Nexvyra

BSI TR-03183 – Technische Richtlinie zum Cyber Resilience Act (Teil 1 „General Requirements", Version 1.0.0) In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-08-15 · letzte Prüfung: 2026-08-15 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Die Technische Richtlinie **BSI TR-03183 „Cyber Resilience Requirements for Manufacturers and Products"** beschreibt die Auslegung des **Bundesamts für Sicherheit in der Informationstechnik (BSI)** zu den Cyber-Resilienz-Anforderungen an Hersteller und Produkte und dient als **Einstiegshilfe in den Cyber Resilience Act (Verordnung (EU) 2024/2847, CRA)**. **Teil 1 „General Requirements"** liegt seit dem **5. August 2026** in **Version 1.0.0** vor. Die Richtlinie ist nach eigener Angabe des BSI **nicht verbindlich und begründet keine Konformitätsvermutung** – diese entsteht nach **Art. 27 Abs. 1 CRA** nur über harmonisierte Normen, deren Fundstellen im Amtsblatt der EU veröffentlicht sind. Verbindlich sind allein die Pflichten der Verordnung selbst: **Art. 14 CRA gilt ab 11. September 2026**, die übrige Verordnung **ab 11. Dezember 2027** (Art. 71 Abs. 2 CRA).

Kernfakten

PunktWert
Vollständiger TitelBSI TR-03183 „Cyber Resilience Requirements for Manufacturers and Products" [BSI, Themenseite TR-03183, abgerufen 2026-08-15]
HerausgeberBundesamt für Sicherheit in der Informationstechnik (BSI)
Rechtlicher Charakterunverbindliche Orientierungshilfe; „is not binding or mandatory. It cannot be used as presumption of conformity" [BSI, Themenseite TR-03183]
BezugsrechtsaktVerordnung (EU) 2024/2847 (Cyber Resilience Act) [EUR-Lex, CELEX:32024R2847]
Teil 1 „General Requirements"Version 1.0.0, veröffentlicht 05.08.2026 [BSI-Meldung vom 05.08.2026]
Teil 2 „Software Bill of Materials (SBOM)"Version 2.1.0 [BSI, Themenseite TR-03183, abgerufen 2026-08-15]
Teil 3 „Vulnerability Reports and Notifications"Version 1.0.0 [BSI, Themenseite TR-03183, abgerufen 2026-08-15]
Teil H „Conformity based on full quality assurance (Module H)"Version 1.1.0 [BSI, Themenseite TR-03183, abgerufen 2026-08-15]
Neu in Teil 1 v1.0.0risikobasierter Ansatz zur Auswahl von IT-Sicherheitsmaßnahmen + Erstauswahl generischer Sicherheitsmaßnahmen im maschinenlesbaren OSCAL-Format (GitHub-Supplement) [BSI, Themenseite TR-03183, Abschnitt „Controls"]
Zugang zu den OSCAL-Controlsper E-Mail an tr03183@bsi.bund.de [BSI, Themenseite TR-03183, Abschnitt „Controls"]
Konformitätsvermutungnur bei Übereinstimmung mit harmonisierten Normen, deren Fundstellen im Amtsblatt veröffentlicht sind [Art. 27 Abs. 1 CRA]
Ablösung geplantTR wird „gradually developed further and replaced by the corresponding harmonized European standards as soon as they become available" [BSI, Themenseite TR-03183]
CRA – Inkrafttreten20. Tag nach Veröffentlichung im Amtsblatt [Art. 71 Abs. 1 CRA] – damit 10.12.2024
CRA – Geltung Art. 14 (Meldepflichten)11. September 2026 [Art. 71 Abs. 2 Satz 2 CRA]
CRA – Geltung Kapitel IV (Art. 35–51, notifizierte Stellen)11. Juni 2026 [Art. 71 Abs. 2 Satz 2 CRA]
CRA – Geltung im Übrigen11. Dezember 2027 [Art. 71 Abs. 2 Satz 1 CRA]
SBOM-Pflicht im CRAErmittlung und Dokumentation von Schwachstellen und Komponenten „u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen" [Anhang I Teil II Nr. 1 CRA]
Konformitätsbewertungsverfahreninterne Kontrolle (Modul A), EU-Baumusterprüfung + interne Fertigungskontrolle (Modul B/C), umfassende Qualitätssicherung (Modul H) oder europäisches Cybersicherheits-Zertifizierungsschema [Art. 32 Abs. 1 CRA i. V. m. Anhang VIII]

Geltungsbereich

Adressat der TR-03183 sind Hersteller von Produkten mit digitalen Elementen im Sinne des CRA. Das BSI richtet die Richtlinie ausdrücklich an Hersteller, die noch keine ausgereiften IT-Sicherheitsprozesse in Entwicklung und Schwachstellenbehandlung etabliert haben.

Die Richtlinie selbst begründet keine Rechtspflicht. Die verbindlichen Anforderungen ergeben sich ausschließlich aus der Verordnung (EU) 2024/2847 – insbesondere aus den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I (Produkteigenschaften) und Anhang I Teil II (Behandlung von Schwachstellen).

Die vier Teile der Richtlinie

| Teil | Inhalt | Aktuelle Version | |---|---|---| | Teil 1 | „General Requirements" – Anforderungen an Hersteller und Produkte auf Basis der Artikel und Anhänge des CRA | 1.0.0 | | Teil 2 | „Software Bill of Materials (SBOM)" – formale und technische Anforderungen an Software-Stücklisten; enthält u. a. eine Empfehlung zum Mapping der Datenfelder auf die SBOM-Formate SPDX und CycloneDX | 2.1.0 | | Teil 3 | „Vulnerability Reports and Notifications" – Umgang mit eingehenden Schwachstellenmeldungen | 1.0.0 | | Teil H | „Conformity based on full quality assurance (Module H)" – Herstelleranforderungen für den Konformitätsnachweis über ein ISO/IEC-27001-konformes ISMS (z. B. IT-Grundschutz) | 1.1.0 |

Ergänzend hat das BSI einen eigenen CycloneDX-Namespace registriert; die Taxonomie ist im BSI-GitHub-Account veröffentlicht.

Verhältnis zum Cyber Resilience Act

Die TR-03183 ist keine harmonisierte Norm im Sinne der Verordnung (EU) Nr. 1025/2012. Nach Art. 27 Abs. 1 CRA wird die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I nur für Produkte und Verfahren vermutet, die mit harmonisierten Normen oder Teilen davon übereinstimmen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht worden sind. Die Anwendung der TR-03183 ersetzt eine Konformitätsbewertung nach Art. 32 CRA daher nicht.

Praktische Funktion der Richtlinie ist die Vorbereitung: Sie übersetzt die Vorgaben des CRA in konkrete Maßnahmen und dokumentiert einen risikobasierten Auswahlprozess, bevor die Pflichten der Verordnung greifen.

Häufige Fehler / Missverständnisse

Verwandte Themen

Quellen

Änderungsverlauf

Stand

Quellen

Letzte Änderung:
2026-08-15
Letzte Prüfung:
2026-08-15
In Kraft seit:
2026-08-05
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.