NIS-2 & Cyber Resilience Act (CRA) 2026: Automatisierte Compliance-Gates & Krypto-Inventarisierung in CI/CD-Pipelines
Auf dem europäischen Cyber Security Directors’ Meeting (CSDM) im Rahmen der Munich Cyber Security Conference (BSI-Meldung vom 13. Februar 2026 – „Steigender Bedarf nach automatisierter Verteidigung“) haben die Spitzen der europäischen Cybersicherheitsbehörden eine klare strategische Leitlinie für das Jahr 2026 formuliert: Die gleichzeitige Umsetzung von NIS-2 (§ 30 BSIG) und dem europäischen Cyber Resilience Act (CRA) lässt sich in modernen IT- und Software-Architekturen nicht mehr über manuelle Punkt-Audits oder statische Papier-Checklisten bewältigen. Gefordert sind automatisierte Detektions-, Verifikations- und Compliance-Gates direkt im Entwicklungs- und Betriebszyklus (DevSecOps).
Für CISOs, Plattform-Architekten, DiGA-/MedTech-Hersteller und B2B-SaaS-Unternehmen bedeutet dies: Sowohl die kryptographische Bestandsaufnahme (CBOM nach BSI TR-02102-1) als auch die zertifizierungserhaltende Update-Freigabe (BSI TR-03185 & TR-03183 SBOM) müssen als deterministische CI/CD-Pipelines implementiert werden.
1. Das Zusammenspiel von NIS-2 (§ 30 BSIG), CRA und BSI Technischen Richtlinien
Während NIS-2 die Betreiberpflichten (Risikomanagement, Kryptographie-Konzepte, Lieferkettensicherheit und Geschäftsleiterhaftung nach § 38 BSIG) regelt, nimmt der Cyber Resilience Act (CRA) – bei dem das BSI den Vorsitz der europäischen Marktüberwachungsgruppe AdCo CRA übernommen hat – alle Hersteller von Produkten mit digitalen Elementen in die Pflicht:
| Regulatorische Säule | Kernforderung ab 2026 | Technische Automatisierung in CI/CD (BSI-Referenz) |
|---|---|---|
| NIS-2 (§ 30 Abs. 2 Nr. 8 BSIG) | Dokumentiertes Konzept für Kryptographie, Schlüsselmanagement & Krypto-Agilität. | Automatischer Lauf eines CBOM-Scanners (bsi_pqc_check.py) gegen SSH-, TLS- und X.509-Konfigurationen zur Einhaltung der BSI-Frist 2031 (TR-02102-1). |
| Cyber Resilience Act (CRA Art. 13) | Secure by Default, kostenfreie Sicherheitsupdates über den gesamten Supportzeitraum & maschinenlesbare SBOM. | Automatisierte CycloneDX SBOM/VEX-Erzeugung (BSI TR-03183-2) bei jedem Tag/Release ohne manuelle Nacharbeit. |
| BSI TR-03185 (Secure SDLC) | Ausrollen von Security- und Krypto-Patches ohne Verlust bestehender Zertifikate oder DiGA-Zulassungen. | Formale Update-Klassifizierungsmatrix (Klasse A/B/C) & kryptographisch signierte Release-Evidence-Bundles. |
2. Automatisierte Krypto-Inventarisierung (CBOM) per pipx oder GitHub Action
Um den vom BSI geforderten Übergang zu automatisierter Verteidigung und Compliance-Prüfung ohne Agenten-Overhead umzusetzen, lässt sich unser Open-Source-Scanner bsi-tr02102-pqc-audit-cli (v1.3.0) direkt als Python-Package oder als Composite GitHub Action in jede Pipeline integrieren:
# 1. Sofort-Ausführung in jeder Linux-CI/CD-Umgebung via pipx:
pipx run git+https://github.com/KenanErorr404/bsi-tr02102-pqc-audit-cli.git
# 2. Oder als fest installiertes CLI-Kommando mit JSON-CBOM & Executive HTML-Report:
pip install git+https://github.com/KenanErorr404/bsi-tr02102-pqc-audit-cli.git
bsi-pqc-check --json-out cbom_findings.json --html-out bsi-pqc-audit-report.html
Der Scanner prüft vollautomatisch:
1. SSH-Daemons & Host-Keys (BSI TR-02102-4): Erkennung abgekündigter RSA-2048-Schlüssel und Prüfung auf hybride Post-Quanten-Schlüsselaustauschverfahren (mlkem768x25519-sha256 / sntrup761x25519).
