BSI TR-03183 - Technische Richtlinie TR-03183: Cyber Resilience Requirements for Manufacturers and Products
BSI-Richtlinie zur technischen Umsetzung des Cyber Resilience Act
Was bedeutet BSI TR-03183?
Die BSI TR-03183 ist eine Technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik, die konkretisiert, wie Hersteller die Cybersicherheitsanforderungen des EU Cyber Resilience Act technisch erfüllen.
Die BSI TR-03183 („Cyber Resilience Requirements for Manufacturers and Products") ist eine Technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik. Sie übersetzt die eher abstrakt formulierten Anforderungen des EU Cyber Resilience Act (Verordnung (EU) 2024/2847) in prüfbare technische Vorgaben für Hersteller von Produkten mit digitalen Elementen. Die Richtlinie gliedert sich in drei Teile: Teil 1 behandelt allgemeine Anforderungen an Produkte und Herstellerprozesse, Teil 2 legt Format und Inhalt der Software Bill of Materials (SBOM) fest, Teil 3 regelt Schwachstellen-Meldungen und Sicherheitsmitteilungen. Alle Teile sind beim BSI kostenfrei abrufbar und werden fortlaufend an den Stand der CRA-Umsetzung angepasst.
Die drei Teile der TR-03183 im Überblick
Teil 1 – Allgemeine Anforderungen: Beschreibt die grundlegenden Sicherheitseigenschaften, die ein Produkt mit digitalen Elementen mitbringen muss, sowie die Prozessanforderungen an den Hersteller. Dazu zählen sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff, Integritätsschutz für Updates, Minimierung der Angriffsfläche und ein definierter Umgang mit Sicherheitsupdates über den Unterstützungszeitraum. Teil 2 – Software Bill of Materials: Legt fest, welche Angaben eine SBOM enthalten muss, in welchen Formaten sie ausgeliefert wird und in welcher Detailtiefe Komponenten aufzuführen sind. Anerkannt sind die etablierten Formate CycloneDX und SPDX. Der Teil beschreibt außerdem, wann eine SBOM aktualisiert werden muss und wie sie Abnehmern bereitgestellt wird. Teil 3 – Schwachstellen-Reports und Notifications: Regelt den Prozess der koordinierten Schwachstellenoffenlegung, den Pflichtinhalt von Schwachstellenmeldungen und das Vorgehen nach Bekanntwerden einer Schwachstelle. Er ist der Teil mit dem unmittelbarsten Bezug zu den Meldefristen des CRA.
Verhältnis zum EU Cyber Resilience Act
Der Cyber Resilience Act formuliert in Anhang I, welche Eigenschaften ein Produkt haben und welche Prozesse ein Hersteller betreiben muss – aber nicht, wie das technisch aussieht. Genau diese Lücke füllt die TR-03183. Sie ist damit kein eigenständiges Regelwerk, sondern eine Umsetzungshilfe entlang der CRA-Systematik. Besonders eng ist der Bezug bei den Meldepflichten: CRA Art. 14 verlangt eine Frühwarnung innerhalb von 24 Stunden, eine Vollmeldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb von 14 Tagen nach Behebung. TR-03183-3 beschreibt, welche Inhalte diese Meldungen tragen müssen und wie der zugrunde liegende Prozess aufgebaut wird. Ebenso greift die SBOM-Pflicht aus Anhang I Teil II ineinander mit den Formatvorgaben aus TR-03183-2.
Ist die TR-03183 verbindlich?
Formal ist eine Technische Richtlinie des BSI kein Gesetz und begründet für sich genommen keine Rechtspflicht. Für CRA-pflichtige Hersteller ist sie praktisch dennoch maßgeblich, und zwar aus zwei Gründen. Erstens ist sie derzeit die konkreteste verfügbare Auslegung dessen, was der CRA technisch verlangt – wer sich daran hält, kann gegenüber Marktaufsicht und Kunden begründen, dass die eigene Umsetzung dem Stand der Technik entspricht. Zweitens greifen Beschaffungsstellen und größere Abnehmer die Richtlinie zunehmend in Ausschreibungen und Lieferverträgen auf, wodurch sie auf vertraglichem Weg verbindlich wird. Die Bezeichnung als „freiwillig" ist daher irreführend: Wirtschaftlich verhält sie sich für Hersteller im Geltungsbereich des CRA wie eine Pflicht.
Was Hersteller konkret umsetzen müssen
SBOM aufbauen: Eine vollständige Stückliste aller eingesetzten Softwarekomponenten inklusive Versionen und Lizenzen, maschinenlesbar in CycloneDX oder SPDX, automatisiert aus dem Build-Prozess erzeugt statt manuell gepflegt.
Schwachstellenprozess etablieren: Eine erreichbare Meldestelle für Sicherheitsforscher, eine Security-Policy nach RFC 9116, definierte Bewertungs- und Reaktionszeiten sowie ein Verantwortlicher, der die Meldefristen überwacht. Advisory-Format wählen: Sicherheitsmitteilungen sollten maschinenlesbar veröffentlicht werden; CSAF 2.0 ist das dafür vorgesehene Format und deckt die geforderten Pflichtfelder ab. Update-Fähigkeit sicherstellen: Signierte Updates, Rollback-Schutz und ein dokumentierter Unterstützungszeitraum, in dem Sicherheitsupdates bereitgestellt werden.
