Das BSI hat die Technische Richtlinie TR-03183-1 „General Requirements“ in Version 1.0.0 veröffentlicht.
Die Richtlinie bietet Herstellern einen strukturierten Einstieg in die Anforderungen des Cyber Resilience Act (CRA) – von der produktbezogenen Risikoanalyse über die Auswahl geeigneter Sicherheitsmaßnahmen bis zu Prüfschritten und Nachweisen.
Wichtig für die Einordnung: Die Technische Richtlinie ist eine unverbindliche Hilfestellung. Sie schafft keine Herstellerpflichten und keine Konformitätsvermutung. Auch ein „PASS“ nach ihrer Bewertungslogik ist daher für sich genommen kein Nachweis der CRA-Konformität.
Für Hersteller vernetzter Hard- oder Software für Bahn- und OT-Anwendungen kann die TR eine Orientierung bieten, wenn ein konkretes Produkt in den CRA-Anwendungsbereich fällt. Eine pauschale Aussage für Bahntechnik lässt sich daraus nicht ableiten; Produkttyp, Vermarktung und regulatorischer Kontext sind im Einzelfall zu prüfen.
Die nächsten Stichtage: Ab 11. September 2026 gelten die CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Ab 11. Dezember 2027 gelten die CRA-Anforderungen vollständig nach den Übergangsregeln.
Wo steht Ihr Unternehmen bei Scope-Prüfung, Risikoanalyse und Nachweisführung auf Produktebene?
Wenn Sie Product Security oder OT-Security über den Produktlebenszyklus strukturiert angehen möchten, unterstützt die SmartTECS Cyber Security GmbH unter anderem mit technischer Beratung, Security Architecture & Design und Security Testing.
Quellen:
Informationen zur BSI TR-03183-1