Sie beschaffen Software für mehrere Jahre. Im Angebot stehen regelmäßige Updates und professioneller Support. Offen bleibt, wie lange beides zugesagt ist und wer handelt, wenn eine Sicherheitslücke Ihren Betrieb betrifft. Genau hier müssen Sicherheitsanforderungen für die Softwarebeschaffung konkret werden.
Die Entscheidung betrifft die gesamte Nutzung: Welche Versorgung benötigen Sie, was kann der Anbieter belegen und welche Aufgaben verbleiben in Ihrer Organisation? Ein Anforderungskatalog sollte diese Fragen so beschreiben, dass Sie Angebote vergleichen und die Erfüllung später überprüfen können.
Warum regelmäßige Sicherheitsupdates als Anforderung zu ungenau sind
„Regelmäßig“ lässt offen, ob Updates nach einem festen Zeitplan oder anlassbezogen erscheinen. „Support“ kann eine Auskunftsstelle, Fehleranalyse oder die tatsächliche Behebung eines Problems bedeuten. Wenn diese Begriffe im Angebot unterschiedlich verwendet werden, vergleichen Sie unterschiedliche Leistungen.
Beginnen Sie mit Ihrem Betriebsbedarf. Welche Prozesse hängen von der Software ab? Wie lange soll sie genutzt werden? Wie aufwendig wäre ein Wechsel? Welche eigenen Fähigkeiten sind vorhanden? Daraus ergeben sich Anforderungen an Versorgung und Zusammenarbeit.
Die methodische Grundlage beschreibt unser Beitrag Software-Anforderungen richtig erheben. Bei der Sicherheitsversorgung brauchen Sie zusätzlich klare Aussagen zum Zeitraum und zum Ablauf bei Problemen.
Produkt, Einsatz und Verantwortungsrollen eingrenzen
Die Europäische Kommission veröffentlichte am 27. Juli 2026 Leitlinien zum Cyber Resilience Act. Sie behandeln unter anderem den Geltungsbereich, Supportzeiträume und Meldepflichten. Nach der Mitteilung gelten Meldepflichten ab dem 11. September 2026 und die Hauptpflichten ab dem 11. Dezember 2027. Die Leitlinien sind selbst unverbindlich.
Für eine Beschaffung folgt daraus zunächst Prüfbedarf: Welches Produkt liegt vor, wie wird es bereitgestellt und welche Rollen übernehmen die Beteiligten? Herstellerpflichten dürfen nicht pauschal als Pflichten jedes Käufers dargestellt werden. Lassen Sie rechtliche Abgrenzungen für den konkreten Fall klären. Recherche-Stand: 12. Oktober 2026.
Unabhängig vom Ergebnis dieser Einordnung können Sie Ihren betrieblichen Bedarf an Updates und Unterstützung beschreiben. Trennen Sie dabei rechtlich vorgegebene Mindestanforderungen, vertragliche Zusagen und eigene organisatorische Aufgaben.
Supportdauer und Updateversorgung überprüfbar beschreiben
Erfassen Sie für jede betrachtete Lösung die unterstützten Versionen, den zugesagten Zeitraum und die Bedingungen für einen Versionswechsel. Fragen Sie auch, ob Sicherheitskorrekturen im vereinbarten Preis enthalten sind und welche Leistungen zusätzliche Kosten auslösen können.
Eine beispielhafte Anforderung könnte lauten: „Für die angebotene Version nennt der Anbieter den zugesagten Supportzeitraum und beschreibt, wie Sicherheitskorrekturen bereitgestellt und betroffene Kunden informiert werden.“ Das ist eine illustrative Formulierung; den benötigten Zeitraum und die Nachweise müssen Sie für Ihren Einsatz festlegen.
Lassen Sie sich erklären, was bei einer kritischen Lücke geschieht, solange noch keine Korrektur verfügbar ist. Benötigen Sie Hinweise zu vorübergehenden Schutzmaßnahmen? Wer bewertet deren Auswirkungen? Pauschale Zusagen zur Behebungsdauer sollten Sie mit den tatsächlich vereinbarten Leistungen und Eskalationswegen abgleichen.
