Nexvyra

BSI TR-03183 – Technische Richtlinie zum Cyber Resilience Act (Teil 1 „General Requirements", Version 1.0.0)

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-15 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Die Technische Richtlinie BSI TR-03183 „Cyber Resilience Requirements for Manufacturers and Products" beschreibt die Auslegung des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu den Cyber-Resilienz-Anforderungen an Hersteller und Produkte und dient als Einstiegshilfe in den Cyber Resilience Act (Verordnung (EU) 2024/2847, CRA). Teil 1 „General Requirements" liegt seit dem 5. August 2026 in Version 1.0.0 vor. Die Richtlinie ist nach eigener Angabe des BSI nicht verbindlich und begründet keine Konformitätsvermutung – diese entsteht nach Art. 27 Abs. 1 CRA nur über harmonisierte Normen, deren Fundstellen im Amtsblatt der EU veröffentlicht sind. Verbindlich sind allein die Pflichten der Verordnung selbst: Art. 14 CRA gilt ab 11. September 2026, die übrige Verordnung ab 11. Dezember 2027 (Art. 71 Abs. 2 CRA).

Kernfakten

PunktWert
Vollständiger TitelBSI TR-03183 „Cyber Resilience Requirements for Manufacturers and Products" [BSI, Themenseite TR-03183, abgerufen 2026-08-15]
HerausgeberBundesamt für Sicherheit in der Informationstechnik (BSI)
Rechtlicher Charakterunverbindliche Orientierungshilfe; „is not binding or mandatory. It cannot be used as presumption of conformity" [BSI, Themenseite TR-03183]
BezugsrechtsaktVerordnung (EU) 2024/2847 (Cyber Resilience Act) [EUR-Lex, CELEX:32024R2847]
Teil 1 „General Requirements"Version 1.0.0, veröffentlicht 05.08.2026 [BSI-Meldung vom 05.08.2026]
Teil 2 „Software Bill of Materials (SBOM)"Version 2.1.0 [BSI, Themenseite TR-03183, abgerufen 2026-08-15]
Teil 3 „Vulnerability Reports and Notifications"Version 1.0.0 [BSI, Themenseite TR-03183, abgerufen 2026-08-15]
Teil H „Conformity based on full quality assurance (Module H)"Version 1.1.0 [BSI, Themenseite TR-03183, abgerufen 2026-08-15]
Neu in Teil 1 v1.0.0risikobasierter Ansatz zur Auswahl von IT-Sicherheitsmaßnahmen + Erstauswahl generischer Sicherheitsmaßnahmen im maschinenlesbaren OSCAL-Format (GitHub-Supplement) [BSI, Themenseite TR-03183, Abschnitt „Controls"]
Zugang zu den OSCAL-Controlsper E-Mail an tr03183@bsi.bund.de [BSI, Themenseite TR-03183, Abschnitt „Controls"]
Konformitätsvermutungnur bei Übereinstimmung mit harmonisierten Normen, deren Fundstellen im Amtsblatt veröffentlicht sind [Art. 27 Abs. 1 CRA]
Ablösung geplantTR wird „gradually developed further and replaced by the corresponding harmonized European standards as soon as they become available" [BSI, Themenseite TR-03183]
CRA – Inkrafttreten20. Tag nach Veröffentlichung im Amtsblatt [Art. 71 Abs. 1 CRA] – damit 10.12.2024
CRA – Geltung Art. 14 (Meldepflichten)11. September 2026 [Art. 71 Abs. 2 Satz 2 CRA]
CRA – Geltung Kapitel IV (Art. 35–51, notifizierte Stellen)11. Juni 2026 [Art. 71 Abs. 2 Satz 2 CRA]
CRA – Geltung im Übrigen11. Dezember 2027 [Art. 71 Abs. 2 Satz 1 CRA]
SBOM-Pflicht im CRAErmittlung und Dokumentation von Schwachstellen und Komponenten „u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen" [Anhang I Teil II Nr. 1 CRA]
Konformitätsbewertungsverfahreninterne Kontrolle (Modul A), EU-Baumusterprüfung + interne Fertigungskontrolle (Modul B/C), umfassende Qualitätssicherung (Modul H) oder europäisches Cybersicherheits-Zertifizierungsschema [Art. 32 Abs. 1 CRA i. V. m. Anhang VIII]

Geltungsbereich

Adressat der TR-03183 sind Hersteller von Produkten mit digitalen Elementen im Sinne des CRA. Das BSI richtet die Richtlinie ausdrücklich an Hersteller, die noch keine ausgereiften IT-Sicherheitsprozesse in Entwicklung und Schwachstellenbehandlung etabliert haben.

Die Richtlinie selbst begründet keine Rechtspflicht. Die verbindlichen Anforderungen ergeben sich ausschließlich aus der Verordnung (EU) 2024/2847 – insbesondere aus den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I (Produkteigenschaften) und Anhang I Teil II (Behandlung von Schwachstellen).

Die vier Teile der Richtlinie

TeilInhaltAktuelle Version
Teil 1„General Requirements" – Anforderungen an Hersteller und Produkte auf Basis der Artikel und Anhänge des CRA1.0.0
Teil 2„Software Bill of Materials (SBOM)" – formale und technische Anforderungen an Software-Stücklisten; enthält u. a. eine Empfehlung zum Mapping der Datenfelder auf die SBOM-Formate SPDX und CycloneDX2.1.0
Teil 3„Vulnerability Reports and Notifications" – Umgang mit eingehenden Schwachstellenmeldungen1.0.0
Teil H„Conformity based on full quality assurance (Module H)" – Herstelleranforderungen für den Konformitätsnachweis über ein ISO/IEC-27001-konformes ISMS (z. B. IT-Grundschutz)1.1.0

Ergänzend hat das BSI einen eigenen CycloneDX-Namespace registriert; die Taxonomie ist im BSI-GitHub-Account veröffentlicht.

Verhältnis zum Cyber Resilience Act

Die TR-03183 ist keine harmonisierte Norm im Sinne der Verordnung (EU) Nr. 1025/2012. Nach Art. 27 Abs. 1 CRA wird die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I nur für Produkte und Verfahren vermutet, die mit harmonisierten Normen oder Teilen davon übereinstimmen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht worden sind. Die Anwendung der TR-03183 ersetzt eine Konformitätsbewertung nach Art. 32 CRA daher nicht.

Praktische Funktion der Richtlinie ist die Vorbereitung: Sie übersetzt die Vorgaben des CRA in konkrete Maßnahmen und dokumentiert einen risikobasierten Auswahlprozess, bevor die Pflichten der Verordnung greifen.

Häufige Fehler / Missverständnisse

Verwandte Themen

Quellen

Änderungsverlauf

Stand

Aktuelles