Die auffälligste Neuerung dieses Regimes ist eine Pflicht, die das Kaufrecht in dieser Form nicht kannte. § 327f I 1 BGB: Der Unternehmer hat sicherzustellen, dass dem Verbraucher während des maßgeblichen Zeitraums Aktualisierungen bereitgestellt werden, „die für den Erhalt der Vertragsgemäßigkeit des digitalen Produkts erforderlich sind“, und dass der Verbraucher über sie informiert wird. Satz 2 stellt klar: „Zu den erforderlichen Aktualisierungen gehören auch Sicherheitsaktualisierungen.“
Geschuldet ist damit nicht jede Verbesserung, sondern nur, was den vertragsgemäßen Zustand erhält. Eine neue Funktion muss niemand nachliefern; einen geschlossenen Sicherheitsmangel schon.
Wie lange? § 327f I 3 BGB unterscheidet: Bei dauerhafter Bereitstellung ist es der Bereitstellungszeitraum (Nr. 1), sonst der Zeitraum, „den der Verbraucher aufgrund der Art und des Zwecks des digitalen Produkts und unter Berücksichtigung der Umstände und der Art des Vertrags erwarten kann“ (Nr. 2). Eine Zahl nennt das Gesetz nicht. Zwei Jahre werden häufig als Leitwert genannt — als Ausgangspunkt für die Erwartung, nicht als Frist; bei einem langlebigen Gerät kann deutlich mehr geschuldet sein.
Die Pflicht hat eine Kehrseite. Installiert der Verbraucher eine bereitgestellte Aktualisierung nicht innerhalb angemessener Frist, haftet der Unternehmer nach § 327f II BGB nicht für einen Mangel, der allein darauf zurückgeht — aber nur, wenn er über Verfügbarkeit und Folgen informiert hat (Nr. 1) und die Installationsanleitung nicht mangelhaft war (Nr. 2).