussetzung, um Schwachstellen in Komponenten schnell zuzuordnen.

Müssen Sicherheitsupdates kostenlos sein?

Sicherheitsupdates müssen grundsätzlich kostenlos bereitgestellt werden. Davon zu trennen sind kostenpflichtige Funktions- oder Feature-Updates.

Kostenloser Check

Ihren CRA-Handlungsbedarf klären

Der kostenlose CRA-Check zeigt in wenigen Minuten, welche Pflichten für Ihre Produkte und Ihre Rolle gelten und wo Sie jetzt ansetzen sollten.

CRA-Check gratis Demo buchen

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten