BSI Forum : Mehr Flexibilität bei der Produkt-Zertifizierung nach technischen Richtlinien : Mit dem neuen Verfahren bleiben Zertifizierungen nach Software-Updates gültig
Mit der Technischen Richtlinie TR-03185 des BSI können Software-Hersteller seit Anfang 2026 sichere Entwicklungs- und Produktionsprozesse zertifizieren lassen. Die Richtlinie schafft damit auch die Grundlage für schnelle und sicherheitsrelevante Updates von Gesundheits-Apps, ohne dass jede Produktversion erneut zertifiziert werden muss.
Neben der Zertifizierung von IT-Produkten und IT-Systemen hinsichtlich ihrer Sicherheitsfunktionalität bietet das BSI auch eine „Zertifizierung nach Technischen Richtlinien (TR)“ an [1]. Diese ist erforderlich, um zusätzlich nachzuweisen, dass funktionale Anforderungen an die Gestaltung aller Prozesse über den Lebenszyklus eines Produktes erfüllt werden. Das betrifft zum Beispiel IT-Produkte und -Systeme für hoheitliche oder sicherheitskritische Einsatzbereiche der Bundesrepublik Deutschland. In diesen Bereichen stehen elektronische Fälschungssicherheit, Betriebszuverlässigkeit und Interoperabilität, also der nahtlose und sichere Austausch zwischen Systemen oder Geräten im Fokus.
Bislang war die Zertifizierung nach technischen Richtlinien des BSI auf genau die Produktversion beschränkt, die im Rahmen einer Konformitätsprüfung untersucht wurde. Führte ein Hersteller ein Update dieser Produktversion durch, musste er erneut einen Antrag stellen und eine Prüfung durchlaufen. Diese Vorgehensweise stieß zunehmend an ihre Grenzen, vor allem, wenn Sicherheitslücken schnell geschlossen und sicherheitskritische Produktüberarbeitungen („Patches“) kurzfristig bereitgestellt werden mussten.
Mehr Flexibilität bei Updates
Das BSI hat deshalb einen neuen Ansatz zur Flexibilisierung seiner Zertifizierungen für die Prozessgestaltung über den Produktlebenszyklus entwickelt. Es reagiert damit auf den wachsenden Bedarf nach schnellen, sicherheitsrelevanten Software-Updates bei weiterhin verlässlicher Konformitätsprüfung.
Mit dem neuen Verfahren können Hersteller künftig mit einer Zertifizierung nach der Technischen Richtlinie TR-03185 „Sicherer Software-Lebenszyklus“ [2] nachweisen, dass ihre Entwicklungs- und Produktionsprozesse durchgängig qualitätsgesichert sind. So bleibt die Aussagekraft des Produkt-Zertifikats erhalten, während gleichzeitig schnellere Update-Zyklen realisiert werden können. Somit haben Hersteller jetzt die Möglichkeit, ihre Software nach Updates weiterhin als konform auszuweisen.
Ein Rahmenwerk für den gesamten Lebenszyklus
Die TR-03185 unterteilt sich in zwei Teile. Der 2024 veröffentlichte Teil 1 (TR-03185-1) betrachtet die Entwicklung proprietärer Software. Teil 2 (TR-03185-2) wurde 2025 veröffentlicht und bezieht sich auf die Entwicklung von Open-Source-Software (OSS) oder Free-/Libre- and Open-Source-Software (FLOSS / FOSS). Nach Teil 1 der TR kann zertifiziert werden, nach Teil 2 derzeit nicht.
Die TR-03185 Teil 1 beschreibt Prozessanforderungen an Software-Hersteller mit Fokus auf Entwicklungs- und Produktionsprozesse. Ausgehend von den Anforderungen im IT-Grundschutz, insbesondere aus den Bausteinen CON.8 und APP.6, führt die TR-03185 weitere Anforderungen aus verschiedenen Standards, Normen und Frameworks zusammen:
- DIN EN IEC 62443-4-1:2018 „IT-Sicherheit für industrielle Automatisierungssysteme – Teil 4.1: Anforderungen an den Lebenszyklus für eine sichere Produktentwicklung“ [3]
- NESAS FS.16 „Development and Lifecycle Security Requirements“, Version 2.3 (liegt mittlerweile in der Version 3.0 „Security requirements for Vendor Development and Product Lifecycle Processes“ vor [4])
- NIST Special Publication (SP) 800-218 „Secure Software Development Framework (SSDF)“, Version 1.1 [5]
In Anlehnung an bekannte Lebenszyklus-Modelle, zum Beispiel den Microsoft Security Development Lifecycle (SDL), werden die Anforderungen in der TR-03185 in die folgenden Prozessschritte gegliedert: „Entwurf/Design“, „Implementierung“, „Test und Freigabe“, „Auslieferung“, „Betrieb“ und „Schwachstellenmanagement“. Da diese Anforderungen bewusst allgemein formuliert sind, kann die TR-03185 als eine Art horizontale Vorgabe betrachtet werden. Sie lässt sich auf jede Software anwenden – unabhängig vom Funktionsumfang, vom späteren Einsatzumfeld oder vom Vorgehensmodell.
