BSI TR-03183 - Technische Richtlinie TR-03183: Cyber Resilience Requirements for Manufacturers and Products
BSI-Richtlinie zur technischen Umsetzung des Cyber Resilience Act
Lesezeit: 5 Min.
Was bedeutet BSI TR-03183?
Die BSI TR-03183 ist eine Technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik, die konkretisiert, wie Hersteller die Cybersicherheitsanforderungen des EU Cyber Resilience Act technisch erfüllen.
Die BSI TR-03183 („Cyber Resilience Requirements for Manufacturers and Products") ist eine Technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik. Sie übersetzt die eher abstrakt formulierten Anforderungen des EU Cyber Resilience Act (Verordnung (EU) 2024/2847) in prüfbare technische Vorgaben für Hersteller von Produkten mit digitalen Elementen. Die Richtlinie gliedert sich in vier Teile: Teil 1 (Version 1.0.0, Living Document) behandelt den risikobasierten Ansatz und das Bewertungsverfahren für Anhang I Teil I, Teil 2 (Version 2.1.0) legt Format und Pflichtfelder der Software Bill of Materials (SBOM) fest, Teil 3 (Version 1.0.0) regelt Schwachstellen-Meldungen und Sicherheitsmitteilungen, Teil H (Version 1.1.0) beschreibt den Weg zur CRA-Konformität über ein bestehendes ISO/IEC-27001-ISMS (Modul H). Alle Teile sind beim BSI kostenfrei abrufbar und werden fortlaufend an den Stand der CRA-Umsetzung angepasst.
Die vier Teile der TR-03183 im Überblick
Teil 1, Allgemeine Anforderungen: Beschreibt den risikobasierten Ansatz nach ISO 31000 (Identifikation, Analyse, Bewertung, Behandlung, Dokumentation), das Bewertungsverfahren mit den drei Ergebnissen PASS/FAIL/N/A sowie den Zeitpunkt der Bewertung. Die konkreten Kontrollen selbst liegen als OSCAL-Katalog auf GitHub, Zugang nur auf Anfrage beim BSI. Teil 2, Software Bill of Materials: Legt fest, welche elf Angaben je Komponente eine SBOM enthalten muss (u. a. SHA-512-Prüfsumme und Lizenz), in welchen Formaten sie ausgeliefert wird (CycloneDX ab Version 1.6 oder SPDX ab Version 3.0.1) und in welcher Detailtiefe Komponenten aufzuführen sind. Eine konforme SBOM darf keine Schwachstelleninformationen enthalten, dafür sind CSAF und VEX vorgesehen. Teil 3, Schwachstellen-Reports und Notifications: Regelt den Aufbau der security.txt, die Rollentrennung in PSIRT und CSIRT, Reaktionszeiten von 5 und 10 Arbeitstagen sowie die Offenlegung binnen 90, verlängerbar um weitere 90 Tage. Teil H, Modul H: Beschreibt, wie sich der Konformitätsweg über ein zertifiziertes ISO/IEC-27001-ISMS statt über eine produktweise Prüfung durch eine benannte Stelle abdecken lässt.
Verhältnis zum EU Cyber Resilience Act
Der Cyber Resilience Act formuliert in Anhang I, welche Eigenschaften ein Produkt haben und welche Prozesse ein Hersteller betreiben muss, aber nicht, wie das technisch aussieht. Genau diese Lücke füllt die TR-03183. Sie ist damit kein eigenständiges Regelwerk, sondern eine Umsetzungshilfe entlang der CRA-Systematik. Besonders eng ist der Bezug bei den Meldepflichten: CRA Art. 14 verlangt eine Frühwarnung innerhalb von 24 Stunden, eine Vollmeldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb von 14 Tagen nach Behebung. TR-03183-3 beschreibt, welche Inhalte diese Meldungen tragen müssen und wie der zugrunde liegende Prozess aufgebaut wird. Ebenso greift die SBOM-Pflicht aus Anhang I Teil II ineinander mit den Formatvorgaben aus TR-03183-2, und TR-03183-H konkretisiert Art. 32 (Modul H) für Hersteller mit bestehendem ISMS.
Ist die TR-03183 verbindlich?
Formal ist eine Technische Richtlinie des BSI kein Gesetz und begründet für sich genommen keine Rechtspflicht. Für CRA-pflichtige Hersteller ist sie praktisch dennoch maßgeblich, und zwar aus zwei Gründen. Erstens ist sie derzeit die konkreteste verfügbare Auslegung dessen, was der CRA technisch verlangt. Wer sich daran hält, kann gegenüber Marktaufsicht und Kunden begründen, dass die eigene Umsetzung dem Stand der Technik entspricht. Zweitens greifen Beschaffungsstellen und größere Abnehmer die Richtlinie zunehmend in Ausschreibungen und Lieferverträgen auf, wodurch sie auf vertraglichem Weg verbindlich wird. Die Bezeichnung als „freiwillig" ist daher irreführend: Wirtschaftlich verhält sie sich für Hersteller im Geltungsbereich des CRA wie eine Pflicht.
