Neuigkeiten und Änderungen zu CE nicht mehr verpassen! Jetzt für den CE-Infoservice registrieren
Fachbeitrag teilen
Der Cyber Resilience Act (CRA) legt verbindlich fest, welche Cybersicherheitsanforderungen Hersteller von Produkten mit digitalen Elementen erfüllen müssen. Dazu gehören insbesondere eine Cybersicherheitsrisikobewertung, geeignete Maßnahmen zur Risikominderung und deren Dokumentation.
Was der CRA jedoch nur eingeschränkt beantwortet, ist die praktische Frage: Wie lässt sich eine solche Risikobewertung konkret durchführen und wie werden daraus geeignete technische Sicherheitsmaßnahmen abgeleitet?
Vom gesetzlichen „Was“ zum technischen „Wie“
Genau hier setzt die BSI TR-03183-1 „Cyber Resilience Requirements for Manufacturers and Products – Part 1: General requirements“ an. Sie ist als „Living Document“ konzipiert und soll Herstellern eine praktische Orientierung bei der Umsetzung des CRA geben.
Wichtig dabei: Die Technische Richtlinie ist nicht verbindlich und begründet keine Konformitätsvermutung zum CRA. Ihr Mehrwert liegt daher weniger in neuen Anforderungen als in der Konkretisierung: Das BSI übersetzt abstrakte Vorgaben des CRA in Methoden, Bewertungskriterien, Arbeitsschritte und technische Hilfsmittel.
In unserem Fachbeitrag haben wir die wichtigsten Fragen zum Dokument zusammengefasst.
Was ist die konkrete Methodik für die Cyberrisikobewertung?
Der CRA verpflichtet Hersteller zur Bewertung der Cybersicherheitsrisiken, schreibt dafür aber keine detaillierte Methode vor.
Die TR-03183-1 beschreibt einen an ISO 31000 angelehnten Prozess: vom Risikokontext über die Identifikation von Assets und Bedrohungen bis hin zu Risikoanalyse, Risikobehandlung und Dokumentation.
Dabei unterscheidet das BSI unter anderem:
Für diese Assets werden Vertraulichkeit, Integrität und Verfügbarkeit bewertet. Die Auswirkungen eines Sicherheitsvorfalls können auf einer Skala von 1 – vernachlässigbar bis 5 – sehr hoch eingestuft werden. Damit liefert die TR einen konkreten Ausgangspunkt für eine reproduzierbare Risikobewertung, den der CRA selbst nicht vorgibt.
Was sind Kriterien für die Eintrittswahrscheinlichkeit?
Auch für die Wahrscheinlichkeit eines Cybervorfalls enthält der CRA keine konkrete Bewertungsmethode. Das BSI betrachtet hierfür unter anderem:
Damit wird insbesondere die vorgesehene Betriebsumgebung berücksichtigt. Ein Produkt in einem geschützten Industrienetzwerk kann daher anders bewertet werden als ein vergleichbares Produkt mit direkter Verbindung zu externen Netzwerken.
Gerade für Maschinen- und Anlagenhersteller ist dieser Ansatz relevant, weil das Cyberrisiko stark von der konkreten Einbausituation und Nutzung abhängen kann.
Was sind Kriterien für akzeptable Risiken?
Die TR schlägt außerdem Kriterien dafür vor, wann ein Risiko akzeptiert werden kann und wann zusätzliche Maßnahmen erforderlich sind.
Dabei werden unter anderem Schadensausmaß, Zugänglichkeit des Produkts und Fähigkeiten des Anwenders berücksichtigt.
Das BSI stellt allerdings klar, dass diese Kriterien lediglich eine Ausgangsbasis darstellen. Hersteller müssen sie an Produkt, Branche und Anwendung anpassen.
Adaptable Risk-based Controls: Vom Risiko zur Maßnahme
Ein zentraler Bestandteil der TR ist das Konzept der Adaptable Risk-based Controls (ARC). Die Grundidee: Sicherheitsmaßnahmen werden nicht pauschal vorgegeben, sondern anhand konkreter Risikoszenarien ausgewählt.
Berücksichtigt werden beispielsweise:
Dadurch entsteht eine direkte Verbindung zwischen Risikoanalyse und technischen Maßnahmen.
Die TR zeigt dies etwa am Beispiel automatischer Updates: Je nach Produkt, Netzwerkanbindung und Nutzergruppe kann dieselbe Maßnahme unterschiedlich bewertet werden.
Architekturmodell für Produkte mit digitalen Elementen
Die TR verwendet außerdem ein generisches Architekturmodell, um den Betrachtungsumfang eines Produkts zu strukturieren. Berücksichtigt werden unter anderem:
Für Maschinen mit Steuerungen, HMI, Fernwartung, Cloud-Diensten oder Apps kann dies dabei helfen, systematisch festzulegen, welche Komponenten und Kommunikationsbeziehungen Teil der Cyberrisikobewertung sind.
Evaluator und Assessment Report
Die TR beschreibt außerdem ein strukturiertes Bewertungsverfahren. Ein sogenannter Evaluator beurteilt die Umsetzung der Anforderungen beziehungsweise Controls. Dabei kann es sich um eine interne oder externe Person handeln. Das BSI empfiehlt entsprechende Fachkenntnisse sowie eine möglichst unabhängige Bewertung.
Controls können beispielsweise mit PASS, FAIL oder N/A bewertet werden. Ein vollständiges „PASS“ bedeutet jedoch ausdrücklich nicht automatisch CRA-Konformität. Ebenso stellt ein „FAIL“ nicht zwangsläufig einen Verstoß gegen den CRA dar.
