BSI TR-03183 Cyber-Resilienz-Anforderungen
Was ist die BSI TR-03183?
Die BSI TR-03183 ist eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte Technische Richtlinie, die Cyber-Resilienz-Anforderungen an Hersteller und Produkte mit digitalen Elementen beschreibt. Sie dient ausdrücklich als Orientierungs- und Einstiegshilfe zur Vorbereitung auf die Anforderungen des Cyber Resilience Act (Verordnung (EU) 2024/2847).
Im Fokus stehen insbesondere Hersteller, die bislang keine oder nur wenig formalisierte IT-Sicherheitsprozesse in den Bereichen Secure Development, Schwachstellenmanagement oder Produktpflege etabliert haben.
Wichtig ist: Die BSI TR-03183 hat keinen verbindlichen oder normativen Charakter und begründet keine Konformitätsvermutung im Sinne des CRA.
Einordnung im Kontext des Cyber Resilience Act (CRA)
Der Cyber Resilience Act ist im Dezember 2024 in Kraft getreten. Die vollständige Anwendung erfolgt nach Übergangsfristen spätestens zum 11. Dezember 2027. Ziel des CRA ist es, ein einheitliches Mindestniveau an Cybersicherheit für Hardware- und Softwareprodukte im EU-Binnenmarkt sicherzustellen.
Die BSI TR-03183 fungiert dabei als:
- Brücke zwischen Gesetzestext und Praxis
- Vorbereitendes Instrument, bis harmonisierte europäische Normen verfügbar sind
- Strukturhilfe für Hersteller zur systematischen Umsetzung der CRA-Pflichten
Sobald entsprechende harmonisierte europäische Standards vorliegen, soll die BSI TR-03183 schrittweise durch diese ersetzt werden.
Zielgruppe der BSI TR-03183
Die Technische Richtlinie richtet sich insbesondere an:
- Hersteller von Hardware- und Softwareprodukten
- Anbieter von Produkten mit digitalen Elementen
- Organisationen ohne etablierte Secure-by-Design- und Secure-by-Default-Prozesse
- Kleine und mittlere Hersteller, die eine praxisnahe Einstiegshilfe benötigen
Für Hersteller mit bereits reifen ISMS-, SSDLC- oder Vulnerability-Management-Prozessen dient die TR-03183 vor allem als Abgleich- und Strukturierungsinstrument.
Aufbau und Inhalte der BSI TR-03183
Die BSI TR-03183 besteht aktuell aus drei Teilen, die jeweils unterschiedliche Aspekte der Cyber-Resilienz adressieren.
Teil 1: General Requirements (Version 0.10.0)
BSI TR-03183-1 bündelt allgemeine Cyber-Resilienz-Anforderungen an Hersteller und Produkte, abgeleitet aus den Artikeln und Anhängen des CRA.
Zentrale Inhalte sind:
- Ableitung grundlegender Sicherheitsanforderungen aus dem CRA
- Risikobasierter Ansatz zur Auswahl angemessener IT-Sicherheitsmaßnahmen
- Erste Sammlung generischer Sicherheitsmaßnahmen
- Bereitstellung von Sicherheitskontrollen im maschinenlesbaren Format (OSCAL)
Teil 1 bildet das methodische Fundament für die Umsetzung von Cyber-Resilienz entlang des gesamten Produktlebenszyklus.
Teil 2: Software Bill of Materials (SBOM) (Version 2.1.0)
BSI TR-03183-2 konkretisiert die Anforderungen an eine Software Bill of Materials (SBOM), die unter dem CRA eine zentrale Rolle spielt.
Schwerpunkte sind:
- Formale und inhaltliche Anforderungen an SBOMs
- Zuordnung der Datenfelder zu SPDX und CycloneDX
- Überarbeitung des Lizenzkapitels
- Einführung virtueller und referenzierter Komponenten
- Nutzung eines vom BSI definierten CycloneDX-Namespaces
Teil 2 unterstützt Hersteller dabei, Transparenz über Software-Lieferketten herzustellen und Schwachstellen effizient zu identifizieren.
Teil 3: Vulnerability Reports and Notifications (Version 1.0.0)
BSI TR-03183-3 befasst sich mit dem Umgang mit Schwachstellenmeldungen und den damit verbundenen Prozessen.
Behandelt werden unter anderem:
- Entgegennahme und Bewertung externer Vulnerability Reports
- Interne Prozesse zur Behandlung von Schwachstellen
- Vorbereitung auf Melde- und Informationspflichten nach dem CRA
Damit adressiert Teil 3 einen Kernbereich der CRA-Pflichten: das aktive und transparente Schwachstellenmanagement.
Rechtscharakter und Abgrenzung
Die BSI TR-03183 ist ausdrücklich:
- nicht verpflichtend
- nicht rechtsverbindlich
- keine harmonisierte Norm
- keine Grundlage für eine Konformitätsvermutung
Sie ist als Hilfestellung konzipiert und ersetzt weder den CRA selbst noch zukünftige europäische Normen.
Weiterentwicklung und Workshops
Die Technische Richtlinie ist als lebendes Dokument angelegt. Das BSI:
- wertet kontinuierlich Feedback aus,
- entwickelt Inhalte gemeinsam mit relevanten Stakeholdern weiter,
- nutzt die Ergebnisse als Input für die europäische Standardisierung.
Ergänzend werden Hersteller-Workshops durchgeführt, um den risikobasierten Ansatz praxisnah weiterzuentwickeln.
Bedeutung der BSI TR-03183 für Hersteller
Die BSI TR-03183 bietet Herstellern eine strukturierte, praxisorientierte Vorbereitung auf den Cyber Resilience Act, ohne bereits rechtlich zu binden. Sie hilft dabei,
- CRA-Anforderungen frühzeitig zu verstehen,
- Sicherheits-, SBOM- und Vulnerability-Prozesse systematisch aufzubauen,
- den Übergang zu harmonisierten europäischen Standards vorzubereiten.
Gerade in der Übergangsphase bis 2027 stellt die BSI TR-03183 ein zentrales Orientierungsinstrument für Cyber-Resilienz im Produktumfeld dar.