Am 22. September 2026 hat das BSI das erste Zertifikat nach BSI TR-03185 an unseren Partner DUX Healthcare aus Karlsruhe übergeben. Wer seinen Entwicklungsprozess nach TR-03185 zertifizieren lässt, kann Updates einer nach TR-03161 zertifizierten Gesundheitsanwendung ausliefern, ohne jede Version neu prüfen zu lassen.

Dieser Artikel erklärt, was die BSI TR-03185 verlangt, wie das Update-Verfahren funktioniert und warum DiGA-Hersteller mit ihrem ISO-27001-ISMS bereits eine gute Ausgangslage haben.

Zwischen einer regulatorischen Anforderung und der Zeile Code, die sie erfüllt, liegt eine Übersetzungslücke. Auf der einen Seite steht ein Regulatory- oder Compliance-Verantwortlicher, der die BSI TR-03161 oder den EU Cyber Resilience Act kennt. Auf der anderen Seite ein Entwicklungsteam, das liefern will, aber selten Zeit hat, sich durch mehrere hundert Seiten Technische Richtlinie zu arbeiten. Die Übersetzung zwischen beiden Welten kostet Zeit, Geld und Nerven – und ist die eigentliche Reibung im Compliance-Prozess.

Dieser Artikel beschreibt, wo diese Lücke entsteht, was sie kostet und wie azuma nori sie schließt, indem es regulatorische Anforderungen direkt in konkrete, überprüfbare Aussagen über die Codebasis übersetzt.