Seminar Cyber Resilience Act – Update-, Patch- und Support-Lifecycle

Sicherheit endet nicht mit der Markteinführung. Der Supportzeitraum folgt der erwarteten Nutzungsdauer und beträgt grundsätzlich mindestens fünf Jahre, sofern keine kürzere erwartete Nutzung begründet werden kann. Bei langlebigeren Produkten reicht die pauschale Fünfjahresannahme nicht aus. Veröffentlichte Sicherheitsupdates müssen mindestens zehn Jahre oder für den längeren verbleibenden Supportzeitraum verfügbar bleiben.

Im Seminar wird ein durchgängiger Lifecycle für mehrere Produktvarianten entwickelt. Ein kritischer Schwachstellenfall zeigt, wie Triage, Fix, Backport, Test, Notfallfreigabe, Updateverteilung und Nachweisführung unter Zeitdruck zusammenspielen.

Seminarziel

Ziel ist ein belastbarer Update- und Supportprozess, der Sicherheitskorrekturen priorisiert, sicher ausliefert und auch bei alten Versionen, Offline-Produkten oder fehlgeschlagenen Updates handlungsfähig bleibt.

Lernziele

• Supportzeitraum aus erwarteter Nutzungsdauer, Produktart, Abhängigkeiten und Marktvergleich begründen
• Versionen, Plattformen und Varianten mit eindeutiger Supportmatrix steuern
• Patch-SLAs und Eskalationen nach Schweregrad und Ausnutzbarkeit definieren
• Updatepakete authentisch, integer, fehlertolerant und rücksetzbar ausliefern
• Notfallpatches mit angemessenen Tests und dokumentierter Risikoentscheidung freigeben
• Enddatum mit Monat und Jahr kommunizieren sowie End of Support, Restbestände und Migration planen
• Lifecycle-Evidenz mit PSIRT, SBOM und technischer Dokumentation verbinden

Inhalte

Support- und Versionsstrategie

• Mindestens fünfjähriger Supportzeitraum, begründete Ausnahmen, längere erwartete Nutzung und Ersatzteilkontext
• Releasekanäle, Long-Term-Support, Backports und Plattformkompatibilität
• Inventar ausgelieferter Versionen und Ermittlung betroffener Produktstände
• End-of-Support-Entscheidung, fortbestehende Meldepflicht, Übergangsmaßnahmen und Migrationspfade

Sichere Updatearchitektur

• Signierte Metadaten und Pakete, Schlüsselrollen, Rotation und Sperrung
• Anti-Rollback, Rollback, atomare Installation und Wiederanlauf
• Online-, Offline-, Embedded- und gestaffelte Verteilmodelle
• Schutz vor Downgrade, Replay, Mirror-Manipulation und kompromittierten Updatekonten

Patchbetrieb und Nachweise

• Priorisierung, Fixstrategie, Backport, Regression und Notfallfreigabe
• Pilotgruppen, gestaffelter Rollout, Telemetrie und Abbruchkriterien
• Advisory, Release Notes, Enddatum des Supports, Kundeninformation und sichere Workarounds
• Zehnjährige Updateverfügbarkeit, Kennzahlen, überfällige Patches, Ausnahmen und Lifecycle-Dokumentation

Praktische Übungen

• Supportmatrix und Patch-SLAs für eine Produktfamilie erstellen
• Threat Model einer Updatearchitektur erarbeiten
• Signatur-, Schlüsselrotations- und Rollbackkonzept entwerfen
• Kritischen Patch durch Triage, Test, Freigabe und gestaffelten Rollout steuern
• End-of-Support-Plan mit Datumsangabe, Updatearchiv, Kundeninformation und Risikobehandlung erstellen

Zielgruppe

Das Seminar richtet sich an Rollen, die Sicherheitsupdates entwickeln, freigeben, verteilen oder die sichere Produktunterstützung über mehrere Versionen hinweg verantworten.