CRA-Supportphase 2027 – Sicherheitsupdates, Kundeninformationen und Lebenszyklusregister | Word/PDF/Excel

Wie lange muss ein Hersteller sein digitales Produkt absichern, und wie wird das Ende des Supports dem Kunden klar kommuniziert? Mit diesem Spezialpaket dokumentieren Sie die voraussichtliche Nutzungsdauer, den Supportzeitraum, den Umgang mit Schwachstellen, Sicherheitsupdates, die Kundeninformation und den fortlaufenden Zugang zu bereits veröffentlichten Patches. Entwickelt für schwedische Hersteller, Produktinhaber, Entwicklungsleiter, PSIRT und Unternehmen, die Software oder vernetzte Hardware in der EU verkaufen.

Schnellfakta: 15 Kundendateien: sieben bearbeitbare Word-Dokumente (DOCX), sieben entsprechende durchsuchbare und druckbare PDF-Dateien sowie ein Excel-Register (XLSX) mit neun Reitern. Fünf Arbeitsvorlagen auf Schwedisch, ein schwedischer Benutzerleitfaden und ein separater englischer Benutzerleitfaden für die schwedischen Vorlagen. Die PDF-Dateien sind nicht interaktiv ausfüllbar.

Für wen eignet sich das Paket?

Zum Beispiel für einen schwedischen Anbieter vernetzter Sensoren, ein Softwareunternehmen, einen Hersteller mit eingebauten Drittkomponenten oder ein Produktteam, das seine Supportrichtlinie vor der Hauptanwendung des CRA im Dezember 2027 dokumentieren muss.

Nicht geeignet als alleinige Lösung, wenn Sie einen tatsächlichen SBOM-Generator, eine Codeanalyse, eine Sicherheitszertifizierung, einen Penetrationstest, eine CE-Konformitätserklärung oder eine ausführliche obligatorische Meldung an eine Behörde benötigen. Die Vorlage kann die Anwendbarkeit des Produkts nicht automatisch bestimmen oder die rechtliche Konformität garantieren.

Dateiübersicht – was erhält der Kunde?

Excel mit neun Reitern

Übersicht, Produkte, Periodenentscheidungen, Komponenten, Schwachstellen, Updates, Kundeninformationen, Maßnahmen und Lese mich. Registrieren Sie beispielsweise, welche Produkte noch keine endgültige Supportentscheidung haben, kurze Supportzeiträume, die geprüft werden müssen, Komponentenlücken, offene Schwachstellen, Patches ohne verifizierten Zugang und fehlende Kundeninformationen. Die Übersicht verwendet geprüfte Statusformeln und enthält keine fiktiven Testdaten.

Warnung: Null offene Meldungen können darauf hindeuten, dass keine Meldungen registriert wurden. Excel ist kein rechtliches Beurteilungsmodul, kein Schwachstellenscanner und keine automatische Genehmigung.

So verwenden Sie die Dokumente

1. Prüfen Sie, ob der Hersteller und das Produkt vom CRA betroffen sind und ob andere Branchenvorschriften relevant sind.
2. Dokumentieren Sie die voraussichtliche Nutzungsdauer des Produkts, die Nutzererwartungen und die abhängigen Komponenten.
3. Begründen Sie den Supportzeitraum – normalerweise mindestens fünf Jahre, aber länger, wenn die voraussichtliche Nutzung des Produkts dies erfordert; kürzer erfordert eine begründete kürzere Nutzungsdauer.
4. Bestätigen Sie Verantwortung, Ressourcen, Schwachstellenmanagement, Patching, Prüfung und sicheren Vertrieb.
5. Zeigen Sie das Ende des Produktsupports beim Kauf klar an, mindestens mit Monat und Jahr, und geben Sie relevante Sicherheitshinweise.
6. Registrieren Sie das Veröffentlichungsdatum jedes Updates und prüfen Sie den fortlaufenden Zugang im richtigen Zeitraum.
7. Dokumentieren Sie technische Grundlagen, Nachweise zur Information und eine Überprüfung bei geänderten Bedingungen.

Rechtliche Grundlage und wichtige Daten

Verordnung (EU) 2024/2847 – Cyber Resilience Act ist die Hauptquelle. Gemäß Artikel 13.8 muss der Hersteller einen Supportzeitraum wählen, der der voraussichtlichen Nutzungsdauer des Produkts entspricht. Grundsätzlich gilt mindestens fünf Jahre, aber ein kürzerer Zeitraum ist möglich, wenn die voraussichtliche Nutzung des Produkts tatsächlich weniger als fünf Jahre beträgt. Wenn die Nutzungsdauer länger ist, können fünf Jahre zu kurz sein. Die Grundlage der Bewertung muss in der technischen Dokumentation enthalten sein.

