Unverbindlich, aber maschinenlesbar
Das BSI hat die TR-03183-1 in Version 1.0.0 veröffentlicht: eine Einstiegshilfe in den Cyber Resilience Act, ohne Konformitätsvermutung. Der interessanteste Teil steht am Rand: Die Maßnahmenauswahl kommt zusätzlich im maschinenlesbaren Format OSCAL, allerdings nur auf Anfrage.
Wer im Cyber Resilience Act nach konkreten Maßnahmen sucht, findet keine. Anhang I nennt Ziele: keine bekannten ausnutzbaren Schwachstellen, Sicherheit in der Voreinstellung, Updates über den Unterstützungszeitraum. Wie ein Hersteller dorthin kommt, lässt die Verordnung offen. Genau in diese Lücke zielt die Technische Richtlinie, die das BSI in Version 1.0.0 vorgelegt hat, auf dem Deckblatt datiert auf den 31. Juli.
Die TR-03183-1 ist dabei bewusst bescheiden: eine Einstiegshilfe, keine harmonisierte Norm. Wer sie umsetzt, erhält keine Konformitätsvermutung. Gedacht ist sie für Hersteller der Standard-Produktklasse, die noch keine gereiften Sicherheitsprozesse haben, und ihr Kern ist kein Abhakkatalog, sondern ein risikobasiertes Auswahlverfahren: Welche Maßnahmen passen zu diesem Produkt, und warum gerade diese?
Der eigentliche Fortschritt steht im Nebensatz
Ergänzend zur Richtlinie stellt das BSI eine initiale Auswahl der Maßnahmen im Format OSCAL bereit. Das klingt technisch, ist aber die eigentliche Nachricht. Ein Katalog, der als PDF erscheint, wird abgetippt, in Tabellen gepflegt und veraltet dort. Ein Katalog, der als Daten erscheint, lässt sich importieren, mit anderen Anforderungen verknüpfen und bei jeder neuen Version einfach neu einlesen.
Für diesen Weg hat sich das BSI schon einmal entschieden: Die Stand-der-Technik-Bibliothek auf GitHub liefert Grundschutz-Inhalte als OSCAL-Daten. Dass jetzt auch die CRA-Maßnahmen so erscheinen, macht aus einer Empfehlung erstmals etwas, das Werkzeuge direkt verarbeiten können.
Ein Vorbehalt gehört allerdings dazu, und er steht in der Richtlinie selbst: Frei herunterladen kann man den Katalog nicht. Das genannte GitHub-Repository ist öffentlich nicht erreichbar, den Zugang gibt es laut Dokument auf Anfrage beim Funktionspostfach des BSI. Wer damit arbeiten will, schreibt also zuerst eine Mail. Das ist kein Widerspruch zur guten Nachricht, aber es verschiebt sie: Das Format steht, die Verbreitung noch nicht.
Was das für die Vorbereitung heißt
Ab dem 11. September gelten die ersten Meldepflichten des CRA, die volle Anwendung folgt Ende 2027. Die Zeit dazwischen ist für die Vorarbeit da: Maßnahmen auswählen, die Auswahl begründen, die Umsetzung nachweisen. Genau dafür ist eine maschinenlesbare Maßnahmenliste das richtige Ausgangsmaterial.
Im CRA-Modul führen wir die grundlegenden Anforderungen des Anhang I bereits als OSCAL-Katalog, mit Konformitätsbewertung je Produkt und der Meldekette für Vorfälle. Liegt die Maßnahmenauswahl des BSI erst einmal vor, lässt sie sich als weitere Ebene daneben führen: die abstrakte Anforderung aus der Verordnung oben, die konkrete Maßnahme aus der Richtlinie darunter, und dazwischen die Begründung, warum sie gewählt wurde.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.