BSI TR-03183
Der CRA sagt, was zu tun ist, nicht wie. Für Deutschland füllt das BSI die Lücke mit der TR-03183: SBOM-Format, security.txt, Reaktionszeiten für Schwachstellenmeldungen.
BSI TR-03183 ("Cyber-Resilienz-Anforderungen an Hersteller und Produkte") ist die Technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik, die die Anforderungen des Cyber Resilience Act für die Praxis konkretisiert. Sie ist freiwillig und begründet keine Konformitätsvermutung.
Definition in der Verordnung
Die Verordnung kennt die Richtlinie nicht; sie ist eine nationale Hilfestellung. Vier Teile liegen vor. Teil 1 (allgemeine Anforderungen, Version 1.0.0, veröffentlicht am 5. August 2026) ordnet Anhang I für Hersteller ein. Teil 2 (SBOM, Version 2.1.0 vom 20. August 2025) legt Format und Pflichtfelder der Software-Stückliste fest: CycloneDX ab 1.6 oder SPDX ab 3.0.1, eine SBOM je Softwareversion, ohne Schwachstelleninformationen. Teil 3 (Schwachstellenmeldungen und -mitteilungen, Version 1.0.0 vom 20. August 2025) verlangt eine security.txt nach RFC 9116 mit getrennten Adressen für PSIRT und CSIRT und ein Webformular für anonyme Meldungen. Außerdem eine erste nicht automatisierte Antwort binnen fünf Werktagen, detailliertes Feedback binnen zehn Werktagen und die Offenlegung validierter Schwachstellen binnen 90 Tagen. Teil H (Version 1.1.0 vom 30. Mai 2026) beschreibt den Weg über ein Qualitätssicherungssystem nach Modul H.
Was das für Hersteller bedeutet
Die TR ist keine Rechtsnorm, aber die einzige behördliche Konkretisierung in Deutschland, und das BSI wird nach dem Entwurf des Durchführungsgesetzes Marktüberwachungsbehörde. Wer seine Meldeadresse nach Teil 3 und seine SBOM nach Teil 2 aufbaut, hat eine belastbare Antwort, wenn die Behörde nach dem Stand der Technik fragt. Eine Konformitätsvermutung nach Artikel 27 gibt es dafür nicht; die bleibt harmonisierten Normen vorbehalten, von denen im Oktober 2026 keine im Amtsblatt steht. Das BSI entwickelt die TR in Hersteller-Workshops weiter.