15.3.93 DeEuropæiskeFællesskabersTidende Nr.C73/19
—antalletaftabtearbejdspladserkanmuligvissynes
beskedent,nårmansammenlignermeddenmassive
beskæftigelsesnedgang istorevirksomheder ,men
detkanhavelangtstørrekonsekvenserfordeberør­
tesmåogmellemstorevirksomheder .—dererrisikofor,athovedproducenter skiftertilen
andenleveringskilde itredjelandemedlaveom­
kostninger,
—selvomsmåogmellemstorevirksomhedererkendt
forderestilpasningsevne ,erdetnødvendigtatstøtte
demgennemprogrammer ,dertagersigtepåat
diversificereproduktionen ,
Bryssel,den27.januar1993.
SusanneTIEMANN
Formandfor
DetøkonomiskeogsocialeUdvalg
UdtalelseomKommissionens forslagrilRådetshenstillingomensartedekriterierforevalu­
eringafinformationsteknologisk sikkerhed
(93/C73/05)
RådetforDeEuropæiskeFællesskaberbesluttededen29.september1992underhenvisning
tilEØF-traktatens artikel198atanmodeomDetøkonomiskeogsocialeUdvalgsudtalelse
omdetovennævnteemne.
DetforberedendearbejdehenvistestilØSU'ssektionforindustri,handel,håndværkog
tjenesteydelser ,somudpegedeDameJocelynBarrowtilordfører.Sektionenvedtogsin
udtalelseden6.januar1993.
DetøkonomiskeogsocialeUdvalgvedtogpåsin302.plenarforsamling af27.-28.januar
1993,mødetden27.januar1993,enstemmigtfølgendeudtalelse.
1.Indledning
1.1.Kommissionens forslagskaløgeforbrugernes
tillidtilinformationsteknologiprodukters sikkerhedog
brugessommålestokforvurderingafIT-produkters
sikkerhed.Forslagetvidereførerdenindsats,somallere­
deergjortinoglemedlemsstater samtiUSAogJapan
vedrørendekriterierforevalueringafinformationstek­
nologisksikkerhed(ITSEC).
1.2.Kommissionens forslagtilRådetshenstillinggår
udpå:
i)atderforeløbigforenperiodepåtoårvedtages
ITSEC-kriterier (kriterierforevalueringafinforma­
tionsteknologisk sikkerhed)forheleEF,
ii)atderunderledelseafgruppenafhøjtståendeem­
bedsmænd vedrørende informationssikkerhed
(SOG-IS)tilstræbeseninternationalharmonisering
ogstandardisering afdissekriterier,ogiii)atderefterdenneforeløbigetoårsperiodeforetages
envurderingafdisseforanstaltninger ,ogatSO­
GISfremsætterforslagompassendeyderligerefor­
anstaltningerforEF.
1.3.ITSEComfatterstandardkriterier forevaluering
afIT-produkters og-systemerssikkerhed;bådehard­
wareogsoftwareomfattes.
1.4.DissekriterierskalgældeforIT-systemerog
-produkter,somomfattesafnationalecertificerings­
ordninger,ogskalbenyttesafuafhængigeoguvildige
evalueringsorganer påanmodningafen»sponsor«(som
regelIT-systemets/produktetssælgerellerbruger).Cer­
tificeringerderforheltfrivillig.
1.5.IT-sikkerhedsbegrebet omfatter:
—fortrolighed,dvs.sikkerhedfor,atuvedkommende
ikkefåradgangtilinformationen ,

Nr.C73/20 DeEuropæiskeFællesskabersTidende 15.3.93
forslagettildirektivombeskyttelseafpersonoplysnin­
gerogforslagettilRådetsafgørelseominformations­
systemerssikkerhed(1).—integritet,dvs.sikkerhedfor,atinformationenikke
ændresuretmæssigt,
—indsigt,dvs.sikkerhedfor,atinformationellerres­
sourcerikkeuretmæssigttilbageholdes .2.2.Indførelsenafstandardkriterier forevaluering
afsikkerhedskarakteristika vilsættebrugere,derhar
identificeretdetrusler,somdeudsættesfor,istandtil
atvælge,hvilkeprodukterellersystemerdersvarertil
deresbehov,ogvilfølgeligkunnehjælpebrugerne
medatundgåatinvestereformegetiunødvendige
karakteristika ogmedatholdestyrpåsikkerhedsrisi­
ciene.1.6.ITSEComfatterikkekarakteristika ,somskal
afværgefysisketruslermodsikkerheden (såsomlåseog
spærreanordninger ),mendækkerhardware,software
ogfirmwareforIT-produkterog-systemer.
