Supportzeitraum nach CRA festlegen und begründen

Dieser Leitfaden zeigt, welche Kriterien die Verordnung nennt, wie Sie in sechs Schritten zu einem belastbaren Enddatum kommen und was während und nach dem Zeitraum gilt. Die Verordnung spricht vom „Unterstützungszeitraum“. Gemeint ist dasselbe wie mit dem gängigen Begriff Supportzeitraum.

Was der Supportzeitraum bedeutet

Der Supportzeitraum ist der Zeitraum, in dem Sie als Hersteller sicherstellen müssen, dass Schwachstellen Ihres Produkts wirksam und nach Anhang I Teil II CRA behandelt werden (Art. 3 Nr. 20 CRA). Daran hängen weitere Pflichten:

• Schwachstellen behandeln: Ab dem Inverkehrbringen und während des Zeitraums, einschließlich der Komponenten (Art. 13 Abs. 8 Unterabs. 1 CRA).
• Risikobewertung pflegen: Sie wird während des Zeitraums dokumentiert und bei Bedarf aktualisiert (Art. 13 Abs. 3 CRA).
• Technische Dokumentation pflegen: Bei Bedarf laufend, zumindest während des Zeitraums (Art. 31 Abs. 2 CRA).
• Korrekturmaßnahmen: Ab dem Inverkehrbringen und während des Zeitraums handeln Sie, wenn Produkt oder Verfahren nicht konform sind (Art. 13 Abs. 21 CRA).
• Aufbewahrung: Technische Dokumentation und EU-Konformitätserklärung mindestens zehn Jahre nach dem Inverkehrbringen oder für den Supportzeitraum, je nachdem, was länger ist (Art. 13 Abs. 13 CRA).

Die Pflichten gelten ab dem 11. Dezember 2027 (Art. 71 Abs. 2 CRA). Produkte, die vorher in Verkehr gebracht wurden, erfasst der CRA nur nach einer wesentlichen Änderung. Die Meldepflichten nach Art. 14 gelten seit dem 11. September 2026 für alle Produkte im Anwendungsbereich (Art. 69 Abs. 3, Art. 71 Abs. 2 CRA).

Die Regel nach Art. 13 Abs. 8 CRA

Sie legen den Supportzeitraum so fest, dass er die voraussichtliche Nutzungsdauer des Produkts widerspiegelt. Die Verordnung nennt Kriterien, die Sie berücksichtigen müssen, und solche, die Sie berücksichtigen können. Alle Kriterien wenden Sie verhältnismäßig an.

Dazu kommen zwei feste Grenzen. Erstens beträgt der Zeitraum mindestens fünf Jahre. Zweitens gilt: Wird das Produkt voraussichtlich weniger als fünf Jahre genutzt, entspricht der Zeitraum dieser kürzeren Dauer. Die Kommission kann für bestimmte Produktkategorien per delegiertem Rechtsakt einen Mindestzeitraum festlegen, wenn Daten der Marktüberwachung auf unangemessene Zeiträume hindeuten.

Außerdem hat die EU-Kommission am 27. Juli 2026 unverbindliche Leitlinien zur Anwendung des CRA veröffentlicht (Art. 26 CRA, Mitteilung C(2026) 5252, Abschnitt 5). Sie stellen klar: Fünf Jahre sind eine Untergrenze, kein Standardwert, und jede wesentlich geänderte Softwareversion, die in Verkehr gebracht wird, braucht einen eigenen angegebenen Supportzeitraum. Prüfen Sie zusätzlich, ob die ADCO-Gruppe inzwischen Leitlinien für Ihre Produktkategorie veröffentlicht hat (Stand: November 2026).

In sechs Schritten zum Enddatum

1. Nutzungsdauer ermitteln. Wie lange setzen Kunden das Produkt tatsächlich ein? Servicedaten, Ersatzteilanfragen und Kundengespräche sind bessere Quellen als Schätzungen.
2. Pflichtkriterien prüfen. Halten Sie Nutzererwartungen, Zweckbestimmung und mögliche Vorgaben aus dem Unionsrecht schriftlich fest.
3. Abhängigkeiten klären. Fragen Sie bei Lieferanten wichtiger Komponenten nach deren Support. Endet er früher, planen Sie, wie Sie die Lücke schließen: Wechsel auf eine neuere Version, eigene Pflege oder Austausch der Komponente.
4. Fähigkeit prüfen. Können Sie Schwachstellen über den gesamten Zeitraum behandeln? Dazu gehören Team, Build-Umgebung, Signaturschlüssel und Testaufbauten, die auch in vielen Jahren noch funktionieren müssen.
5. Entscheiden und begründen. Legen Sie Beginn und Ende fest, mit Monat und Jahr. Dokumentieren Sie, wer entschieden hat und warum.
6. Veröffentlichen und überwachen. Nennen Sie das Enddatum beim Kauf und in der Nutzerinformation. Prüfen Sie die Begründung, wenn sich Annahmen ändern, etwa weil ein Lieferant seinen Support kürzt.

