Der Unterstützungszeitraum, für den der Hersteller die wirksame Behandlung von Schwachstellen gewährleistet, sollte mindestens fünf Jahre betragen, es sei denn, die Lebensdauer des Produkts mit digitalen Elementen beträgt weniger als fünf Jahre; in diesem Fall sollte der Hersteller die Behandlung von Schwachstellen für die entsprechende Lebensdauer sicherstellen. Wenn nach vernünftigem Ermessen davon auszugehen ist, dass das Produkt mit digitalen Elementen länger als fünf Jahre verwendet wird, wie dies häufig bei Hardwarekomponenten wie Hauptplatinen oder Mikroprozessoren, bei Netzwerkgeräten wie Routern, Modems oder Switches sowie bei Software wie Betriebssystemen oder Videobearbeitungstools der Fall ist, sollten die Hersteller dementsprechend längere Unterstützungszeiträume sicherstellen. Insbesondere Produkte mit digitalen Elementen, die für die Verwendung in industriellen Umgebungen bestimmt sind, wie etwa industrielle Steuerungssysteme, werden häufig über deutlich längere Zeiträume hinweg verwendet. Ein Hersteller sollte nur dann einen Unterstützungszeitraum von weniger als fünf Jahren festlegen können, wenn dies durch das Wesen des betreffenden Produkts mit digitalen Elementen gerechtfertigt ist und das Produkt voraussichtlich weniger als fünf Jahre in Verwendung sein wird; in diesem Fall sollte der Unterstützungszeitraum der erwarteten Nutzungsdauer entsprechen. Beispielsweise könnte die Lebensdauer einer Kontaktnachverfolgungs-App, die für die Nutzung während einer Pandemie bestimmt ist, auf die Dauer der Pandemie begrenzt werden. Darüber hinaus können einige Software-Anwendungen naturgemäß nur auf der Grundlage eines Abonnements zur Verfügung gestellt werden, insbesondere wenn die Anwendung nach Ablauf des Abonnements für den Nutzer nicht mehr zur Verfügung steht und folglich nicht mehr genutzt wird.
Erwägungsgrund 60
Verordnung (EU) 2024/2847 — veröffentlicht 10. Dezember 2024 · Letzte Prüfung durch Kunnus: März 2026
Auslegung der EU-Kommission
Guidance vom 27. Juli 2026Die EU-Kommissions-Guidance vom 27. Juli 2026 enthält offizielle Auslegungshinweise zu dieser Vorschrift. Jeder Abschnitt: Kurzfassung, Kernaussagen und was das konkret für Sie bedeutet.
Abschnitt 5 – 5.1Supportzeitraum — Bestimmung, Art. 13 Abs. 10 und wesentliche Änderungen
Fünf Jahre sind Untergrenze, nicht Default: Der Supportzeitraum richtet sich nach der erwarteten Nutzungsdauer; länger genutzte Produkte brauchen längeren Support. Artikel 13 Abs. 10 erlaubt, die Schwachstellenbehebung auf die zuletzt in Verkehr gebrachte Version zu konzentrieren, wenn Nutzer kostenlos und ohne Zusatzkosten upgraden können. Eine wesentliche Änderung setzt den Supportzeitraum nicht automatisch zurück.
Kernaussagen
- „Zusatzkosten“ im Sinne von Art. 13 Abs. 10 meint Hardware-Neukauf oder Infrastrukturwechsel — nicht normalen Update-Aufwand wie Personalzeit, Tests oder Konfigurationsanpassungen.
- Jede wesentlich geänderte Version braucht bei Inverkehrbringen einen eigenen deklarierten Supportzeitraum nach Art. 13 Abs. 8.
- Bestimmen unveränderte Faktoren (z. B. Hardware-Lebensdauer) weiterhin die Nutzungsdauer, bleibt der ursprüngliche Supportzeitraum maßgeblich — auch wenn die Restlaufzeit unter fünf Jahren liegt (Beispiele 54/55: Saugroboter, Industriemaschine mit neuem Cloud-Backend).
- Verändert die Modifikation die Nutzungsdauer-Faktoren selbst (z. B. neue Rechenplattform verlängert Lebensdauer einer SPS), ist der Supportzeitraum neu zu berechnen (Beispiel 56).
- Enddatum des Supports beim Kauf angeben (mindestens Monat/Jahr) und EOL-Benachrichtigung anzeigen, wo technisch machbar (Art. 13 Abs. 19).
- Hersteller dürfen ältere Versionen freiwillig weiter patchen — auch kostenpflichtig; der CRA verlangt dafür keine Gratis-Updates.
Für die Praxis
Leiten Sie den Supportzeitraum dokumentiert aus der erwarteten Nutzungsdauer ab — pauschal „5 Jahre“ ist angreifbar, wenn Ihr Produkt erkennbar länger genutzt wird. Nennen Sie das Enddatum schon im Kaufprozess (mindestens Monat/Jahr). Bei Software: Prüfen Sie, ob Sie mit der Art.-13-Abs.-10-Regel nur die jeweils letzte Version patchen müssen — das setzt kostenlose Upgrades ohne Hardware-/Infrastrukturzwang voraus.
EU-Kommissions-Guidance (C(2026) 5252 final) — Die Guidance gibt die Auslegung der Europäischen Kommission wieder und ist rechtlich nicht bindend. Eine verbindliche Auslegung des EU CRA kann nur der Gerichtshof der Europäischen Union vornehmen.
Verwandte Artikel
(1)Dieser Text wurde aus der Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 übernommen. Die Darstellung dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut. Originaltext auf EUR-Lex