{
    "slug": "bsi-tr-03183-cra-anforderungen",
    "titre": "BSI TR-03183 – Technische Richtlinie zum Cyber Resilience Act (Teil 1 „General Requirements\u0022, Version 1.0.0)",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Die Technische Richtlinie BSI TR-03183 „Cyber Resilience Requirements for Manufacturers and Products\u0022 beschreibt die Auslegung des Bundesamts für Sicherheit…",
    "resume_court": "Die Technische Richtlinie **BSI TR-03183 „Cyber Resilience Requirements for Manufacturers and Products\u0022** beschreibt die Auslegung des **Bundesamts für Sicherheit in der Informationstechnik (BSI)** zu den Cyber-Resilienz-Anforderungen an Hersteller und Produkte und dient als **Einstiegshilfe in den Cyber Resilience Act (Verordnung (EU) 2024/2847, CRA)**. **Teil 1 „General Requirements\u0022** liegt seit dem **5. August 2026** in **Version 1.0.0** vor. Die Richtlinie ist nach eigener Angabe des BSI **nicht verbindlich und begründet keine Konformitätsvermutung** – diese entsteht nach **Art. 27 Abs. 1 CRA** nur über harmonisierte Normen, deren Fundstellen im Amtsblatt der EU veröffentlicht sind. Verbindlich sind allein die Pflichten der Verordnung selbst: **Art. 14 CRA gilt ab 11. September 2026**, die übrige Verordnung **ab 11. Dezember 2027** (Art. 71 Abs. 2 CRA).",
    "faits": [
        {
            "point": "Vollständiger Titel",
            "valeur": "BSI TR-03183 „Cyber Resilience Requirements for Manufacturers and Products\u0022 [BSI, Themenseite TR-03183, abgerufen 2026-08-15]",
            "autorite": "A"
        },
        {
            "point": "Herausgeber",
            "valeur": "Bundesamt für Sicherheit in der Informationstechnik (BSI)",
            "autorite": "A"
        },
        {
            "point": "Rechtlicher Charakter",
            "valeur": "unverbindliche Orientierungshilfe; „is not binding or mandatory. It cannot be used as presumption of conformity\u0022 [BSI, Themenseite TR-03183]",
            "autorite": "A"
        },
        {
            "point": "Bezugsrechtsakt",
            "valeur": "Verordnung (EU) 2024/2847 (Cyber Resilience Act) [EUR-Lex, CELEX:32024R2847]",
            "autorite": "A"
        },
        {
            "point": "Teil 1 „General Requirements\u0022",
            "valeur": "Version 1.0.0, veröffentlicht 05.08.2026 [BSI-Meldung vom 05.08.2026]",
            "autorite": "A"
        },
        {
            "point": "Teil 2 „Software Bill of Materials (SBOM)\u0022",
            "valeur": "Version 2.1.0 [BSI, Themenseite TR-03183, abgerufen 2026-08-15]",
            "autorite": "A"
        },
        {
            "point": "Teil 3 „Vulnerability Reports and Notifications\u0022",
            "valeur": "Version 1.0.0 [BSI, Themenseite TR-03183, abgerufen 2026-08-15]",
            "autorite": "A"
        },
        {
            "point": "Teil H „Conformity based on full quality assurance (Module H)\u0022",
            "valeur": "Version 1.1.0 [BSI, Themenseite TR-03183, abgerufen 2026-08-15]",
            "autorite": "A"
        },
        {
            "point": "Neu in Teil 1 v1.0.0",
            "valeur": "risikobasierter Ansatz zur Auswahl von IT-Sicherheitsmaßnahmen + Erstauswahl generischer Sicherheitsmaßnahmen im maschinenlesbaren OSCAL-Format (GitHub-Supplement) [BSI, Themenseite TR-03183, Abschnitt „Controls\u0022]",
            "autorite": "A"
        },
        {
            "point": "Zugang zu den OSCAL-Controls",
            "valeur": "per E-Mail an tr03183@bsi.bund.de [BSI, Themenseite TR-03183, Abschnitt „Controls\u0022]",
            "autorite": "A"
        },
        {
            "point": "Konformitätsvermutung",
            "valeur": "nur bei Übereinstimmung mit harmonisierten Normen, deren Fundstellen im Amtsblatt veröffentlicht sind [Art. 27 Abs. 1 CRA]",
            "autorite": "A"
        },
        {
            "point": "Ablösung geplant",
            "valeur": "TR wird „gradually developed further and replaced by the corresponding harmonized European standards as soon as they become available\u0022 [BSI, Themenseite TR-03183]",
            "autorite": "A"
        },
        {
            "point": "CRA – Inkrafttreten",
            "valeur": "20. Tag nach Veröffentlichung im Amtsblatt [Art. 71 Abs. 1 CRA] – damit 10.12.2024",
            "autorite": "A"
        },
        {
            "point": "CRA – Geltung Art. 14 (Meldepflichten)",
            "valeur": "11. September 2026 [Art. 71 Abs. 2 Satz 2 CRA]",
            "autorite": "A"
        },
        {
            "point": "CRA – Geltung Kapitel IV (Art. 35–51, notifizierte Stellen)",
            "valeur": "11. Juni 2026 [Art. 71 Abs. 2 Satz 2 CRA]",
            "autorite": "A"
        },
        {
            "point": "CRA – Geltung im Übrigen",
            "valeur": "11. Dezember 2027 [Art. 71 Abs. 2 Satz 1 CRA]",
            "autorite": "A"
        },
        {
            "point": "SBOM-Pflicht im CRA",
            "valeur": "Ermittlung und Dokumentation von Schwachstellen und Komponenten „u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen\u0022 [Anhang I Teil II Nr. 1 CRA]",
            "autorite": "A"
        },
        {
            "point": "Konformitätsbewertungsverfahren",
            "valeur": "interne Kontrolle (Modul A), EU-Baumusterprüfung + interne Fertigungskontrolle (Modul B/C), umfassende Qualitätssicherung (Modul H) oder europäisches Cybersicherheits-Zertifizierungsschema [Art. 32 Abs. 1 CRA i. V. m. Anhang VIII]",
            "autorite": "A"
        }
    ],
    "sources": [],
    "faq": [
        {
            "question": "Was regelt BSI TR-03183 – Technische Richtlinie zum Cyber Resilience Act (Teil 1 „General Requirements\u0022, Version 1.0.0)?",
            "reponse": "Die Technische Richtlinie BSI TR-03183 „Cyber Resilience Requirements for Manufacturers and Products\u0022 beschreibt die Auslegung des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu den Cyber-Resilienz-Anforderungen an Hersteller und Produkte und dient als Einstiegshilfe in den Cyber Resilience Act (Verordnung (EU) 2024/2847, CRA). Teil 1 „General Requirements\u0022 liegt seit dem 5."
        },
        {
            "question": "Für wen gilt BSI TR-03183?",
            "reponse": "Adressat der TR-03183 sind Hersteller von Produkten mit digitalen Elementen im Sinne des CRA. Das BSI richtet die Richtlinie ausdrücklich an Hersteller, die noch keine ausgereiften IT-Sicherheitsprozesse in Entwicklung und Schwachstellenbehandlung etabliert haben. Die Richtlinie selbst begründet keine Rechtspflicht."
        }
    ],
    "wikidata": [
        "Q118945294",
        "Q257906",
        "Q3510521"
    ],
    "valid_from": "2026-08-05",
    "valid_to": null,
    "derniere_revision": "2026-08-15",
    "derniere_verification": "2026-08-15",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/bsi-tr-03183-cra-anforderungen"
}