Produktkategorie

Das IT-Sicherheitskennzeichen nach § 9c BSIG kann in der Produktkategorie „Mobile Endgeräte“ beantragt werden.

Diese umfasst Geräte, die

• tragbar bzw. für eine mobile Verwendung vorgesehen sind,
• eine freie Installation von Anwendungen aus einem (App-)Store zulassen,
• eigenständig ohne weitere Geräte verwendet werden können,
• standardmäßig keine freie Installation von Anwendungen außerhalb des (App-)Stores zulassen
• standardmäßig einen sicheren Bootvorgang durchführen

Dies gilt typischerweise für Smartphones und Tablets. Sollten Notebooks und andere mobile Endgeräte in dieses Profil passen, kann für diese eventuell auch ein IT-Sicherheitskennzeichen für „mobile Endgeräte“ beantragt werden.

Wir beraten Sie gerne, z.B. bei Fragen zur Anwendbarkeit für Ihr Produkt oder dem Standard. Nehmen Sie dazu einfach über die E-Mail-Adresse it-sicherheitskennzeichen@bsi.bund.de Kontakt zu uns auf.

Sicherheitsanforderungen

Grundlage dieser Kategorie ist die Technische Richtlinie TR-03180 A „Mobile Devices: Requirements catalogue for the IT Security Label“ des BSI, welche auf dem europäischen Standard ETSI TS 103 732 aufbaut und grundlegende Sicherheitsanforderungen an mobile Endgeräte definiert. Hersteller können das IT-Sicherheitskennzeichen erhalten, indem sie ihr Produkt selbst prüfen und die Konformität mit dieser Richtlinie gegenüber dem BSI zusichern.

Anwendungsbereich

Die Anforderungen der TR-03180 A beziehen sich auf die Bestandteile eines mobilen Endgerätes die fest durch den Hersteller ausgeliefert werden.

Zum Anwendungsbereich gehören:

• Alle fest verbauten Bestandteile des mobilen Endgerätes
• Das Betriebssystem und Firmware des mobilen Endgerätes
• Alle vorinstallierten Apps, die nicht deinstalliert werden können.

Explizit ausgenommen sind hingegen:

• Apps die der Benutzer nachträglich installiert bzw. nachträglich deinstallieren kann
• Nicht fest verbaute Bestandteile des mobilen Endgerätes (SIM-Karte, SD-Karte, ...)

Anwendung zur Selbstprüfung

Die TR-03180 A ist für die Selbstprüfung durch den Hersteller oder durch ein Prüflabor im Auftrag des Herstellers vorgesehen. Aus diesem Grund definiert der Anforderungskatalog konkrete zu prüfende Eigenschaften und zu verwendende Testmethoden. Hierbei wird unterschieden zwischen Tests für technische Eigenschaften (T) und Prozesseigenschaften (P) in den folgenden Testtiefen:

• 0 - Selbsterklärung
• 1 - Dokumentenprüfung
• 2 - Untersuchung des Geräteverhaltens (Nur technisch)
• 3 - Überprüfung von Implementierungs- / Prozessdetails

Hierbei muss zumindest die niedrigste der angegebenen Prüftiefe durchgeführt werden.

Die Selbstprüfung erfolgt auf Basis des Anforderungskataloges TR-03180 A. Für die Dokumentation der Testergebnisse sollte die beigefügte Konformitätserklärung verwendet werden.

Download:

BSI TR-03180 A - Requirements catalogue for the IT Security Label

BSI TR-03180 A Appendix A - Conformity declaration for the IT-Security Label