Zwischen einer regulatorischen Anforderung und der Zeile Code, die sie erfüllt, liegt eine Übersetzungslücke. Auf der einen Seite steht ein Regulatory- oder Compliance-Verantwortlicher, der die BSI TR-03161 oder den EU Cyber Resilience Act kennt. Auf der anderen Seite ein Entwicklungsteam, das liefern will, aber selten Zeit hat, sich durch mehrere hundert Seiten Technische Richtlinie zu arbeiten. Die Übersetzung zwischen beiden Welten kostet Zeit, Geld und Nerven – und ist die eigentliche Reibung im Compliance-Prozess.

Dieser Artikel beschreibt, wo diese Lücke entsteht, was sie kostet und wie azuma nori sie schließt, indem es regulatorische Anforderungen direkt in konkrete, überprüfbare Aussagen über die Codebasis übersetzt.

Seit dem 1. Januar 2025 ist Schluss mit der Selbsterklärung: DiGA-Hersteller müssen die Einhaltung der Datensicherheits-Anforderungen über ein offizielles Zertifikat nach der BSI TR-03161 nachweisen, um ins DiGA-Verzeichnis aufgenommen zu werden. Damit ist aus einer Empfehlung eine harte Zulassungsvoraussetzung geworden – und für viele Teams der kritische Pfad auf dem Weg in die Erstattung.

Dieser Artikel erklärt, was die BSI TR-03161 ist, welche Anforderungen sie stellt, wie die Zertifizierung abläuft und worauf es speziell beim Thema Authentisierung und Identitätsmanagement ankommt.