Pflichten
Der Unterstützungszeitraum: fünf Jahre oder die voraussichtliche Nutzungsdauer
Veröffentlicht am . Geprüft anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024.
Die meisten Zusammenfassungen der Cyberresilienz-Verordnung erwähnen den Unterstützungszeitraum in einer Zeile und gehen weiter. Er verdient mehr Raum, denn er ist die eine Anforderung, die in Preise, Fahrpläne und Abkündigungen hineinreicht statt in ein Dokument, das außerhalb der Konformitätsakte niemand liest.
Was ein Unterstützungszeitraum tatsächlich ist
Er ist keine Garantie und keine Zusage über die Dienstgüte. Die Verordnung bestimmt ihn als das Fenster, in dem die Behandlung von Schwachstellen geschuldet ist.
„den Zeitraum, in dem der Hersteller sicherstellen muss, dass die Schwachstellen des Produkts mit digitalen Elementen wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“
Die Pflicht, die er offen hält, ist die des Artikels 13.
„wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“
Der Unterstützungszeitraum ist also eine Dauer, die an einer Pflicht hängt. Alles Weitere über ihn folgt daraus.
Die Untergrenze beträgt fünf Jahre
„beträgt der Unterstützungszeitraum mindestens fünf Jahre“
Fünf Jahre, gerechnet ab dem Inverkehrbringen des Produkts, das die Verordnung als die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt bestimmt. Nicht ab dem Tag des Kaufs, nicht ab der letzten Version. Die Uhr läuft je Produkt auf dem Markt, nicht je Vertrag.
Die Ausnahme und ihre Grenze
Es gibt einen Weg unter die fünf Jahre, und er ist enger, als die Beteiligten hoffen.
„Wird davon ausgegangen, dass das Produkt mit digitalen Elementen weniger als fünf Jahre im Betrieb ist, muss der Unterstützungszeitraum der voraussichtlichen Nutzungsdauer entsprechen.“
Maßgeblich ist die voraussichtliche Nutzungsdauer, nicht das geplante Verkaufsfenster, nicht die Laufzeit Ihres Abonnements und nicht, wie lange Sie den Code lieber pflegen würden. Ist das Produkt realistischerweise sieben Jahre im Betrieb, steht Ihnen ein Unterstützungszeitraum von drei Jahren nicht deshalb offen, weil Sie ihn lieber nicht finanzieren möchten. Ist es tatsächlich ein Gerät für zwei Jahre, lautet die Antwort zwei Jahre, und die Erwägung dahinter schreibt man am besten in dem Moment auf, in dem man sie trifft, statt sie später zu rekonstruieren.
| Lage | Voraussichtliche Nutzungsdauer | Unterstützungszeitraum nach Art. 13 Abs. 8 |
|---|---|---|
| Unternehmenssoftware mit langen Einführungen | Zehn Jahre | Mindestens fünf Jahre |
| Anwendung für Verbraucher mit jährlichen Versionen | Sechs Jahre | Mindestens fünf Jahre |
| Verbundenes Gerät mit kurzer Lebensdauer | Drei Jahre | Drei Jahre, die voraussichtliche Nutzungsdauer |
| Keine dokumentierte Erwartung | Nicht bestimmt | Von Art. 13 Abs. 8 nicht geregelt; nach unserer Lesart gilt die Untergrenze von fünf Jahren |
Was während des Zeitraums geschehen muss
Zwei Dinge laufen über die gesamte Dauer.
Schwachstellen werden behandelt. Das ist die Begriffsbestimmung selbst: wirksame Behandlung im Einklang mit Anhang I Teil II, über den ganzen Zeitraum. In der Praxis heißt das, für die Dauer des Zeitraums eine Sicherheitsaktualisierung an den installierten Bestand ausliefern zu können, und das ist eine Zusage der Entwicklung, bevor sie eine der Konformität ist.
Die technische Dokumentation bleibt aktuell.
„Die technische Dokumentation wird vor dem Inverkehrbringen des Produkts mit digitalen Elementen erstellt und gegebenenfalls, zumindest während des Unterstützungszeitraums, laufend aktualisiert.“
Der Unterstützungszeitraum bestimmt damit die Lebensdauer der technischen Dokumentation nach Anhang VII, nicht nur die der Korrekturen.
Er muss angegeben werden, nicht nur beschlossen
Ein Unterstützungszeitraum, der nur im internen Fahrplan steht, erfüllt die Aufgabe nicht. Der Zeitraum wird den Nutzern gegenüber angegeben, und deshalb erzeugt das Cybiq-Konformitätspaket eine Erklärung zum Unterstützungszeitraum als eigenes Dokument: den bestimmten Zeitraum, sein Enddatum, die Begründung, wenn die voraussichtliche Nutzungsdauer kürzer als fünf Jahre ist, und den Ort, an dem die Angabe veröffentlicht wird.
Einmal veröffentlicht, ist sie eine öffentlich abgegebene Zusage, und darum geht es dieser Anforderung.
Was fünf Jahre mit Preisen und Abkündigungen machen
Drei Folgen, in der Reihenfolge, in der die Beteiligten auf sie stoßen:
- Dauerlizenzen und Einmalzahlungen haben einen Nachlauf. Eine einzige Zahlung heute finanziert mindestens fünf Jahre Sicherheitspflege. Das sind Herstellungskosten, und sie gehören in den Preis statt in die Überraschung des nächsten Jahres.
- Abkündigungen bekommen eine Untergrenze. Sie können ein Produkt nicht aus seinem Unterstützungszeitraum heraus abkündigen. Den Verkauf einzustellen ist zulässig. Die Behandlung von Schwachstellen vor dem Ende des angegebenen Zeitraums einzustellen ist es nicht.
- Alte Versionen häufen sich an. Jede Version, die noch in ihrem Zeitraum steht, ist ein Zweig, an den Sie eine Korrektur ausliefern können müssen. Die Rechnung über den Unterstützungszeitraum ist meist das Argument, das den Versionsfahrplan eines Unternehmens endlich verkürzt.
Bereits in Verkehr gebrachte Produkte
Der Unterstützungszeitraum ist eine Anforderung des Artikels 13, also greift die Übergangsregelung auch für ihn.
„Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den in dieser Verordnung festgelegten Anforderungen nur dann, wenn nach diesem Zeitpunkt diese Produkte einer wesentlichen Änderung unterliegen.“
Ein Produkt, das vor dem 11. Dezember 2027 in den Verkehr gebracht wurde, erhält an diesem Tag keinen angegebenen Unterstützungszeitraum. Es erhält einen, sobald es danach wesentlich geändert wird, und die Verordnung bestimmt die wesentliche Änderung als eine Änderung nach dem Inverkehrbringen, die sich auf die Konformität mit den grundlegenden Cybersicherheitsanforderungen des Anhangs I Teil I auswirkt oder zu einer Änderung des bestimmungsgemäßen Zwecks führt, für den das Produkt geprüft wurde.
Eine Pflicht greift gleichwohl zurück, und es ist nicht diese.
„gelten die in Artikel 14 festgelegten Pflichten für alle Produkte mit digitalen Elementen, die in den Anwendungsbereich dieser Verordnung fallen und vor dem 11. Dezember 2027 in den Verkehr gebracht wurden“
Die Meldung nach Artikel 14 erfasst den vorhandenen Bestand ab dem 11. September 2026. Der Unterstützungszeitraum tut das nicht. Die beiden auseinanderzuhalten erspart viel unnötige Arbeit an alten Versionen.
Orientierung, keine Rechtsberatung. Prüfen Sie jede Angabe am amtlichen Wortlaut, bevor Sie sich darauf stützen.