Die Ergebnisse können in einem strukturierten Assessment Report dokumentiert werden. Dieser kann unter anderem Produktidentifikation, Architektur, Assets, Bedrohungen, Risiken, Sicherheitsmaßnahmen und deren Verifikation enthalten und damit einen Baustein der technischen Dokumentation bilden.
Experimentelles Risk Scoring
Anhang D enthält zusätzlich ein experimentelles Scoring-Verfahren. Der sogenannte „Environment Indicator“ berücksichtigt insbesondere Schnittstellen, Zugangsbeschränkungen und Nutzerfähigkeiten und soll die Einschätzung der Eintrittswahrscheinlichkeit objektiver machen.
Das BSI bezeichnet den Ansatz ausdrücklich als experimentell. Er soll anhand praktischer Erfahrungen weiterentwickelt werden.
Praxisbeispiel: Netzwerkkamera SNC X5
Besonders anschaulich ist ein vollständiges Beispiel im Anhang. Anhand einer fiktiven Netzwerkkamera SNC X5 werden wesentliche Schritte einer Cyberrisikobewertung durchgespielt: von Verwendungszweck und Betriebsumgebung über Assets und Bedrohungen bis hin zur Auswahl konkreter Sicherheitsmaßnahmen.
Behandelt werden dabei beispielsweise der Schutz von Video- und Audiodaten, WLAN-Zugangsdaten und Benutzer-Credentials sowie Maßnahmen wie HTTPS, Verschlüsselung und Authentifizierung. Ein solcher praktischer Walkthrough findet sich im CRA selbst naturgemäß nicht.
Sicherheitsmaßnahmen im OSCAL-Format
Ergänzend stellt das BSI technische Controls im OSCAL-Format – Open Security Controls Assessment Language bereit. Dadurch sollen Sicherheitsmaßnahmen strukturiert gefiltert, wiederverwendet und dokumentiert werden können. Perspektivisch eröffnet dies Möglichkeiten für stärker werkzeuggestützte CRA-Prozesse.
Was bedeutet „Stand der Technik“ im CRA-Kontext?
Der CRA fordert an verschiedenen Stellen die Berücksichtigung des „Stands der Technik“, ohne konkrete Technologien vorzuschreiben.
Die TR hilft bei der Einordnung: Entscheidend ist nicht zwingend die neueste verfügbare Technologie, sondern der Einsatz etablierter und für den jeweiligen Anwendungsfall angemessener Methoden und Technologien.
Für Kryptografie verweist das BSI beispielsweise auf einschlägige kryptografische Empfehlungen wie die BSI TR-02102.
Seminarhinweis
Cyber Resilience Act (CRA) für Hersteller von Maschinen und Geräten
In diesem 1-tägigen Seminar erfahren Sie praxisnah, welche Pflichten der Cyber Resilience Act (CRA) für Hersteller von Maschinen, Anlagen und elektrischen Geräten mit sich bringt und wie Sie diese effizient und rechtssicher erfüllen.
zum Seminar
Die BSI TR-03183-1 ist hilfreich – ihr praktischer Mehrwert sollte jedoch nicht überschätzt werden.
Für Hersteller, die erstmals einen systematischen Cybersecurity-Prozess aufbauen, bietet sie eine brauchbare Struktur. Besonders die Asset-Kategorien, Bewertungsmethoden, Risikokriterien und die Verbindung zwischen Risiken und technischen Controls erleichtern den Einstieg.
Für erfahrene Hersteller ist dagegen vieles nicht grundlegend neu. Ein großer Teil der TR beschreibt bekannte Prinzipien des Risikomanagements in einer auf den CRA zugeschnittenen Form: Assets identifizieren, Bedrohungen bewerten, Risiken behandeln, Maßnahmen dokumentieren und deren Wirksamkeit überprüfen.
Gerade Maschinen- und Anlagenherstellern nimmt die TR zudem die wesentlichen produktspezifischen Entscheidungen nicht ab. Industrielle Netzwerke, Fernwartung, lange Produktlebenszyklen, Steuerungen, HMIs, Zulieferkomponenten oder die Wechselwirkung zwischen funktionaler Sicherheit und Cybersecurity müssen weiterhin individuell bewertet werden.
Der eigentliche Mehrwert liegt deshalb weniger in neuen Anforderungen als in der Operationalisierung des CRA: Die TR zeigt, wie aus abstrakten Vorgaben ein nachvollziehbarer Bewertungs- und Dokumentationsprozess werden kann. Für Einsteiger ist sie damit eine wertvolle Orientierung. Unternehmen mit bereits etablierten Cybersecurity-Prozessen können sie eher als Referenz und Checkliste nutzen.
Die TR ist also Orientierungshilfe, nicht Kochrezept – und schon gar keine Abkürzung zur CRA-Konformität.
Verfasst am: 08.07.2026
Fachreferent CE-Kennzeichnung und Safexpert Ausgebildeter technischer Redakteur (tekom-zertifiziert) und geprüfter CE-Koordinator. Zuvor 11 Jahre Erfahrung in der technischen Kommunikation und als CE-Koordinator im Bereich Maschinen- und Anlagenbau, spezialisiert auf “Engineered to Order (ETO)”-Produkte.
E-Mail: hendrik.stupin@ibf-solutions.com
Wir informieren Sie kostenlos per E-Mail über neue Fachbeiträge, wichtige Normenveröffentlichungen oder sonstige News aus dem Bereich Maschinen- und Elektrogerätesicherheit bzw. Product Compliance.
Registrieren
CE-Software zum systematischen und professionellen sicherheitstechnischen Engineering
Praxisgerechte Seminare rund um das Thema Produktsicherheit
Mit dem CE-InfoService bleiben Sie informiert bei wichtigen Entwicklungen im Bereich Produktsicherheit