Was Hersteller konkret umsetzen müssen
SBOM aufbauen: Eine vollständige Stückliste aller eingesetzten Softwarekomponenten inklusive Versionen, Lizenzen und SHA-512-Prüfsumme, maschinenlesbar in CycloneDX ab 1.6 oder SPDX ab 3.0.1, automatisiert aus dem Build-Prozess erzeugt statt manuell gepflegt.
Schwachstellenprozess etablieren: Eine security.txt nach RFC 9116, getrennte PSIRT- und CSIRT-Rollen, definierte Reaktionszeiten von 5 und 10 Arbeitstagen sowie ein Verantwortlicher, der die Meldefristen überwacht. Advisory-Format wählen: Sicherheitsmitteilungen sollten maschinenlesbar veröffentlicht werden; CSAF 2.0 ist das dafür vorgesehene Format und deckt die geforderten Pflichtfelder ab. Update-Fähigkeit sicherstellen: Signierte Updates, Rollback-Schutz und ein dokumentierter Unterstützungszeitraum, in dem Sicherheitsupdates bereitgestellt werden.
Dokumentation führen: Risikobeurteilung, Testnachweise und Änderungshistorie so ablegen, dass sie im Rahmen der technischen Dokumentation vorgelegt werden können.
TR-03183 und andere Regelwerke
Die TR-03183 wird sukzessive durch die entsprechenden harmonisierten europäischen Normen abgelöst, sobald diese fertiggestellt und im EU-Amtsblatt zitiert sind, allen voran die horizontale EN-40000-1-x-Serie. Bis dahin bleibt die TR-03183 der praktikabelste Einstieg. Für Produkte im industriellen Umfeld greift zusätzlich die IEC 62443, die im CRA als harmonisierter Standard eine Konformitätsvermutung auslösen kann. TR-03183 und IEC 62443 widersprechen einander nicht, sondern setzen unterschiedliche Schwerpunkte: die eine auf die CRA-nahe technische Umsetzung, die andere auf den Secure Development Lifecycle. Für Betreiber statt Hersteller ist NIS-2 der einschlägige Rahmen; ein Unternehmen kann von beidem betroffen sein. Und für Organisationen mit einem ISMS nach ISO/IEC 27001 gilt: Die Controls aus Anhang A zu sicherer Entwicklung, Konfigurationsmanagement und Schwachstellenbehandlung decken einen Teil der TR-03183-Anforderungen bereits organisatorisch ab und lassen sich über TR-03183-H (Modul H) gezielt für die CRA-Konformität erweitern.
Praxis-Tool
Alle vier Teile der TR-03183 im Überblick - mit Verweisen auf die passende Fundstelle je CRA-Anforderung
BSI TR-03183 öffnen →Auch bekannt als
TR-03183 · TR 03183 · BSI TR 03183 · TR03183 · Technische Richtlinie 03183 · Cyber Resilience Requirements for Manufacturers and Products · TR-03183-H · Modul H
Teil des Themenbereichs: Compliance & Regulierung
- TARA - Threat Analysis and Risk Assessment
- NIS-2 - Network and Information Security Directive 2
- IT-Notfallmanagement - IT Incident Response
- CRA - Cyber Resilience Act
- IEC 62443 - Industrial Automation and Control Systems Security
- ISO 27001 - ISO/IEC 27001 - Norm für Informationssicherheits-Managementsysteme (ISMS)
- Risikoregister - Risk Register
- SoA - Statement of Applicability
- Risikomatrix - Risk Matrix
- Annex A - Annex A (ISO/IEC 27001:2022)
- BSI TR-03185 - Technische Richtlinie TR-03185: Sicherer Software-Lebenszyklus
- EN 40000 - Horizontale Normenreihe EN 40000-1-x zum Cyber Resilience Act
- Harmonisierte Norm - Harmonisierte europäische Norm mit Konformitätsvermutung
- CE-Kennzeichnung - CE-Kennzeichnung nach dem Cyber Resilience Act
- Konformitätsbewertung - Konformitätsbewertungsverfahren nach Art. 32 des Cyber Resilience Act
- Benannte Stelle - Notifizierte Konformitätsbewertungsstelle
- ISO 42001 - ISO/IEC 42001:2023 - AI Management System
- Fördermittel IT-Sicherheit - öffentliche Zuschüsse, Kredite und Beratungsförderung für IT-Sicherheitsmaßnahmen
Verwandte Begriffe
- BSI TR-03185 - Technische Richtlinie TR-03185: Sicherer Software-Lebenszyklus
- CRA - Cyber Resilience Act
- SBOM - Software Bill of Materials
- CSAF - Common Security Advisory Framework
- PSIRT - Product Security Incident Response Team
- CVE - Common Vulnerabilities and Exposures
- CWE - Common Weakness Enumeration
- IEC 62443 - Industrial Automation and Control Systems Security
- EN 40000 - Horizontale Normenreihe EN 40000-1-x zum Cyber Resilience Act
- Konformitätsbewertung - Konformitätsbewertungsverfahren nach Art. 32 des Cyber Resilience Act
- CVD - Coordinated Vulnerability Disclosure
- security.txt - security.txt nach RFC 9116
- VEX - Vulnerability Exploitability eXchange
Quellen
- BSI: Technische Richtlinie TR-03183
- BSI TR-03183 (englischsprachige Downloadseite)
- Verordnung (EU) 2024/2847 (Cyber Resilience Act)
- OASIS CSAF 2.0
Zuletzt aktualisiert: 2026-08-13
Häufige Fragen zu BSI TR-03183
Was ist die BSI TR-03183?