Was Nutzer erfahren müssen

• Beim Kauf: Das Enddatum steht mit mindestens Monat und Jahr klar, verständlich und leicht zugänglich zur Verfügung, gegebenenfalls auf dem Produkt, der Verpackung oder digital (Art. 13 Abs. 19 Unterabs. 1 CRA).
• In der Nutzerinformation: Anzugeben sind die Art der technischen Sicherheitsunterstützung und das Enddatum des Zeitraums, in dem Nutzer die Behebung von Schwachstellen und Sicherheitsupdates erwarten können (Anhang II Nr. 7 CRA).
• Am Ende: Wenn es technisch machbar ist, zeigt das Produkt einen Hinweis an, dass der Supportzeitraum abgelaufen ist (Art. 13 Abs. 19 Unterabs. 2 CRA).

Sicherheitsupdates während und nach dem Zeitraum

• Unverzüglich und kostenlos: Sicherheitsupdates werden ohne Verzögerung und kostenlos verteilt, zusammen mit Hinweisen zu möglichen Maßnahmen. Eine abweichende Vereinbarung ist nur mit gewerblichen Nutzern bei einem maßgeschneiderten Produkt möglich (Anhang I Teil II Nr. 8 CRA).
• Getrennt von Funktionen: Soweit technisch machbar, kommen neue Sicherheitsupdates getrennt von Funktionsupdates (Anhang I Teil II Nr. 2 CRA).
• Verfügbar halten: Jedes Sicherheitsupdate aus dem Supportzeitraum bleibt nach seiner Bereitstellung mindestens zehn Jahre oder für den restlichen Supportzeitraum verfügbar, je nachdem, was länger ist (Art. 13 Abs. 9 CRA). Ein Download-Archiv muss also oft länger bestehen als der Support selbst.
• Neue Softwareversionen: Haben Sie wesentlich geänderte Folgeversionen einer Software in Verkehr gebracht, dürfen Sie die Behebung von Schwachstellen auf die neueste Version beschränken. Voraussetzung: Nutzer älterer Versionen erhalten sie kostenlos und haben keine zusätzlichen Kosten für die Anpassung ihrer Hardware- und Softwareumgebung (Art. 13 Abs. 10 CRA).
• Archive alter Versionen: Bieten Sie historische Versionen öffentlich an, informieren Sie klar über die Risiken nicht unterstützter Software (Art. 13 Abs. 11 CRA).

So halten Sie die Entscheidung in der Dokumentation fest

Die Informationen, die Sie bei der Festlegung berücksichtigt haben, gehören in die technische Dokumentation (Art. 13 Abs. 8 Unterabs. 5 und Anhang VII Nr. 4 CRA). Bewährt hat sich ein kurzer Abschnitt mit diesen Angaben:

• Produkt, Version und festgelegter Zeitraum mit Beginn und Ende
• erwartete Nutzungsdauer und ihre Quellen
• Bewertung jedes Pflichtkriteriums und der genutzten Kann-Kriterien
• Supportzusagen der wichtigen Komponenten und der Plan für Lücken
• Begründung, wenn der Zeitraum unter fünf Jahren liegt
• Entscheidung mit Name, Rolle und Datum sowie Anlässe für eine erneute Prüfung

Achten Sie darauf, dass Dokumentation, Nutzerinformation, Website und Verträge dasselbe Enddatum nennen.

Beispiel aus der Industrie

Das Beispiel ist erfunden. Ein Hersteller von Industrie-Gateways bringt im Januar 2028 eine neue Baureihe in Verkehr.

• Nutzungsdauer: Servicedaten zeigen, dass Kunden Gateways der Vorgängerreihe im Mittel zwölf Jahre betreiben.
• Komponente: Das eingebettete Betriebssystem hat einen kürzeren Herstellersupport. Der Plan sieht einen Wechsel auf die nächste Version mit Langzeitsupport vor, geliefert als kostenloses Update.
• Entscheidung: Supportzeitraum Januar 2028 bis Dezember 2039, freigegeben von Produktmanagement und Geschäftsführung.
• Angaben: „Sicherheitsupdates bis 12/2039“ auf dem Datenblatt, in der Nutzerinformation und auf der Produktseite.
• Danach: Der Wechsel des Betriebssystems ist als Aufgabe mit Termin eingeplant, nicht als offene Frage.

