Auf den Punkt: Das BSI stellt mit der unverbindlichen, vierteiligen Technischen Richtlinie TR-03183 eine Orientierungshilfe zu SBOM, Schwachstellenmanagement und Konformitätsbewertung für den Cyber Resilience Act bereit.
Das Bundesamt für Sicherheit in der Informationstechnik hat mit der Technischen Richtlinie TR-03183 eine unverbindliche Orientierungshilfe für Hersteller vernetzter Produkte veröffentlicht, die sich auf die Anforderungen des Cyber Resilience Act vorbereiten müssen. Für Compliance-Verantwortliche liefert das Dokument konkrete Anhaltspunkte zu SBOM, Schwachstellenmanagement und Konformitätsnachweisen, ersetzt aber keine formale Konformitätserklärung.
Der Cyber Resilience Act (CRA) verpflichtet Hersteller vernetzter Produkte zu Sicherheitsanforderungen über den gesamten Produktlebenszyklus, zu Schwachstellenmanagement, Meldepflichten sowie zur Dokumentation sämtlicher verbauter Softwarekomponenten. Die Verordnung greift vollständig ab dem 11. Dezember 2027. Das BSI hat mit der Technischen Richtlinie TR-03183 nun eine Starthilfe veröffentlicht, die vor allem Herstellern ohne ausgereifte IT-Sicherheitsprozesse in Entwicklung und Schwachstellenbehandlung Orientierung geben soll. Die TR-03183 ist ausdrücklich keine verbindliche Norm und kann nicht zum Nachweis der CRA-Konformität herangezogen werden; sie soll mittelfristig durch harmonisierte europäische Normen abgelöst werden.
Die Richtlinie gliedert sich in vier Teile. Teil 1 („General Requirements“, Version 1.0.0) bündelt die allgemeinen Anforderungen an Hersteller und Produkte entlang der CRA-Artikel und -Anhänge. Teil 2 (Version 2.1.0) behandelt die Software Bill of Materials (SBOM) und enthält unter anderem eine Zuordnungsempfehlung zwischen geforderten Datenfeldern und den Formaten SPDX sowie CycloneDX, einen überarbeiteten Lizenzabschnitt sowie neu eingeführte virtuelle und referenzierte Komponenten. Teil 3 (Version 1.0.0) beschreibt den Umgang mit eingehenden Schwachstellenmeldungen als Kernbestandteil der CRA-Meldepflichten. Teil H (Version 1.1.0) regelt die Konformitätsbewertung nach Modul H auf Basis eines ISO/IEC-27001-konformen Informationssicherheits-Managementsystems, etwa nach IT-Grundschutz – Hersteller mit bestehendem ISMS können ihre Prozesse hierüber auf Produktentwicklung und Schwachstellenbehandlung ausweiten.
Nach einer Kommentierungsphase liegt Teil 1 zusätzlich als Zwischenversion 0.10.0 vor, die einen risikobasierten Ansatz zur Auswahl von IT-Sicherheitsmaßnahmen sowie eine erste Sammlung generischer Maßnahmen im maschinenlesbaren Format OSCAL enthält. Diese Inhalte sind ergänzend auf Github verfügbar; der Zugang lässt sich über das Funktionspostfach tr03183@bsi.bund.de anfragen. Für die SBOM-Erstellung nach Teil 2 hat das BSI zudem einen eigenen, offiziell registrierten Namensraum für CycloneDX angelegt, dessen Taxonomie öffentlich auf dem Github-Account des BSI einsehbar ist.
Für Compliance-Teams bedeutet das Dokument vor allem eine strukturierte Checkliste, an der sich der Aufbau CRA-relevanter Prozesse orientieren lässt, ohne dass daraus ein formaler Konformitätsstatus abgeleitet werden kann. Angesichts der Übergangsfrist bis Ende 2027 empfiehlt sich eine frühzeitige Auseinandersetzung mit SBOM-Prozessen, Schwachstellenmanagement und der Frage, ob ein bestehendes ISMS für den Nachweis nach Modul H genutzt werden kann.
Quelle: www.it-daily.net · Erschienen 14. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.