In bestehenden Lieferantenverträgen ist häufig nicht geregelt, wie mit einer Diskrepanz zwischen dem Unterstützungszeitraum des Zulieferers und dem des Endprodukts umzugehen ist. Gerade bei Kernkomponenten wie SPS, Kommunikationsmodulen oder Firmware-Bibliotheken kann eine solche Lücke dazu führen, dass der Hersteller des Endprodukts Sicherheitsupdates zusagen muss, die er mangels entsprechender Zulieferer-Verpflichtung technisch gar nicht mehr liefern kann. Diese Problematik wird häufig erst im Rahmen eines Audits oder im Schadensfall sichtbar – zu einem Zeitpunkt, an dem eine Nachverhandlung kaum mehr möglich ist.
Rechtlich relevant: Art. 13 Abs. 8 CRA verlangt einen zur Produktlebensdauer passenden Unterstützungszeitraum für Sicherheitsupdates. Ergänzend verlangt Anhang I Teil II CRA ein funktionierendes Schwachstellenmanagement einschließlich SBOM-Fähigkeit und Coordinated Vulnerability Disclosure. Lücken in der Lieferkette – etwa fehlende Zubringerpflichten für die Meldekette nach Art. 14 CRA oder eine nicht in maschinenlesbarem Format bereitgestellte SBOM – wirken sich unmittelbar auf die Erfüllbarkeit der Herstellerpflichten aus und können im Ergebnis eine Haftung des Herstellers gegenüber Behörden und Kunden begründen.
Wir prüfen Ihre Lieferantenverträge systematisch auf CRA-Konformität und erarbeiten bei Bedarf entsprechende Musterklauseln, priorisiert nach der Kritikalität der jeweiligen Zulieferkomponente.