Checkliste

• Die erwartete Nutzungsdauer ist mit Quellen belegt.
• Alle Pflichtkriterien nach Art. 13 Abs. 8 CRA sind bewertet.
• Supportzusagen der wichtigen Komponenten liegen vor.
• Für Lücken bei Komponenten gibt es einen Plan.
• Ein Zeitraum unter fünf Jahren ist mit der kürzeren Nutzungsdauer begründet.
• Das Enddatum steht mit Monat und Jahr beim Kauf und in der Nutzerinformation.
• Sicherheitsupdates sind kostenlos und, soweit machbar, getrennt von Funktionsupdates.
• Updates bleiben mindestens zehn Jahre nach Bereitstellung verfügbar.
• Die Begründung steht in der technischen Dokumentation.
• Anlässe für eine erneute Prüfung sind festgelegt.

Der Supportzeitraum in Complass

Ein Enddatum in einer Tabelle, eine Begründung in einer E-Mail und die Nutzerinformation in einem dritten Dokument: So geht der Zusammenhang verloren. In Complass liegt alles an der Produktversion:

• Je Version: Sie erfassen Inverkehrbringen, Beginn und Ende des Supportzeitraums. Eine Version auf dem Markt braucht ein Support-Ende.
• Begründung: Liegt der Zeitraum unter fünf Jahren, verlangt Complass eine Begründung, bevor Sie speichern.
• Dokumente: Technische Dokumentation und Nutzerinformation übernehmen Zeitraum und Enddatum aus der Akte. Sätze mit einer Zusage sind zur Prüfung markiert.
• Erinnerungen: 180, 90 und 30 Tage vor dem Support-Ende und danach erhalten die Verantwortlichen eine Benachrichtigung.
• Lieferanten: Der CRA-Fragebogen für Komponentenlieferanten fragt deren Supportzeitraum und Sicherheitsupdates ab.

Häufige Fragen

Reichen fünf Jahre immer?

Nein. Fünf Jahre sind die Untergrenze. Wird Ihr Produkt üblicherweise länger genutzt, muss der Zeitraum das widerspiegeln. Wie Sie die Kriterien gewichten, begründen Sie in der technischen Dokumentation.

Wann darf der Zeitraum kürzer als fünf Jahre sein?

Nur wenn das Produkt voraussichtlich weniger als fünf Jahre im Betrieb ist. Dann entspricht der Zeitraum dieser Nutzungsdauer. Halten Sie die Belege dafür fest.

Wer legt den Supportzeitraum fest?

Der Hersteller. Bauen Sie zugekaufte Komponenten ein, dürfen Sie deren Support berücksichtigen. Die Pflicht, Schwachstellen im eigenen Produkt zu behandeln, bleibt trotzdem bei Ihnen.

Was gilt nach dem Ende des Supportzeitraums?

Bereits bereitgestellte Sicherheitsupdates bleiben nach Art. 13 Abs. 9 CRA verfügbar. Dokumentation und Konformitätserklärung bewahren Sie mindestens zehn Jahre nach dem Inverkehrbringen oder bis zum Ende des Supportzeitraums auf, je nachdem, was länger ist (Art. 13 Abs. 13 CRA). Wenn es technisch machbar ist, informiert das Produkt die Nutzer über das Ende.

Brauchen wir für jede Version einen eigenen Zeitraum?

Die Verordnung knüpft den Zeitraum an das Produkt. Nach den Leitlinien der Kommission (Juli 2026) braucht jede wesentlich geänderte Softwareversion, die Sie in Verkehr bringen, einen eigenen angegebenen Supportzeitraum. Ändert die Änderung nichts an den Gründen für die erwartete Nutzungsdauer, bleibt es beim verbleibenden Zeitraum, auch wenn er unter fünf Jahren liegt. Art. 13 Abs. 10 CRA erlaubt, die Behebung auf die neueste Version zu beschränken. Eine Angabe je Version macht nachvollziehbar, welches Enddatum für welchen Stand gilt.

In einer Demo zeigen wir Ihnen an der Demo-Firma, wie Supportzeitraum, Begründung und Nutzerinformation in einer Produktakte zusammenkommen.

Demo anfragen 14 Tage testen

Weiterlesen

• Leitfaden „Bin ich vom CRA betroffen? Produkte mit digitalen Elementen prüfen“
• Leitfaden „Technische Dokumentation nach CRA: Inhalte und Pflege“
• Leitfaden „Schwachstellenprozess nach CRA: Anforderungen und CSAF“
• Leitfaden „CRA-Konformitätsbewertung und CE-Kennzeichnung“
• Whitepaper zum CRA für Hersteller
• CRA in Complass

Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847 im Amtsblatt einschließlich der Berichtigungen. Stand: November 2026.