Zertifizierungsverfahren und Gültigkeit der TR-03185
Die Zertifizierung nach der TR-03185 Teil 1 wird von BSI-zertifizierten Auditteamleitern für ISO-27001-Audits auf der Basis von IT-Grundschutz begleitet. Sie auditieren bei jedem Antragsteller, ob die Anforderungen der technischen Richtlinie erfüllt werden. Ein nach der TR-03185 Teil 1 erteiltes Zertifikat ist drei Jahre lang gültig und erfordert jährliche Überwachungsaudits. In Kombination mit einer Produkt-Zertifizierung profitieren Hersteller von deutlich vereinfachten Verfahren. Verfahrensschritte wie Re-Zertifizierungen, Maintenance-Verfahren oder Änderungsmitteilungen bei Produkt-Updates entfallen künftig, vorausgesetzt, eine gültige TR-03185-Zertifizierung liegt vor und die Überwachungsaudits werden erfolgreich absolviert.
TR-03185 in der Anwendung: Ist-Stand und Ausblick
Für Hersteller von Gesundheits-Apps auf Basis der TR-03161 besteht seit Februar 2026 die Möglichkeit zur Prozess-Zertifizierung nach der TR-03185 Teil 1. Wird diese Zertifizierung zusätzlich zur Produkt-Zertifizierung nach der TR-03161 gewählt, kann sie Herstellern die beschriebenen Vorteile bieten.
Die Anwendung des Verfahrens auf weitere technische Richtlinien ist geplant. Auch für andere Software-Hersteller bietet sich eine Zertifizierung nach der TR-03185 an. Ein Zertifikat dient als Vertrauens- und Sicherheitsnachweis gegenüber Kundinnen und Kunden und belegt, dass Prozesse zu Entwicklung und Produktion von Software sicher und zuverlässig sind. Software-Hersteller können so signalisieren, dass Stichworte wie Security by Design, DevSecOps und Cybersecurity in ihrer Produktentwicklung gelebte Praxis sind.
Literatur
[1] Bundesamt für Sicherheit in der Informationstechnik (BSI), Zertifizierung nach Technischen Richtlinien, Übersichtsseite, undatiert, www.bsi.bund.de/dok/6617306
[2] Bundesamt für Sicherheit in der Informationstechnik (BSI), Sicherer Software-Lebenszyklus, BSI Technische Richtlinie TR-03185, Version 1.1.1, Juli 2026, www.bsi.bund.de/dok/TR-03185
[3] VDE Verlag, IT-Sicherheit für industrielle Automatisierungssysteme, Teil 4-1: Anforderungen an den Lebenszyklus für eine sichere Produktentwicklung, DIN EN IEC 62443-4-1 (VDE 0802-4-1):2018-10, Oktober 2018, https://www.vde-verlag.de/p/normen/din-en-iec-62443-4-1-vde-0802-4-1-2018-10/0800517-DE-PR (kostenpflichtig)
[4] GSM Association, Security requirements for Vendor Development and Product Lifecycle Processes v.3.0, NESAS FS.16, Februar 2025 (bzw. Version 2.3 vom September 2023), www.gsma.com/solutions-and-impact/technologies/security/gsma_resources/fs-16-network-equipment-security-assurance-scheme-development-and-lifecycle-security-requirements-2/
[5] NIST Computer Security Resource Center (CSRC), Secure Software Development Framework (SSDF), Version 1.1: Recommendations for Mitigating the Risk of Software Vulnerabilities, NIST Special Publication SP 800-218, Februar 2022, https://csrc.nist.gov/pubs/sp/800/218/final