BSI weist den Weg, die Hersteller bleiben stehen

Denn die TR-03183 ist kein Gesetz, keine Zertifizierung, kein verbindlicher Standard. Sie ist, so formuliert es das BSI selbst, eine kompakte, handfeste Landkarte, die zeigt, wie CRA-Vorgaben konkret umgesetzt werden können — mit klaren Aussagen zu SBOM, Security-by-Design, Schwachstellenmanagement, Updates und Dokumentation. Das klingt solide. Das klingt nach dem Mindesten. Und genau darin liegt das Problem.

Wer in diesen Wochen durch die Logfiles mittelständischer Maschinenbauer, Softwarehäuser und Zulieferbetriebe blickt, sieht eine andere Wirklichkeit als die, in der die Richtlinie verfasst wurde. Die Angreifer arbeiten längst nicht mehr mit dem groben Werkzeug der vergangenen Dekade. Lieferketten werden über kompromittierte Bibliotheken infiltriert, kleine Komponenten werden über Jahre mit Patches versorgt, die niemand mehr prüft. Eine Software Bill of Materials ist dann kein Dokument, sondern eine offene Einladung an jene, die in der Zwischenzeit herausgefunden haben, welches Bauteil wo verbaut wurde.

Die TR-03183-1 nennt das Schwachstellenmanagement beim Namen. Sie fordert Prozesse, Reaktionszeiten, Meldewege. Sie sagt, was getan werden müsste. Sie sagt nicht, wie es kontrolliert wird. Sie sagt nicht, was geschieht, wenn ein Hersteller die Karte ignoriert und seine Geräte trotzdem in den europäischen Binnenmarkt bringt. Der Entwurf der TR-03183-H, den das BSI als Konformitätsmodul vorgelegt hat, verspricht hier mehr — Konformitätsbewertung, Prüfverfahren, Nachweispflichten. Versprechen ist das richtige Wort. Bislang liegt ein Entwurf vor, kein verabschiedetes Modul.

Die Diskrepanz zwischen dem regulatorischen Papier und der realen Cyber-Anfälligkeit wird damit nicht geschlossen, sondern mit einem Stempel versehen. Das BSI hat eine Landkarte gezeichnet, während die Landschaft bereits brennt. Die Veröffentlichung der Version 1.0 fiel in eine Phase, in der Ransomware-Gruppen ihre Angriffe auf produzierendes Gewerbe und mittelständische Dienstleister systematisch ausweiten. Dass ausgerechnet jetzt ein Einstiegsdokument erscheint, das eher den Charakter einer Einladung als den einer Anordnung trägt, sagt weniger über die Dringlichkeit der Behörde als über den Zustand der Branche, die diese Einladung offenbar benötigt.

Mittelständische Betriebe stehen vor einer Rechnung, die ihnen niemand zuvor vorgelegt hat. Wer heute keine SBOM führt, wer Sicherheitsupdates als Reaktion auf Beschwerden versteht und nicht als Verpflichtung, wer Dokumentation als lästige Beigabe behandelt, der wird die Anforderungen des Cyber Resilience Act nicht durch die Lektüre eines BSI-Papiers erfüllen. Die Richtlinie hilft beim Verstehen. Sie hilft nicht beim Umsetzen. Und sie hilft schon gar nicht beim Bezahlen — denn die Kosten für eine konforme Entwicklungsumgebung, für kontinuierliches Schwachstellenmonitoring und für die Pflege einer vollständigen Software-Stückliste fallen unabhängig davon an, ob ein Hersteller die TR-03183 jemals aufschlägt.

Was die Version 1.0 nicht schließt, ist die Lücke zwischen europäischer Regulierungsrhetorik und betrieblicher Wirklichkeit. Sie schließt nicht die Lücke zwischen einem Konformitätsmodul im Entwurfsstadium und der ersten behördlichen Prüfung. Sie schließt nicht die Lücke zwischen dem, was eine Lieferkette aushält, und dem, was die TR-03183 ihr zumutet. Und sie schließt vor allem nicht die Lücke zwischen dem Veröffentlichungsdatum einer Richtlinie und dem Tag, an dem ein Angreifer das nächste Produkt eines Herstellers öffnet, der diese Richtlinie nie gelesen hat.

Die Veröffentlichung ist, das muss man ihr zugute halten, ein Anfang. Sie ist die ehrliche Antwort auf die Frage, wie ein Mittelständler überhaupt verstehen soll, was der Cyber Resilience Act von ihm verlangt. Nur ist sie eine Antwort auf die falsche Frage. Die richtige Frage lautet: Wer trägt die Konsequenzen, wenn die Landkarte zwar vorliegt, aber der Weg nicht gebaut wird? Die Antwort kennt jeder, der schon einmal mit offenen Augen durch eine Fertigungshalle gegangen ist, in der eine Maschine seit drei Jahren kein Update gesehen hat.

Das BSI hat gesprochen. Die Hersteller sollten jetzt zuhören. Die Angreifer werden die Zeit dazwischen nutzen — wie immer.