2. OpenSSL 3.5+ & TLS 1.3 Policies (BSI TR-02102-2): Verifikation von MinProtocol = TLSv1.3, SECLEVEL>=2 und hybriden ML-KEM-Gruppen (X25519MLKEM768, SecP256r1MLKEM768).
3. X.509-Zertifikatsbestände (BSI TR-02102-1): Identifikation klassischer RSA-/ECDSA-Zertifikate, die vor dem BSI-Ablaufdatum Ende 2031 (bzw. 2035 für Signaturen) migriert werden müssen.
⚡ Interaktiver 60-Sekunden-Schnelltest im Browser: Berechnen Sie Ihren aktuellen NIS-2- und PQC-Compliance-Gap-Score ohne Installation direkt in unserem BSI TR-02102 & NIS-2 Krypto-Risiko-Schnelltest und laden Sie die kostenlose CSV-Audit-Leseprobe herunter.
3. Warum automatisierte Release-Gates die Re-Zertifizierungsfalle unter CRA & DiGA verhindern
Sobald automatisierte Scanner eine verwundbare Bibliothek (CVE) oder eine veraltete TLS-/SSH-Standardkonfiguration melden, muss das Engineering-Team kurzfristig patchen. Ohne einen nach BSI TR-03185 strukturierten Prozess führt jeder Sicherheits-Patch in regulierten Branchen (KRITIS, MedTech/DiGA nach TR-03161, Behörden-IT) zu der Frage, ob eine formale Re-Zertifizierung erforderlich ist.
Durch ein automatisiertes TR-03185 Release-Gate in GitHub Actions oder GitLab CI wird bei jedem Build automatisch ein revisionssicheres Release-Evidence-Bundle erzeugt, das gegenüber Prüfern belegt:
* Das Update fällt unter Änderungsklasse A (Security-/Dependency-/Krypto-Config-Patch) oder Klasse B (Funktionales Minor-Release innerhalb bestehender Trust-Boundaries).
* Alle Sicherheitsfunktionen (SFRs) haben die automatisierte Regression-Testsuite zu 100 % bestanden.
* Die aktualisierte SBOM (BSI TR-03183-2) und der CBOM-Report (cbom_findings.json) sind kryptographisch per SHA-256-Manifest signiert.
📦 Schlüsselfertige Enterprise Compliance-Toolkits (Excel .xlsx Workbooks, Server-Configs & CI/CD-Pipelines)
Für Teams, die ihre NIS-2-, CRA- und BSI-Nachweise sofort prüfungsfertig im ISMS und in ihren GitLab-/GitHub-Pipelines verankern wollen, stehen unsere zwei aktualisierten Enterprise-Pakete bereit:
- BSI TR-02102 PQC & NIS-2 Enterprise-Migrations-Toolkit (€49): Enthält das 3-Tab Excel-Workbook
BSI-TR-02102-CBOM-und-Risiko-Matrix-2031.xlsx(Live-KPI-Formeln + 45-Zeilen CBOM-Inventar + § 38 BSIG Sign-Off-Log), produktionsreife Drop-in Configs für OpenSSH 9.9+, OpenSSL 3.5+ und Nginx TLS 1.3, fertige GitLab/GitHub CI-CD Workflows sowie die druckbare Geschäftsleitungs-Beschlussvorlage (Management-Vorlage-Haftungsfreistellung-BSIG38.html). - BSI TR-03185 & DiGA (TR-03161) Audit-Readiness-Toolkit (€49): Enthält das 3-Tab Excel-Workbook
BSI-TR-03185-und-DiGA-TR03161-Audit-Workbook.xlsx(automatisches Readiness-Scoring, Patch-Klassifizierungsmatrix Klasse A/B/C & BfArM DiGA Mapping), das automatisierte Release-Gate (ci-cd/tr03185-release-gate.yml) sowie das druckbare Prüf- und Freigabeprotokoll (Checkliste-Update-Ohne-Rezertifizierung.html).
.xlsx), Drop-in Server-Configs (OpenSSH 9.9+, OpenSSL 3.5+, Nginx TLS 1.3) & CI/CD-Pipelines.