Die BSI TR-03183 ist eine Technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik mit dem Titel „Cyber Resilience Requirements for Manufacturers and Products". Sie beschreibt, wie Hersteller die Anforderungen des EU Cyber Resilience Act technisch umsetzen, und gliedert sich in vier Teile zu allgemeinen Anforderungen, SBOM, Schwachstellen-Meldungen und Modul H.
Aus welchen Teilen besteht die TR-03183?
Aus vier Teilen. Teil 1 (Version 1.0.0, Living Document) behandelt den risikobasierten Ansatz und das Bewertungsverfahren. Teil 2 (Version 2.1.0) legt Inhalt und Format der Software Bill of Materials fest, anerkannt sind CycloneDX ab 1.6 und SPDX ab 3.0.1. Teil 3 (Version 1.0.0) regelt Schwachstellen-Reports, koordinierte Offenlegung und Sicherheitsmitteilungen. Teil H (Version 1.1.0) beschreibt Modul H über ein bestehendes ISO/IEC-27001-ISMS.
Ist die BSI TR-03183 verpflichtend?
Formal ist sie eine Technische Richtlinie und kein Gesetz. Für Hersteller im Geltungsbereich des Cyber Resilience Act ist sie praktisch dennoch maßgeblich: Sie ist die konkreteste verfügbare Auslegung der CRA-Anforderungen und wird zunehmend in Ausschreibungen und Lieferverträgen verlangt. Sie als „freiwillig" zu beschreiben ist daher irreführend.
Was regelt TR-03183-2?
Teil 2 regelt die Software Bill of Materials: elf Pflichtfelder je Komponente (u. a. Name, Version, Abhängigkeiten, Lizenz und SHA-512-Prüfsumme), zulässige Formate (CycloneDX ab Version 1.6 oder SPDX ab Version 3.0.1) und die Detailtiefe der Stückliste. Eine konforme SBOM darf keine Schwachstelleninformationen enthalten, dafür sind CSAF und VEX vorgesehen.
Was regelt TR-03183-3?
Teil 3 behandelt Schwachstellen-Reports und Notifications. Er beschreibt den Aufbau der security.txt, getrennte PSIRT- und CSIRT-Rollen, Reaktionszeiten von 5 und 10 Arbeitstagen und die Offenlegung binnen 90, verlängerbar um weitere 90 Tage. Wer sich daran hält, erfüllt die wesentlichen Anforderungen aus CRA Art. 14: die 24-Stunden-Frühwarnung, die 72-Stunden-Vollmeldung und den Abschlussbericht.
Was ist TR-03183-H?
Teil H beschreibt Modul H nach Art. 32 CRA über ein bestehendes ISO/IEC-27001-ISMS. Statt jedes Produkt einzeln durch eine benannte Stelle prüfen zu lassen, kann ein zertifiziertes ISMS den Konformitätsweg abdecken, sofern es Design, Entwicklung, Produktion und Schwachstellenbehandlung umfasst und sechs Annex-A-Controls (u. a. A.8.8, A.8.25, A.8.29) CRA-spezifisch erweitert.
Wo finde ich die BSI TR-03183?
Alle vier Teile stehen kostenfrei auf der Website des BSI im Bereich Technische Richtlinien zum Download bereit. Sie werden fortlaufend überarbeitet, weshalb sich ein Blick auf die Versionsnummer und das Veröffentlichungsdatum lohnt, bevor eine Fassung als Umsetzungsgrundlage herangezogen wird.