BSI schafft Klarheit beim Cyber Resilience Act
Das BSI hat die Technische Richtlinie TR-03183 veröffentlicht. Sie unterstützt Hersteller bei der Vorbereitung auf den Cyber Resilience Act. Der Leitfaden liefert konkrete Vorgaben für SBOMs, Schwachstellenprozesse sowie die Konformitätsbewertung nach Modul H über ein ISMS nach ISO 27001.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt mit der Technischen Richtlinie BSI TR-03183 eine Orientierungshilfe für die Umsetzung des europäischen Cyber Resilience Act (CRA) bereit. Die Richtlinie richtet sich primär an Hersteller von Hard- und Software, die bisher über keine ausgereiften Sicherheitsprozesse in der Produktentwicklung sowie im Schwachstellenmanagement verfügen. Da der CRA im Dezember 2024 in Kraft getreten ist und die Übergangsfristen bis zur vollständigen Anwendung am 11. Dezember 2027 laufen, soll das Dokument Unternehmen als praktische Einstiegshilfe dienen. Das BSI stellt klar, dass das Papier keinen rechtlich bindenden Charakter besitzt und keine formale Konformitätsvermutung begründet.
Anforderungen an Produkte, SBOM und Schwachstellenmanagement
Die TR-03183 gliedert sich in verschiedene Fachbereiche. Teil 1 (General Requirements) fasst allgemeine Resilienz-Anforderungen an Produkte und Hersteller zusammen, die sich an den Vorgaben der Artikel und Anhänge des CRA orientieren. Ein zentraler Baustein ist zudem Teil 2, der formelle und technische Spezifikationen für die Software Bill of Materials (SBOM) definiert. In der aktuellen Version 2.1.0 enthält dieser Teil unter anderem eine Zuordnung der Datenfelder zu den etablierten SBOM-Standards SPDX und CycloneDX, ergänzte Vorgaben zu Lizenzangaben sowie Regelungen für virtuelle und referenzierte Komponenten. Zur Unterstützung stellt das BSI eine eigene Taxonomie in einem registrierten CycloneDX-Namensraum auf GitHub bereit. Das Handling eingehender Schwachstellenmeldungen beschreibt Teil 3 der Richtlinie.
Konformitätsbewertung über das ISMS nach Modul H
Einen wichtigen Baustein für die Praxis bildet der Teil TR-03183-H. Dieser beschreibt ein Verfahren zur Konformitätsbewertung auf Basis einer umfassenden Qualitätssicherung gemäß Modul H des CRA. IT-Verantwortliche und Entwicklungsteams können dadurch ein nach ISO/IEC 27001 konformes Informationssicherheits-Managementsystem (ISMS) oder den IT-Grundschutz nutzen, um die geforderte Konformität nachzuweisen. Bestehende Sicherheitsprozesse im Unternehmen lassen sich so gezielt auf den gesamten Lebenszyklus der Produktentwicklung und Pflege ausweiten. Ergänzend veröffentlicht das BSI risikobasierte Sicherheitsmaßnahmen im maschinenlesbaren OSCAL-Format über GitHub.