Dokumentation führen: Risikobeurteilung, Testnachweise und Änderungshistorie so ablegen, dass sie im Rahmen der technischen Dokumentation vorgelegt werden können.
TR-03183 und andere Regelwerke
Die TR-03183 steht nicht allein. Für Produkte im industriellen Umfeld greift zusätzlich die IEC 62443, die im CRA als harmonisierter Standard eine Konformitätsvermutung auslösen kann – TR-03183 und IEC 62443 widersprechen einander nicht, sondern setzen unterschiedliche Schwerpunkte: die eine auf die CRA-nahe technische Umsetzung, die andere auf den Secure Development Lifecycle. Für Betreiber statt Hersteller ist NIS-2 der einschlägige Rahmen; ein Unternehmen kann von beidem betroffen sein. Und für Organisationen mit einem ISMS nach ISO/IEC 27001 gilt: Die Controls aus Anhang A zu sicherer Entwicklung, Konfigurationsmanagement und Schwachstellenbehandlung decken einen Teil der TR-03183-Anforderungen bereits organisatorisch ab, ersetzen aber die produktbezogenen Vorgaben nicht.
Praxis-Tool
Prüfe, welche CRA-Pflichten für dein Produkt gelten - die TR-03183 beschreibt die technische Umsetzung
Zum CRA-Klartext →Auch bekannt als
TR-03183 · TR 03183 · BSI TR 03183 · TR03183 · Technische Richtlinie 03183 · Cyber Resilience Requirements for Manufacturers and Products
Teil des Themenbereichs: Compliance & Regulierung
- TARA - Threat Analysis and Risk Assessment
- NIS-2 - Network and Information Security Directive 2
- CRA - Cyber Resilience Act
- IEC 62443 - Industrial Automation and Control Systems Security
- Risikoregister - Risk Register
- SoA - Statement of Applicability
- Risikomatrix - Risk Matrix
- Annex A - Annex A (ISO/IEC 27001:2022)
- ISO 42001 - ISO/IEC 42001:2023 - AI Management System
Verwandte Begriffe
Quellen
Zuletzt aktualisiert: 2026-08-02
Häufige Fragen zu BSI TR-03183
Was ist die BSI TR-03183?
Die BSI TR-03183 ist eine Technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik mit dem Titel „Cyber Resilience Requirements for Manufacturers and Products". Sie beschreibt, wie Hersteller die Anforderungen des EU Cyber Resilience Act technisch umsetzen, und gliedert sich in drei Teile zu allgemeinen Anforderungen, SBOM und Schwachstellen-Meldungen.
Aus welchen Teilen besteht die TR-03183?
Aus drei Teilen. Teil 1 behandelt allgemeine Sicherheits- und Prozessanforderungen an Produkte und Hersteller. Teil 2 legt Inhalt und Format der Software Bill of Materials fest, anerkannt sind CycloneDX und SPDX. Teil 3 regelt Schwachstellen-Reports, koordinierte Offenlegung und Sicherheitsmitteilungen.
Ist die BSI TR-03183 verpflichtend?
Formal ist sie eine Technische Richtlinie und kein Gesetz. Für Hersteller im Geltungsbereich des Cyber Resilience Act ist sie praktisch dennoch maßgeblich: Sie ist die konkreteste verfügbare Auslegung der CRA-Anforderungen und wird zunehmend in Ausschreibungen und Lieferverträgen verlangt. Sie als „freiwillig" zu beschreiben ist daher irreführend.
Was regelt TR-03183-2?
Teil 2 regelt die Software Bill of Materials: welche Angaben je Komponente erforderlich sind, in welcher Detailtiefe die Stückliste aufgebaut sein muss, welche Formate zulässig sind – CycloneDX und SPDX – und wann sie zu aktualisieren und wie sie Abnehmern bereitzustellen ist.
Was regelt TR-03183-3?
Teil 3 behandelt Schwachstellen-Reports und Notifications. Er beschreibt den Prozess der koordinierten Schwachstellenoffenlegung, den Pflichtinhalt von Meldungen und das Vorgehen nach Bekanntwerden einer Schwachstelle. Wer sich daran hält, erfüllt die wesentlichen Anforderungen aus CRA Art. 14 – die 24-Stunden-Frühwarnung, die 72-Stunden-Vollmeldung und den Abschlussbericht.
Wo finde ich die BSI TR-03183?
Alle drei Teile stehen kostenfrei auf der Website des BSI im Bereich Technische Richtlinien zum Download bereit. Sie werden fortlaufend überarbeitet, weshalb sich ein Blick auf die Versionsnummer und das Veröffentlichungsdatum lohnt, bevor eine Fassung als Umsetzungsgrundlage herangezogen wird.