Zuständigkeiten bei Schwachstellen und Sicherheitsvorfällen festlegen
Die Bereitstellung eines Updates und seine Installation sind zwei verschiedene Aufgaben. Bestimmen Sie, wer Mitteilungen entgegennimmt, die Betroffenheit bewertet, Änderungen freigibt und die Installation veranlasst. Bei mehreren Dienstleistern muss auch die Übergabe zwischen ihnen nachvollziehbar sein.
Ein illustratives Szenario: Der Hersteller veröffentlicht eine Korrektur, während der Betriebsdienstleister auf eine Freigabe der internen IT wartet. Ohne vereinbarten Ablauf bleibt die Software ungeändert, obwohl alle Beteiligten ihre jeweilige Aufgabe für erledigt halten. Beschreiben Sie deshalb den vollständigen Weg bis zur Prüfung des aktualisierten Systems.
Dokumentieren Sie Kontaktstellen und Vertretung. Stimmen Sie außerdem ab, wie bei nicht erfolgreichen Updates, nicht unterstützten Erweiterungen oder fehlender Kompatibilität entschieden wird.
Nachweise und Umgang mit dem Supportende vereinbaren
Prüfen Sie vor Vertragsabschluss, welche Angaben zum Support verbindlich sind und welche nur einen aktuellen Produktplan wiedergeben. Halten Sie verbleibende Unsicherheiten in der Entscheidungsvorlage fest. Eine allgemeine Produktbeschreibung sollte nicht stillschweigend zur zugesagten Leistung werden.
Planen Sie außerdem einen Überprüfungstermin vor dem Supportende. Dann können Sie zwischen Upgrade, Ersatz und einer veränderten Nutzung entscheiden. Berücksichtigen Sie dafür Datenübernahme, Schnittstellen, Tests und die verfügbare Zeit Ihrer Fachbereiche.
Als Ergebnis sollten Ihr benötigter Versorgungszeitraum, die zugesagten Leistungen, Zuständigkeiten und offene Risiken erkennbar sein. Wie diese Anforderungen in eine umfassendere Entscheidungsgrundlage passen, erläutert Was ein gutes Software-Konzept leisten muss.
Fazit
Sicherheitsversorgung wird beschaffbar, wenn Zeitraum, Leistungen und Verantwortlichkeiten konkret beschrieben sind. Klären Sie den rechtlichen Prüfbedarf und vereinbaren Sie zugleich, wie Ihre Organisation mit Updates und dem Supportende umgeht. Dadurch können Sie den Kaufpreis zusammen mit den Bedingungen einer langfristigen Nutzung bewerten.
Häufig gestellte Fragen
Gilt der Cyber Resilience Act für jede Softwarebeschaffung?
Das lässt sich nicht pauschal beantworten. Prüfen Sie Produkt, Bereitstellungsmodell, konkrete Verwendung und beteiligte Rollen. Die Kommissionsleitlinien behandeln auch Abgrenzungsfragen; sie ersetzen keine rechtliche Einzelfallprüfung.
Reicht die Zusage regelmäßiger Sicherheitsupdates?
Für eine nachvollziehbare Beschaffung bleiben dabei wichtige Fragen offen: Für welche Versionen und welchen Zeitraum gilt die Zusage, wie werden Updates geliefert und wer spielt sie ein? Beschreiben Sie die für Ihren Betrieb benötigten Ergebnisse und Nachweise.
Wie lang sollte der Supportzeitraum sein?
Leiten Sie den Bedarf aus geplanter Nutzungsdauer, Migrationsmöglichkeiten und Kritikalität ab. Vergleichen Sie diesen Bedarf mit zugesagtem Support und gegebenenfalls einschlägigen rechtlichen Vorgaben. Ein allgemeiner Zeitraum passt nicht automatisch zu jedem Einsatz.
Wer ist für die Installation von Sicherheitsupdates verantwortlich?
Das hängt vom vereinbarten Betriebsmodell ab. Klären Sie ausdrücklich, welche Aufgaben Hersteller, Betriebsdienstleister und Ihre eigene IT übernehmen, einschließlich Freigabe, Installation, Prüfung und Vorgehen bei Problemen.
Bereit für klare Software-Entscheidungen?
Lassen Sie uns gemeinsam herausfinden, wie easyDevel.net Sie bei Ihrem Softwareprojekt unterstützen kann.
Erstgespräch anfragen
