BSI C5:2026, TR-03185 & DiGA (TR-03161): Sicherheitsupdates ohne Rezertifizierung & Krypto-Inventar (CBOM) in CI/CD automatisieren

Mit der Veröffentlichung des neuen BSI C5:2026 (Cloud Computing Compliance Criteria Catalogue), der Richtlinie BSI TR-03185 (Sicherer Software-Lebenszyklus), den verschärften Vorgaben für digitale Gesundheitsanwendungen (BSI TR-03161 / § 393 SGB V) sowie den seit September 2026 greifenden Meldepflichten des EU Cyber Resilience Act (CRA) stehen Softwarehersteller, SaaS-/Cloud-Anbieter und MedTech-Unternehmen vor einer doppelten Herausforderung:

1. Schnelle Sicherheits- und Krypto-Updates ohne Rezertifizierungsverlust (BSI TR-03185): Wie lassen sich kritische CVE-Patches oder aktualisierte Krypto-Bibliotheken (z. B. OpenSSL 3.5+ mit hybrider Post-Quanten-Kryptographie nach BSI TR-02102-1) kurzfristig in Produktion bringen, ohne dass eine bestehende BSI-, DiGA- (BfArM) oder C5-Zertifizierung erlischt?
2. Lückenlose Kryptographie- (CBOM) und SBOM-Nachweise im BSI C5:2026 (Domänen CRY, DEV & OPS): Wirtschaftsprüfer (IDW PS 951 / ISAE 3000 Typ 2) und Aufsichtsbehörden akzeptieren keine manuellen Ad-hoc-Erklärungen mehr. Gefordert sind eine risikobasierte 3-Klassen Patch-Klassifizierungsmatrix, eine maschinenlesbare Software Bill of Materials (CycloneDX SBOM nach BSI TR-03183-2) sowie ein aktuelles Krypto-Inventar (CBOM) zum BSI-Auslaufszenario 2031/2035.

In diesem technischen Leitfaden zeigen wir, wie Sie die Anforderungen von BSI C5:2026, BSI TR-03185 und DiGA TR-03161 in einem automatisierten CI/CD-Workflow zusammenführen.

🛡️ 1. Die 3-Klassen Update- & Patch-Matrix nach BSI TR-03185

Die Technische Richtlinie BSI TR-03185 erlaubt es Herstellern, Sicherheitsupdates ohne langwierige Neu- oder Rezertifizierung auszurollen, sofern jedes Release vor der Freigabe nach einer dokumentierten Standard Operating Procedure (SOP) in eine von drei Änderungsklassen eingestuft wird:

👉 Vollständige Fachpublikation lesen:

• BSI C5:2026 Cloud-Compliance, IT-Grundschutz & Nationale PQC-Leitlinie (CRY & CBOM)
• BSI TR-03185: Software-Updates ohne Rezertifizierung & CRA-Compliance

⚙️ 2. CI/CD-Automatisierung: CycloneDX SBOM (TR-03183-2) & Krypto-Gate (TR-02102) in GitHub Actions

Für die C5:2026-Kriterien DEV-02 bis DEV-05 sowie CRY-01 / CRY-02 lässt sich die Erzeugung des Release-Evidence-Bundles vollständig in GitHub Actions oder GitLab CI automatisieren. Dabei wird unser quelloffener Zero-Dependency CLI-Scanner bsi-tr02102-pqc-audit-cli direkt als Krypto-Prüfschritt eingebunden:

name: BSI TR-03185 & C5:2026 Release-Gate (SBOM + CBOM Evidence)

on:
  release:
    types: [published]
  workflow_dispatch:

jobs:
  bsi-compliance-evidence:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout Repository
        uses: actions/checkout@v4

      - name: 1. CycloneDX SBOM nach BSI TR-03183-2 generieren
        run: |
          pipx run cyclonedx-py environment -o sbom-tr03183-2.cdx.json

      - name: 2. Krypto-Policy & Zertifikate nach BSI TR-02102-1 bis -4 prüfen (CBOM)
        run: |
          curl -sSL https://raw.githubusercontent.com/KenanErorr404/bsi-tr02102-pqc-audit-cli/main/bsi_pqc_check.py | python3 - \
            --generate-cbom-csv \
            --json-out cbom-tr02102-findings.json

