Der Cyber Resilience Act (CRA) verpflichtet Hersteller, für ihre Produkte mit digitalen Elementen Sicherheitsupdates bereitzustellen, und zwar so lange, wie das Produkt voraussichtlich genutzt wird, mindestens aber fünf Jahre ab Inverkehrbringen. Diese Pflicht bindet Entwicklungskapazität über Jahre, verändert die Kalkulation ganzer Produktlinien und wirkt bis in Ihre Zulieferverträge hinein.
Auf vier Punkte läuft es hinaus:
- Schwachstellen in Ihren Produkten zügig beheben,
- einen Meldeweg anbieten, über den Dritte Ihnen Schwachstellen melden können,
- Updates über einen sicheren Mechanismus ausliefern und
- Sicherheitsupdates kostenlos abgeben.
Die Update-Pflicht ist damit nur ein Baustein unter den Herstellerpflichten des CRA.
Für neue Funktionen dürfen Sie Geld verlangen, für Sicherheitspatches nicht. Wo es technisch machbar ist, müssen beide außerdem getrennt ausgeliefert werden: Ihr Kunde soll eine Lücke schließen können, ohne eine neue Funktionsgeneration mitzukaufen. Viele Release-Prozesse geben diese Trennung heute nicht her.
Wie lange müssen Sie Updates liefern?
Den Unterstützungszeitraum legen Sie selbst fest, aber nicht beliebig. Er muss die voraussichtliche Nutzungsdauer des Produkts widerspiegeln (Artikel 13 CRA). Maßgeblich sind, wofür das Produkt gedacht ist und was Nutzer vernünftigerweise erwarten dürfen; orientieren dürfen Sie sich zusätzlich an vergleichbaren Produkten am Markt und an den Zusagen für zugelieferte Kernkomponenten. Die Untergrenze liegt bei fünf Jahren, außer das Produkt ist erkennbar kürzer im Einsatz.
Für ein einzelnes Produkt ist das planbar. Über ein Portfolio hinweg wird daraus eine Daueraufgabe. Ein Hersteller mit 15 Produktlinien in mehreren Varianten und Firmware-Ständen muss für jede davon über Jahre Schwachstellen bewerten, Updates bauen, testen und ausliefern. Dafür brauchen Sie Entwicklungskapazität, lauffähige Build- und Testumgebungen für alte Softwarestände und einen Weg, Bestandskunden überhaupt zu erreichen.
Hersteller, die bisher nach dem Prinzip „Produkt verkauft, Support bei Bedarf“ gearbeitet haben, müssen ihren Support grundlegend neu aufstellen.
Zehn Jahre Verfügbarkeit: die zweite Frist
Artikel 13 setzt eine zweite Frist: Jedes Sicherheitsupdate, das Sie einmal ausgeliefert haben, muss danach mindestens zehn Jahre abrufbar bleiben, und wenn der Unterstützungszeitraum länger läuft, entsprechend länger.
Die beiden Fristen greifen unterschiedlich. Der Unterstützungszeitraum sagt, wie lange Sie neue Updates entwickeln müssen. Die Zehn-Jahres-Regel sagt, wie lange ein bereits veröffentlichtes Update erreichbar bleiben muss. Ein früh ausgeliefertes Update begleitet Sie über den ganzen restlichen Unterstützungszeitraum, ein spätes noch zehn Jahre über dessen Ende hinaus.
Sie brauchen also eine Update-Infrastruktur, die den aktiven Support überdauert. Download-Portale, Update-Server, Signaturschlüssel und die zugehörige Dokumentation gehören so archiviert, dass ein Patch auch Jahre nach der letzten Entwicklungsstunde noch bereitsteht.
Die Update-Pflicht reicht in die Lieferkette
Ihre Update-Pflicht ist nur so belastbar wie die Zusagen Ihrer Zulieferer. Zwischen der ersten Evaluierung einer Komponente und ihrem Einbau in ein Serienprodukt vergehen in der industriellen Praxis zwei bis drei Jahre. Erst danach beginnt Ihr Unterstützungszeitraum von mindestens fünf Jahren. Ihr Zulieferer muss die Komponente also sieben bis acht Jahre nach ihrem Erscheinen noch patchen.
Das gehört in die Lieferantenauswahl und in den Vertrag. Sagt Ihr Zulieferer diesen Zeitraum zu? Verfolgt er Schwachstellen in seiner Komponente aktiv? Der teure Fall ist der Support-Stopp für ein Bauteil, das in Ihren Produkten noch im Feld steckt. Gegenüber dem Markt bleibt die Pflicht dann trotzdem bei Ihnen.
Die Kostenfrage: Sicherheitsupdates ohne Umsatz
Kostenlose Sicherheitsupdates verändern die Kalkulation des Produktsupports. Bisher ließ sich Support als eigene Einnahmequelle gestalten oder nach Ablauf der Gewährleistung einstellen. Für sicherheitsrelevante Updates schließt der CRA beides aus.
Eine Ausnahme lässt der CRA zu, und sie ist eng: Bei maßgeschneiderten Produkten für einen bestimmten gewerblichen Kunden dürfen Sie vertraglich etwas anderes vereinbaren. Für Produkte von der Stange gibt es diesen Spielraum nicht.
Die Kosten der Sicherheitspflege über mindestens fünf Jahre müssen deshalb in den Produktpreis. Eng wird es bei günstigen Produkten mit vielen Varianten. Muss ein einzelnes Update über mehrere Linien und Varianten qualifiziert und ausgerollt werden, kostet das schnell mehr als die ursprüngliche Entwicklung des Produkts.
Die voraussichtliche Nutzungsdauer bestimmt den Unterstützungszeitraum
Industrielle Steuerungssysteme laufen im Feld oft zehn bis fünfzehn Jahre, Router und Betriebssysteme deutlich länger als fünf. So lange läuft dann auch Ihr Unterstützungszeitraum. Unter fünf Jahre kommen Sie nur bei Produkten, die tatsächlich kürzer im Einsatz sind.
Entscheiden Sie deshalb bewusst, wie lange Ihre Produkte voraussichtlich genutzt werden, und halten Sie fest, worauf Sie diese Einschätzung stützen. Diese Begründung gehört in die technische Dokumentation. Setzen Sie die Nutzungsdauer kurz an, während vergleichbare Produkte am Markt zehn Jahre im Einsatz sind, müssen Sie das gegenüber der Marktüberwachung erklären können.
Die Festlegung bleibt ohnehin nicht allein bei Ihnen. Zeigt sich am Markt, dass Hersteller ihre Unterstützungszeiträume zu knapp bemessen, kann die EU-Kommission für einzelne Produktkategorien Mindestzeiträume vorschreiben.
Was Sie jetzt aufbauen müssen
Ab Dezember 2027 greifen die CRA-Pflichten vollständig. Bis dahin brauchen Hersteller Build-Umgebungen für Altprodukte, belastbare Zulieferverträge und eine Kapazitätsplanung, die den Sicherheitssupport fest im Entwicklungsprozess verankert. Am größten ist die Aufgabe bei breitem Portfolio, hohem Zulieferanteil und einem Support, der bisher nach Zuruf lief.
Ordnen Sie daher die Update-Pflicht in das Gesamtbild des Cyber Resilience Act ein, bevor Sie Ihre Prioritäten setzen.
Kommentar hinzufügen