Navigation und Service

Gemäß § 51 Abs. 1 VSA legt das Bundesamt für Sicherheit in der Informationstechnik (BSI) fest, welche IT-Sicherheitsprodukte oder -komponenten über eine Zulassung verfügen müssen. Diese IT-Sicherheitsprodukte und -komponenten übernehmen innerhalb von VS-IT IT-Sicherheitsfunktionen zum Schutz elektronischer Verschlusssachen.

Grundsätzlich sind alle IT-Sicherheitsprodukte, die für die Verarbeitung und Übertragung von Verschlusssachen eingesetzt werden, einer Prüfung und Sicherheitsbeurteilung zu unterziehen. Die IT-Sicherheitsfunktionen, die eine Zulassung des Produktes durch das Bundesamt für Sicherheit in der BSI nach § 51 Abs. 1 erfordern, sind in § 52 Abs. 1 VSA aufgeführt.

Die Zulassung bezieht sich nur auf IT-Sicherheitsprodukte für die Verarbeitung und Übertragung von staatlichen VS und berücksichtigt insbesondere Belange des staatlichen Geheimschutzes. Eine Zulassung wird nur durch das BSI ausgesprochen. Demgegenüber kann eine Zertifizierung gemäß Common Criteria (CC) für alle IT-Produkte mit Sicherheitsfunktionalität angestrebt werden, sofern sich der Hersteller entschließt, eine neutrale Prüfung durchführen zu lassen.

Die Zulassung von IT-Sicherheitsprodukten für die Übertragung und Verarbeitung von VS wird gemäß BSI-Gesetz und der "Allgemeine Verwaltungsvorschrift zum materiellen Geheimschutz (Verschlusssachenanweisung - VSA)" nur durch das BSI erteilt.

Die Zulassung ist eine verbindliche Aussage zum Sicherheitswert eines IT-Sicherheitsproduktes. Nach der Erteilung einer Zulassung für ein IT-Sicherheitsprodukt dürfen Verschlusssachen (VS) gemäß Sicherheitsüberprüfungsgesetz bis zum Geheimhaltungsgrad, für den die Zulassung maximal erteilt wurde, mit diesem IT-Sicherheitsprodukt verarbeitet oder übertragen werden.

Sofern für bestimmte VS-IT keine zugelassenen IT-Sicherheitsprodukte oder -komponenten zur Verfügung stehen oder eine Bereitstellung nicht oder nicht zeitgerecht veranlasst werden kann, ist gemäß § 51 Abs. 5 VSA beim BSI eine Einsatzerlaubnis für andere IT-Sicherheitsprodukte oder –komponenten zu beantragen. Das BSI kann diese Einsatzerlaubnis zeitlich befristen sowie besondere Auflagen und Einschränkungen hinsichtlich der Einsatz- und Betriebsbedingungen erteilen. Nähere Einzelheiten regelt das Zulassungskonzept des Bundesamtes für Sicherheit in der Informationstechnik.
Zu einer Einsatzerlaubnis wird das BSI nach Möglichkeit Hinweise für die freigebende Stelle geben (insbesondere Einsatz- und Betriebsbedingungen). Dazu gehört auch eine Liste mit erkannten Schwachstellen und Risiken, die sich aus diesen beim Einsatz ergeben. Unter Zuhilfenahme dieser Hinweise ist der Nutzer im Rahmen der Freigabe nach § 50 VSA aufgefordert, die Nachteile bezüglich der IT-Sicherheit und die Vorteile eines Einsatzes in Anbetracht der Risiken gegeneinander abzuwägen und dies insbesondere durch eine entsprechende Risikoanalyse (siehe § 8a VSA) zu dokumentieren. Die Risikoanalyse muss Maßnahmen empfehlen und vorschreiben, welche die erkannten Risiken minimieren. Die resultierenden Restrisiken müssen für den Nutzer aus dieser Risikoanalyse klar erkennbar sein und von diesem getragen werden.

Nein, in der Zulassungsaussage wird der genaue Konstruktions- bzw. Versionsstand festgelegt. Der Anwender darf nur die dort beschriebenen Versionen unter Beachtung der in den Zulassungsdokumenten aufgeführten Einsatz- und Betriebsbedingungen benutzen, ansonsten ist die Verarbeitung bzw. Übertragung von VS nicht erlaubt.
Ein geänderter Konstruktions-/ Versionsstand muss vom Hersteller an das BSI gemeldet werden. Dies führt zu einer erneuten Evaluierung, die sich in der Regel nur auf die geänderten und sicherheitsrelevanten Bestandteile beschränkt, und zu einer Aktualisierung der Zulassungsaussage.

Gemäß § 4 Absatz 2 Sicherheitsüberprüfungsgesetz gibt die Geheimhaltungsgrade VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD), VS-VERTRAULICH (VS-V), GEHEIM und STRENG GEHEIM. Dabei darf die Einstufung der zu schützenden Informationen den Grad der Zulassung nicht übersteigen.

Der Antrag auf Zulassung eines IT-Sicherheitsproduktes kann grundsätzlich nur von einem bundesbehördlichen Anwender (Bedarfsträger) gestellt werden. Ein entsprechendes Antragsformular kann bei der unten angegebenen Kontaktadresse abgefragt werden.