      - name: 3. Revisionssicheres Audit-Artefakt für WP / C5 / BfArM archivieren
        uses: actions/upload-artifact@v4
        with:
          name: bsi-tr03185-c5-release-evidence
          path: |
            sbom-tr03183-2.cdx.json
            cbom-tr02102-findings.json
            host-cbom-preview.csv
            bsi-pqc-audit-report.html

🏥 3. Besonderheiten für Cloud-Anbieter (§ 393 SGB V) & DiGA-Hersteller (BSI TR-03161)

Im Gesundheitswesen greifen zwei Regelwerke unmittelbar ineinander:

• Cloud-Infrastruktur (§ 393 SGB V): Jede Cloud-Plattform, auf der Sozial- oder Gesundheitsdaten verarbeitet werden, benötigt ein aktuelles BSI C5 Typ-2-Testat. In der Domäne CRY prüfen Auditoren ab 2026 insbesondere, ob ein dokumentierter Migrationsplan für das BSI-Auslaufszenario 2031 (Post-Quanten-Kryptographie) vorliegt, da Gesundheitsdaten (Art. 9 DSGVO) einen Schutzbedarf von weit über 10 Jahren aufweisen.
• Anwendungsebene (BSI TR-03161-1/-2/-3 & BfArM Fast-Track): DiGA-Hersteller müssen bei jedem Update dokumentieren, ob es sich um eine anzeigepflichtige wesentliche Veränderung oder um ein privilegiertes Sicherheitsupdate der Klasse A nach BSI TR-03185 handelt.

💡 Tipp: Prüfen Sie Ihren aktuellen Krypto- und NIS-2-Compliance-Status in 60 Sekunden mit unserem kostenlosen, clientseitigen BSI PQC & NIS-2 Risiko- und Bußgeld-Rechner (pqc-nis2-rechner.html).

📥 4. Kostenlose €0+ CSV-Audit-Leseprobe & Schlüsselfertige .xlsx Enterprise-Toolkits

Sparen Sie Ihrem Entwicklungs-, Regulatory-Affairs- und ISMS-Team Wochen an manueller Vorlagenerstellung:

1. 🆓 Kostenlose CSV-Audit-Leseprobe & Schnellstart-Matrix herunterladen (€0+ Community Edition)
   • Enthält BSI-Audit-Matrix-Leseprobe.csv (6 repräsentative Prüfpunkte aus BSI TR-03185 / DiGA TR-03161 sowie BSI TR-02102 CBOM) + README-Upgrade-auf-Enterprise-XLSX.md inklusive 20 % Upgrade-Rabattcode (BSI2026PRO).
2. 🛡️ BSI TR-03185 & DiGA TR-03161 Audit-Readiness-Pack sichern (39,20 € statt 49,00 € mit Code BSI2026PRO)
   • 5 schlüsselfertige Enterprise-Assets im Sofort-Download (.zip):
     • BSI-TR-03185-und-DiGA-TR03161-Audit-Workbook.xlsx (3-Tab Excel-Workbook mit Executive Readiness Scoring Dashboard, vollständiger 3-Klassen Update- & Patch-Klassifizierungsmatrix Klasse A/B/C sowie BfArM DiGA TR-03161 & TR-03183 SBOM Mapping)
     • TR-03185-Prozess-Audit-Matrix.csv (Maschinenlesbarer Prüfkatalog für QMS/ISMS)
     • SOP-Sicherer-Release-Prozess-TR03185.md (Komplett ausformulierte Standard Operating Procedure für Entwicklungsteams)
     • Checkliste-Update-Ohne-Rezertifizierung.html (Druckbares & digital ausfüllbares Release-Freigabeprotokoll für BfArM, BSI und C5-Prüfer)
     • ci-cd/tr03185-release-gate.yml (Produktionsfertiger GitHub Actions Workflow für CycloneDX SBOM & Evidence-Bundling)
3. 🔐 BSI TR-02102-1 PQC & CBOM Migrations-Toolkit (9 Dateien inkl. 45-Zeilen CBOM .xlsx & Server-Configs – 39,20 € mit Code BSI2026PRO)