BSI TR-03183: Was die Technische Richtlinie regelt und was nicht

Einleitung

Das Bundesamt für Sicherheit in der Informationstechnik hat am 5. August 2026 den ersten Teil seiner Technischen Richtlinie TR-03183 in Version 1.0.0 veröffentlicht. In der Fachpresse wurde daraus schnell die Meldung, das BSI habe die Anforderungen des Cyber Resilience Act konkretisiert.

Das ist zutreffend und führt trotzdem in die Irre. Das BSI schreibt in derselben Mitteilung, die Richtlinie besitze keinen verpflichtenden oder verbindlichen Charakter. Wer sie umsetzt, ist deshalb nicht automatisch CRA-konform. Wer sie ignoriert, verstößt gegen nichts.

Dieser Artikel ordnet ein, was die Richtlinie leistet, für wen sie gedacht ist und in welchem Verhältnis sie zur Meldepflicht am 11. September 2026 steht.

Was die TR-03183 ist

Der Cyber Resilience Act beschreibt in Anhang I, welche Eigenschaften ein Produkt haben und welche Prozesse ein Hersteller betreiben muss. Er beschreibt nicht, wie das technisch aussieht. Genau diese Lücke füllt die TR-03183: sie übersetzt die abstrakten Anforderungen in prüfbare technische Vorgaben.

Die Richtlinie besteht aus drei Teilen und einem Zusatzdokument:

• Teil 1, General Requirementsbehandelt allgemeine Anforderungen an Produkte und Herstellerprozesse. Dieser Teil ist seit dem 5. August in Version 1.0.0 verfügbar.
• Teil 2, Software Bill of Materialslegt Format und Inhalt der Stückliste der Software-Bestandteile fest. Er ist der Grund, warum SBOM-Anforderungen in Deutschland konkreter sind als der Verordnungstext selbst.
• Teil 3, Vulnerability Reports and Notificationsregelt den Umgang mit Schwachstellenmeldungen und die Meldung von Sicherheitsvorfällen. Das ist der Teil mit dem engsten Bezug zur Frist am 11. September.
• Modul Hbeschreibt die Konformitätsbewertung über eine umfassende Qualitätssicherung nach Modul H. Anders als bei einer Baumusterprüfung wird dabei nicht das Produkt bewertet, sondern die Prozesse des Herstellers. Das macht Modul H gut skalierbar: mit einer Bewertung lassen sich viele Produkte gleichzeitig abdecken. Hersteller mit einem ISO/IEC-27001-konformen Managementsystem, etwa auf Basis des IT-Grundschutzes, können dieses nutzen und auf Produktentwicklung und Schwachstellenbehandlung ausweiten. Das Dokument liegt als Entwurf vor; die Kommentierungsphase endete am 31. März 2026.

Was sie nicht ist

Vier Punkte, die in den Berichten meist fehlen:

• Sie ist nicht verbindlich.Das BSI sagt das selbst. Die Richtlinie ist eine Orientierungshilfe, kein Regelwerk mit eigener Rechtswirkung.
• Sie begründet keine Konformitätsvermutung.Wer eine harmonisierte europäische Norm anwendet, darf davon ausgehen, dass die entsprechenden Anforderungen erfüllt sind. Für die TR-03183 gilt das nicht. Sie ersetzt weder den CRA noch die künftigen europäischen Normen.
• Sie ist als Übergangsdokument angelegt.Das BSI schreibt, die Richtlinie werde sukzessive weiterentwickelt und durch die korrespondierenden harmonisierten europäischen Standards ersetzt, sobald diese bereitstehen. Wer heute daran arbeitet, baut auf einer Brücke, nicht auf einem Fundament.
• Sie verschiebt keine Frist.Die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle beginnt am 11. September 2026, unabhängig davon, ob ein Hersteller die Richtlinie kennt oder anwendet.

Für wen sie gedacht ist

Das BSI benennt die Zielgruppe ungewöhnlich klar: Hersteller, die noch keine ausgereiften IT-Sicherheitsprozesse in Entwicklung und Schwachstellenbehandlung etabliert haben.

Das ist die Mehrheit im deutschen Maschinen- und Anlagenbau, in der Elektrotechnik und bei kleineren Softwarehäusern. Für diese Unternehmen ist die Richtlinie tatsächlich das nützlichste verfügbare Dokument, weil sie einen risikobasierten Einstieg beschreibt statt eine vollständige Anforderungsliste. Sie kann als Orientierung für die CRA-Klasse der Standardprodukte dienen, also für den Großteil aller betroffenen Produkte.

Ergänzend stellt das BSI eine initiale Auswahl von Cybersicherheitsmaßnahmen im maschinenlesbaren Format OSCAL bereit. Wer Compliance-Prozesse werkzeuggestützt abbilden will, kann diese Auswahl direkt einlesen statt sie aus einem PDF abzutippen.

Was das für die Frist am 11. September bedeutet

Für die Meldepflicht selbst ändert die Veröffentlichung nichts. Wer bis zum 11. September eine veröffentlichte Kontaktstelle für Schwachstellenmeldungen und einen dokumentierten Meldeprozess braucht, braucht das weiterhin.

Nützlich ist Teil 3 der Richtlinie an einer konkreten Stelle: er beschreibt, welche Inhalte eine Frühwarnung, eine Vollmeldung und ein Abschlussbericht tragen müssen und wie der Prozess dahinter aufgebaut wird. Wer seinen Meldeprozess ohnehin dokumentieren muss, kann sich an dieser Struktur orientieren, statt sie selbst zu erfinden.

Die Fristen selbst stehen nicht in der Richtlinie, sondern in Artikel 14 der Verordnung: Frühwarnung innerhalb von 24 Stunden nach Kenntnis, Vollmeldung innerhalb von 72 Stunden, Abschlussbericht bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme.

Praktische Einordnung

Was ein Hersteller aus der Veröffentlichung mitnehmen sollte:

1. 01

   Lesen, wenn Sie noch keinen Prozess haben.

   Dann ist Teil 1 der beste verfügbare Einstieg, und er ist kostenlos.

2. 02

   Teil 2 prüfen, wenn Sie SBOMs erzeugen.

   Die dort genannten Formatversionen sind konkreter als die Verordnung. Ältere Ausgabeformate Ihres Werkzeugs können hinter dem beschriebenen Stand liegen.

3. 03

   Teil 3 als Vorlage nutzen, nicht als Nachweis.

   Er hilft beim Aufbau des Meldeprozesses. Erfüllt ist die Pflicht erst, wenn der Prozess dokumentiert ist und im Ernstfall trägt.

4. 04

   Nicht als Absicherung verstehen.

   Eine Umsetzung der TR-03183 ist gegenüber der Marktaufsicht ein Argument, aber kein Beweis. Das BSI ist in Deutschland zugleich notifizierende und marktüberwachende Behörde für den CRA; die Richtlinie ist Hilfestellung, nicht Prüfmaßstab.