Mit der Veröffentlichung des neuen BSI C5:2026 (Cloud Computing Compliance Criteria Catalogue), der Richtlinie BSI TR-03185 (Sicherer Software-Lebenszyklus), den verschärften Vorgaben für digitale Gesundheitsanwendungen (BSI TR-03161 / § 393 SGB V) sowie den seit September 2026 greifenden Meldepflichten des EU Cyber Resilience Act (CRA) stehen Softwarehersteller, SaaS-/Cloud-Anbieter und MedTech-Unternehmen vor einer doppelten Herausforderung:

  1. Schnelle Sicherheits- und Krypto-Updates ohne Rezertifizierungsverlust (BSI TR-03185): Wie lassen sich kritische CVE-Patches oder aktualisierte Krypto-Bibliotheken (z. B. OpenSSL 3.5+ mit hybrider Post-Quanten-Kryptographie nach BSI TR-02102-1) kurzfristig in Produktion bringen, ohne dass eine bestehende BSI-, DiGA- (BfArM) oder C5-Zertifizierung erlischt?
  2. Lückenlose Kryptographie- (CBOM) und SBOM-Nachweise im BSI C5:2026 (Domänen CRY, DEV & OPS): Wirtschaftsprüfer (IDW PS 951 / ISAE 3000 Typ 2) und Aufsichtsbehörden akzeptieren keine manuellen Ad-hoc-Erklärungen mehr. Gefordert sind eine risikobasierte 3-Klassen Patch-Klassifizierungsmatrix, eine maschinenlesbare Software Bill of Materials (CycloneDX SBOM nach BSI TR-03183-2) sowie ein aktuelles Krypto-Inventar (CBOM) zum BSI-Auslaufszenario 2031/2035.

In diesem technischen Leitfaden zeigen wir, wie Sie die Anforderungen von BSI C5:2026, BSI TR-03185 und DiGA TR-03161 in einem automatisierten CI/CD-Workflow zusammenführen.

🛡️ 1. Die 3-Klassen Update- & Patch-Matrix nach BSI TR-03185

Die Technische Richtlinie BSI TR-03185 erlaubt es Herstellern, Sicherheitsupdates ohne langwierige Neu- oder Rezertifizierung auszurollen, sofern jedes Release vor der Freigabe nach einer dokumentierten Standard Operating Procedure (SOP) in eine von drei Änderungsklassen eingestuft wird:

Änderungsklasse (BSI TR-03185) Technische Abgrenzung & Beispiele Rezertifizierung / BfArM-Anzeige nötig? Pflicht-Artefakte im CI/CD Release-Gate (Evidenz-Bundle)
Klasse A: Reiner Security- & Krypto-Patch Schließen von CVEs in Abhängigkeiten, Härtung von TLS-/SSH-Ciphern (TR-02102), Bugfixes ohne Änderung der Sicherheitsarchitektur oder externer APIs. Nein (Hersteller-Selbsterklärung nach BSI TR-03185-2) Erfolgreicher SAST/SCA-Lauf + CycloneDX SBOM (BSI TR-03183-2) + Host/Container-CBOM + unterzeichnetes Release-Freigabeprotokoll
Klasse B: Architekturrelevante Minor-Änderung Anpassung interner Sicherheitsmodule, Erweiterung nicht-kritischer Endpunkte oder Wechsel von Sub-Komponenten. Delta-Prüfung / Dokumentations-Update Aktualisiertes Threat Model (STRIDE) + Regressionstest-Protokoll + SBOM-Diff + PSO Sign-Off
Klasse C: Major Functional / Security Change Neue Authentifizierungsverfahren, veränderte Mandantentrennung, neue externe Angriffsflächen oder Verarbeitung neuer Art.-9-DSGVO-Datenkategorien. Ja (Vollständige Rezertifizierung / wesentliche DiGA-Änderungsanzeige) Vollständiges Sicherheitsgutachten + Penetrationstest + aktualisiertes C5-/TR-03161-Prüfdossier

👉 Vollständige Fachpublikation lesen:

⚙️ 2. CI/CD-Automatisierung: CycloneDX SBOM (TR-03183-2) & Krypto-Gate (TR-02102) in GitHub Actions

