Update-Pflicht fuer CRA-konforme Produkte: Mindestens 5 Jahre Sicherheitsupdates
Der Cyber Resilience Act verpflichtet Hersteller nach Art.
Der Cyber Resilience Act (EU 2024/2847) stellt klare Anforderungen an das Update Management von Produkten mit digitalen Elementen. Hersteller muessen ueber die gesamte Support-Periode, mindestens 5 Jahre, kostenlose Sicherheitsupdates bereitstellen. Art. 10 Abs. 6 und Annex I Teil II definieren die konkreten Pflichten: zeitnahe Schwachstellenbehebung, sichere Update-Verteilung, automatische Updates als Default-Einstellung und transparente Nutzerinformation ueber Sicherheitsstatus und End-of-Support.
ADVISORI unterstuetzt Hersteller bei der Umsetzung CRA-konformer Update-Prozesse: von der Gap-Analyse bestehender Patch-Management-Systeme ueber die Entwicklung einer konformen Update-Strategie bis zur Implementierung automatisierter Vulnerability-Detection und sicherer Update-Verteilung. Wir stellen sicher, dass Ihre Produkte die Anforderungen nach Art. 10, Annex I und Annex II erfuellen.
2 Leistungsbausteine
Einzeln buchbar oder als durchgängiges Programm.
Entwicklung umfassender Update-Strategien, die CRA-Anforderungen mit Geschäftszielen in Einklang bringen.
Implementierung automatisierter Systeme zur kontinuierlichen Überwachung und Bewertung von Sicherheitslücken.
5 Phasen
Wir entwickeln mit Ihnen ein CRA-konformes Update Management System, das die Anforderungen nach Art. 10 und Annex I systematisch umsetzt.
10, Annex I Teil II und Annex II Dokumentationspflichten
5 Jahre), Festlegung der Update-Architektur und Rollback-Mechanismen
Implementierung - Aufbau sicherer Update-Verteilung mit kryptographischer Signierung, automatische Updates als Default, Trennung von Security- und Feature-Updates
Vulnerability Handling - Integration von CVE-Monitoring, SBOM-Abgleich und 24h-Meldeprozess an ENISA bei aktiv ausgenutzten Schwachstellen
Dokumentation und Konformitaet - Erstellung der technischen Dokumentation nach Annex II und VII, Vorbereitung der Konformitaetsbewertung
Ansprechpartner
Sarah Richter
Head of Informationssicherheit, Cyber Security
10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit
5 FRAGEN, KURZ BEANTWORTET
Der CRA verpflichtet Hersteller, mindestens 5 Jahre lang Sicherheitsupdates bereitzustellen. Updates müssen automatisch installierbar sein, kostenlos zur Verfügung stehen und zeitnah nach Bekanntwerden von Schwachstellen veröffentlicht werden. Die Update-Fähigkeit muss bereits im Produktdesign berücksichtigt werden.
Der CRA definiert keine festen Patch-Fristen, fordert aber unverzügliches Handeln bei aktiv ausgenutzten Schwachstellen. Best Practice: kritische Patches innerhalb von 72 Stunden, wichtige Updates innerhalb von 30 Tagen. Die Meldepflicht an ENISA beträgt 24 Stunden für aktiv ausgenutzte Schwachstellen.
Der CRA fordert eine automatische Update-Funktion als Standard. Nutzer dürfen automatische Updates deaktivieren, müssen aber über die Risiken informiert werden. Sicherheitsupdates müssen separat von Funktionsupdates installierbar sein.
Nach Ablauf der Support-Periode endet die Update-Pflicht des Herstellers. Produkte dürfen weiter genutzt, aber nicht mehr als konform vermarktet werden. Hersteller sollten End-of-Life-Prozesse planen und Nutzer frühzeitig über das Support-Ende informieren.
Der Hersteller des Endprodukts ist für Updates aller Komponenten verantwortlich, einschließlich Open-Source-Bibliotheken. Ein aktuelles SBOM (Software Bill of Materials) ist Voraussetzung, um betroffene Komponenten schnell zu identifizieren und Updates bereitzustellen.
Unsere Kunden vertrauen auf unsere Expertise in digitaler Transformation, Informationssicherheit, Compliance und Risikomanagement
Vereinbaren Sie jetzt ein strategisches Beratungsgespräch mit unseren Experten
30 Minuten • Unverbindlich • Sofort verfügbar
Direkte Hotline für Entscheidungsträger
Strategische Anfragen per E-Mail
Für komplexe Anfragen oder wenn Sie spezifische Informationen vorab übermitteln möchten