Es entstehen weder für den Bedarfsträger noch für den Hersteller direkte Kosten. Jedoch sind Aufwände für die Unterstützung des BSI im Rahmen des Zulassungsverfahrens durch den Hersteller und den Bedarfsträger zu leisten. Kostenerstattungen durch das BSI sind nicht möglich.

Die Dauer eines Zulassungsverfahrens wird von verschiedenen Faktoren beeinflusst. Sie hängt entscheidend von dem beabsichtigten Geheimhaltungsgrad, der Komplexität des IT-Sicherheitsproduktes, dem Prüfumfang sowie von der Unterstützung der Beteiligten, etwa bei der Bereitstellung von Produktdokumentation durch den Hersteller, ab.

Eine Evaluierung mit dem Ziel der Zulassung ist die technische Prüfung und sicherheitstechnische Bewertung eines IT-Sicherheitsproduktes gemäß wohldefinierter IT-Sicherheitskriterien und entsprechender Prüfmethodik.

Jede Zulassungsaussage ist befristet. Eine Verlängerung ist möglich, wenn die Sicherheitseigenschaften des Produktes weiterhin den Anforderungen an den beantragten Geheimhaltungsgrad entsprechen.
I.d.R. wird eine Zulassung mindestens einmal verlängert. Dabei kann es sein, dass die Zulassungsaussage für eine Folgeversion ausgesprochen wird.

Die für ein Zulassungsverfahren erforderlichen Dokumente werden durch BSI-Vorgabendokumente umfassend festgelegt. Diese Vorgaben orientieren sich an den international anerkannten Sicherheitskriterien der Common Criteria und sind auf die Bedürfnisse einer Prüfung des Produktes im Rahmen der Zulassung angepasst. Sie definieren die von einem Hersteller im Rahmen eines Evaluierungs- und Zulassungsprozesses dem BSI zu belegenden Aspekte, der Sicherheitseigenschaften eines Produktes. Zentrales Dokument in diesem Zusammenhang stellt das sogenannte Security Target dar, welches vom Hersteller des Produktes bereitgestellt wird. Dieses Dokument legt die im Rahmen der Evaluierung zu prüfenden Sicherheitsleistungen abstrakt fest und bildet die Grundlage der Evaluierung.
Sobald der Zulassungsantrag gestellt wird, müssen folgende Dokumente vorliegen:

• Security Target (mindestens Draft),
• konzeptionelle Beschreibung der IT-Sicherheitsarchitektur und
• ein informelles Kryptokonzept

Diese Sicherheitsleistungen sind durch detaillierte Nachweise u.a. in den Bereichen Sicherheitsarchitektur, Schnittstellenspezifikation, Design, Sourcecode, Testnachweise und Schwachstellenanalyse vom Hersteller zu belegen.
Sowohl die vom Produkt zu erbringenden Sicherheitsleistungen, als auch der Nachweisumfang hängen dabei vom angestrebten Geheimhaltungsgrad ab.

Die Dokumente können entweder in Papierform oder in einem revisionssicheren, elektronischen Format vorliegen. Zusätzlich können die Dokumente in einer editierbaren elektronischen Form bereitgestellt werden.
Die Dokumente müssen dabei in deutscher und/oder englischer Sprache vorliegen. Sofern auch eine Zulassung zur Verarbeitung und zum Schutz von NATO- bzw. EU-Informationen angestrebt wird, müssen die Dokumente in englischer Sprache vorliegen.

Nein. Die vom Hersteller zur Verfügung gestellten Informationen werden im BSI vertraulich gehandhabt. Nur die mit dem Zulassungsverfahren betrauten Personen haben Zugang zu den gelieferten Informationen. Eine entsprechende Geheimhaltungsvereinbarung kann in schriftlicher Form fixiert werden.

Die Rechte und Pflichten der am Zulassungsverfahren beteiligten Rollen wie Hersteller und Bedarfsträger werden in der Technischen Leitlinie BSI TL IT-01 "Mitwirkungspflichten im Zulassungsverfahren" aufgeführt.
Die Unterstützung des BSI durch den Hersteller erstreckt sich insbesondere auf eine aussagekräftige Dokumentation zum vorgelegten IT-Sicherheitsprodukt, aber auch auf evaluierungsbegleitende Aktivitäten (z. B. Nennung kompetenter Ansprechpartner, Bereitstellung von Testsystemen und evtl. von Messgeräten).

Zugelassene IT-Sicherheitsprodukte werden in die BSI-Schrift 7164 "Liste der zugelassenen IT-Sicherheitsprodukte und –systeme" aufgenommen. Die Liste der zugelassenen IT-Sicherheitsprodukte und -systeme finden Sie hier.

Das IT-Sicherheitsprodukt wird im Rahmen einer Vorprüfung auf seine Zulassungsfähigkeit hin untersucht. Der Abbruch des Zulassungsverfahrens ist aufgrund von triftigen Gründen zu jedem Zeitpunkt des Zulassungsprozesses möglich. Dies kann z. B. aufgrund mangelnder Unterstützung durch den Hersteller der Fall sein.