Für die C5:2026-Kriterien DEV-02 bis DEV-05 sowie CRY-01 / CRY-02 lässt sich die Erzeugung des Release-Evidence-Bundles vollständig in GitHub Actions oder GitLab CI automatisieren. Dabei wird unser quelloffener Zero-Dependency CLI-Scanner bsi-tr02102-pqc-audit-cli direkt als Krypto-Prüfschritt eingebunden:

name: BSI TR-03185 & C5:2026 Release-Gate (SBOM + CBOM Evidence) on: release: types: [published] workflow_dispatch: jobs: bsi-compliance-evidence: runs-on: ubuntu-latest steps: - name: Checkout Repository uses: actions/checkout@v4 - name: 1. CycloneDX SBOM nach BSI TR-03183-2 generieren run: | pipx run cyclonedx-py environment -o sbom-tr03183-2.cdx.json - name: 2. Krypto-Policy & Zertifikate nach BSI TR-02102-1 bis -4 prüfen (CBOM) run: | curl -sSL https://raw.githubusercontent.com/KenanErorr404/bsi-tr02102-pqc-audit-cli/main/bsi_pqc_check.py | python3 - \ --generate-cbom-csv \ --json-out cbom-tr02102-findings.json - name: 3. Revisionssicheres Audit-Artefakt für WP / C5 / BfArM archivieren uses: actions/upload-artifact@v4 with: name: bsi-tr03185-c5-release-evidence path: | sbom-tr03183-2.cdx.json cbom-tr02102-findings.json host-cbom-preview.csv bsi-pqc-audit-report.html

🏥 3. Besonderheiten für Cloud-Anbieter (§ 393 SGB V) & DiGA-Hersteller (BSI TR-03161)

Im Gesundheitswesen greifen zwei Regelwerke unmittelbar ineinander:

  • Cloud-Infrastruktur (§ 393 SGB V): Jede Cloud-Plattform, auf der Sozial- oder Gesundheitsdaten verarbeitet werden, benötigt ein aktuelles BSI C5 Typ-2-Testat. In der Domäne CRY prüfen Auditoren ab 2026 insbesondere, ob ein dokumentierter Migrationsplan für das BSI-Auslaufszenario 2031 (Post-Quanten-Kryptographie) vorliegt, da Gesundheitsdaten (Art. 9 DSGVO) einen Schutzbedarf von weit über 10 Jahren aufweisen.
  • Anwendungsebene (BSI TR-03161-1/-2/-3 & BfArM Fast-Track): DiGA-Hersteller müssen bei jedem Update dokumentieren, ob es sich um eine anzeigepflichtige wesentliche Veränderung oder um ein privilegiertes Sicherheitsupdate der Klasse A nach BSI TR-03185 handelt.

💡 Tipp: Prüfen Sie Ihren aktuellen Krypto- und NIS-2-Compliance-Status in 60 Sekunden mit unserem kostenlosen, clientseitigen BSI PQC & NIS-2 Risiko- und Bußgeld-Rechner (pqc-nis2-rechner.html).

📥 4. Kostenlose €0+ CSV-Audit-Leseprobe & Schlüsselfertige .xlsx Enterprise-Toolkits

Sparen Sie Ihrem Entwicklungs-, Regulatory-Affairs- und ISMS-Team Wochen an manueller Vorlagenerstellung:

  1. 🆓 Kostenlose CSV-Audit-Leseprobe & Schnellstart-Matrix herunterladen (€0+ Community Edition)
    • Enthält BSI-Audit-Matrix-Leseprobe.csv (6 repräsentative Prüfpunkte aus BSI TR-03185 / DiGA TR-03161 sowie BSI TR-02102 CBOM) + README-Upgrade-auf-Enterprise-XLSX.md inklusive 20 % Upgrade-Rabattcode (BSI2026PRO).
  2. 🛡️ BSI TR-03185 & DiGA TR-03161 Audit-Readiness-Pack sichern (39,20 € statt 49,00 € mit Code BSI2026PRO)
    • 5 schlüsselfertige Enterprise-Assets im Sofort-Download (.zip):
      • BSI-TR-03185-und-DiGA-TR03161-Audit-Workbook.xlsx (3-Tab Excel-Workbook mit Executive Readiness Scoring Dashboard, vollständiger 3-Klassen Update- & Patch-Klassifizierungsmatrix Klasse A/B/C sowie BfArM DiGA TR-03161 & TR-03183 SBOM Mapping)
      • TR-03185-Prozess-Audit-Matrix.csv (Maschinenlesbarer Prüfkatalog für QMS/ISMS)
      • SOP-Sicherer-Release-Prozess-TR03185.md (Komplett ausformulierte Standard Operating Procedure für Entwicklungsteams)
      • Checkliste-Update-Ohne-Rezertifizierung.html (Druckbares & digital ausfüllbares Release-Freigabeprotokoll für BfArM, BSI und C5-Prüfer)
      • ci-cd/tr03185-release-gate.yml (Produktionsfertiger GitHub Actions Workflow für CycloneDX SBOM & Evidence-Bundling)
  3. 🔐 BSI TR-02102-1 PQC & CBOM Migrations-Toolkit (9 Dateien inkl. 45-Zeilen CBOM .xlsx & Server-Configs – 39,20 € mit Code BSI2026PRO)