Artikel 13.9: Ein Sicherheitsupdate, das während des Supportzeitraums verfügbar gemacht wurde, muss mindestens zehn Jahre nach seiner Veröffentlichung verfügbar sein, oder länger, wenn der verbleibende Supportzeitraum länger ist. Dies ist eine Regel für den Zugang zu genau diesem Update – keine allgemeine Anforderung an zehn Jahre aktiven Support.

Artikel 13.19 verlangt, dass das Enddatum des Supportzeitraums, mindestens Monat und Jahr, beim Kauf klar angegeben wird. Anhang II, Punkte 7 und 8 behandeln unter anderem die Art des Supports, Updateanweisungen, sichere Installation und sichere Stilllegung. Anhang I, Teil II gilt für das Schwachstellenmanagement und Updates, unter anderem für sicheren Vertrieb und Nutzerinformationen.

Daten: Die wichtigsten CRA-Produktanforderungen werden ab 11. Dezember 2027 angewendet. Die Meldepflichten gemäß Artikel 14 für bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten bereits seit 11. September 2026. Produkte, Rollen, Übergangsregeln, Anwendbarkeit und ergänzende Leitlinien müssen für den jeweiligen Hersteller geprüft werden. Die CRA-Übersicht der EU-Kommission und die Leitlinien vom 27. Juli 2026 bieten zusätzliche Unterstützung.

Unterschied zu anderen CRA-Produkten von Mallbutiken

Das bestehende CRA Compliance-Paket hat einen breiten Fokus auf Risikobewertung, SBOM und Incident-Anforderungen. Dieses Spezialprodukt konzentriert sich auf die rechtliche und technische Entscheidungsbegründung des Supportzeitraums, die Kundeninformation und den fortlaufenden Patchzugang. PSIRT-Incidentberichte erfolgen separat. Für allgemeine Betriebsupdates und Änderungsplanung sind auch die eigenen technischen Prozesse der betroffenen Organisation erforderlich.

Häufig gestellte Fragen

Müssen alle Produkte genau fünf Jahre unterstützt werden?

Nein. Der Supportzeitraum muss der voraussichtlichen Nutzungsdauer folgen und ist oft länger als fünf Jahre. Ein kürzerer Zeitraum erfordert konkrete Belege dafür, dass das Produkt tatsächlich nur kürzer erwartet wird genutzt.

Bedeutet die Zehnjahresanforderung, dass wir zehn Jahre lang neue Patches veröffentlichen müssen?

Nein. Artikel 13.9 bezieht sich auf den fortlaufenden Zugang zu Patches, die tatsächlich während des Supportzeitraums veröffentlicht wurden. Das ist eine andere Frage als die Länge des aktiven Supportzeitraums.

Was muss der Kunde beim Kauf sehen?

Unter anderem die Art des technischen Sicherheitssupports und das Ende des Supports, klar und verständlich mit mindestens Monat und Jahr.

Kann Excel entscheiden, ob ein Patch den CRA erfüllt?

Nein. Excel fasst die manuellen Felder zusammen, die die Organisation selbst ausfüllt, und enthält keinen technischen Scanner oder keine regulatorische Zertifizierung.

Sind echte Sicherheitsupdates oder eine maschinenlesbare SBOM enthalten?

Nein. Es sind Arbeitsvorlagen für Dokumentation und sichere Referenzen enthalten. Tatsächliche Entwicklungsarbeit, Tests und die SBOM-Generierung müssen separat durchgeführt werden.

Können die PDFs digital ausgefüllt werden?

Sie sind durchsuchbar und druckbar, aber keine interaktiven PDF-Formulare. Bearbeiten Sie die Dokumente in Word und Excel.

Sind alle Dokumente ins Englische übersetzt?

Nein. Fünf schwedische Arbeitsvorlagen und Excel sind auf Schwedisch; ein englischer Benutzerleitfaden ist enthalten, um den Arbeitsablauf zu erklären.

Quellen, Prüfniveau und Version

Offizielle Quellen: EU 2024/2847, Zusammenfassung der EU-Kommission, Umsetzungszeitplan und Leitlinien 2026.

Produktversion: 1.0, 12. November 2026. Rechtliche Quellprüfung: KI-gestützt mit Unterstützung offizieller Quellen. Keine unabhängige externe Rechtsprüfung, keine echte Produktsicherheitsprüfung, keine Behördenprüfung oder CE-Zertifizierung. Die Dateien sind ein anpassbares Arbeitsprodukt und dürfen nicht als verifizierte Konformität vermarktet werden. Die Lieferung über digitale ZIP erfordert vor der Veröffentlichung eine separate Aktivierung der Downloadfunktion des Shops.