1.7.Ensponsor,somønskerensikkerhedsevaluering
afsitIT-produkteller-system,skaldefinereproduktets
ellersystemets»sikkerhedsmål «fordetbestemtepro­
duktellersystem,ogevalueringenvildaskemedud­
gangspunkt idettemål.Sikkerhedsmålet skalomfatte
derelevante»sikkerhedsmålsætninger «,somIT-pro­
duktetskalsøgeatopfylde,dets»sikkerhedsfunktio­
ner«,eventuelle»trusler«modIT-produkteteller-syste­
metog,somnogetfrivilligt,»sikkerhedsmekanismer «,
dvs.delogiskeelementerelleralgoritmer,hvorvedsik­
kerhedsfunktionerne iværksættes .2.3.Encertificeringsordning vilogsåbidragetilat
sikre,atleverandørernes påstandeomderesIT-produk­
tersog-systemersiboendesikkerhederberettigede;
endviderevildetblivelettereatsammenlignekonkurre­
rendeprodukter,hvisderfindesstandardkriterier til
evalueringaf,hvordanprodukternesindbyggedesikker­
hedsfunktioner hverisærevneratmodvirkebestemte
trusler.Detteersærligtværdifuldtindenforoffentlige
indkøbsaftaler ,menerogsåtilhjælpforprivateindu­
stri-oghandelsvirksomheder .
2.4.Sælgereafsikkerhedsprodukter ,somharværet
underkastetensikkerhedsevaluering ,skullekunneøge
salgetafderesproduktervedkorrektbrugafcertifice­
ring;deskulleogsåletterekunneafpassederesprodukt­
udviklingeftermarkedetskrav.1.8.Evalueringenforetagespåtoniveauer:fordet
førsteforetagesevalueringaf,omvalgetogindbygnin­
genafsikkerhedsfunktionerne undersystemets/produk­
tetsudviklingsamtdenmåde,hvorpådissebenyttes,er
korrekt;fordetandetevalueres,hvorvidtsystemeteller
produktetipraksiskanopfyldesikkerhedsmålsætnin ­
gerne.
2.5.Hvisderfindesstandardkriterier ,skulledetblive
lettereatindføreadfærdskodekser ellerlovgivning,
hvorvedderfastsættesminimumssikkerhedsnormer for
IT-systemerog-produkteridetilfældeogpådeområ­
der,hvorsådanneerberettigede,f.eks.indenfordata­
beskyttelse.1.9.Sponsorenforlangerkorrektiværksættelseaf
sikkerhedsfunktionerne ,somskalvurderespåbasisaf
etevalueringsniveau fraE0(detlaveste)tilE6(det
højeste).Hvertevalueringsniveau omfatterennærmere
gennemgangafsystemet/produktet.Evalueringenaf
systemetsellerproduktetsevnetilipraksisatopfylde
sikkerhedsmålsætningerne indgårderpåikorrektheds­
vurderingen,ogsikkerhedsmekanismernes evnetilat
modstådirekteovergrebbedømmessom»basic«,»me­
dium«eller»high«.2.6.Eksistensenafsikkerhedskriterier skullekunne
øgetillidentilEF-produkterog-systemerudenforEF
ogdermedøgeeksportenfraEF.
1.10.Efterevalueringensafslutninggiverdetuaf­
hængigenationaleorganenbedømmelsefraE0tilE6,
hvorveddetbekræftes,atIT-systemeteller-produktet
haropfyldtallekorrekthedskriterier ogerfunktions­
dygtigtpådetangivneniveau.2.7.Harmonisering afstandardererogsåønskelig,
hvismanvillettedenfriebevægelighedforvareriEF
ogbegrænsemedlemsstaternes brugafartikel36tilet
minimum,ogdermedbegrænseantalletafsagsanlæg
vedEF-domstolen .ØSUharalleredefremhævetstan­
dardiseringens betydningforgennemførelsen afdet
indremarkedisinrapportogudtalelseomstandardise­
ringogfjernelseaftekniskehandelshindringer (2).
2.Generellebemærkninger
2.8.ØSUgodkenderdetforhold,atkriterierneer
opstilletunderhensyntagentildekriterier,somfindes2.1.ØSUudtrykkertilfredshedmedforslagetog
godkenderdetsmål.IT-produkterog-systemerspiller
enstadigvigtigererolleisamfundet,ogdeskader,som
kanbliveenfølgeafsikkerhedsbrud ,erøgettilsvarende.
Europa-Parlamentet ogØSUhargentagnegangepåpe­
getdetteproblemsbetydning,specieltiudtalelsenom{l)EFTnr.C159af17.6.1991.
(2)EFTnr.C14af20.1.1992.

15.3.93 DeEuropæiskeFællesskabersTidende Nr.C73/21
iandrelandeudenforEuropa,ikkemindstUSA.ØSU
hartidligerehenstillet,atmaneropmærksompåforde­
lenevedstandardisering påverdensplan,såmanundgår
tekniskesamhandelshindringer iforholdtillandeuden
forEF;ØSUskalhergentage,atdetikkeønsker,atde
europæiskeITSEC-kriterier kommertilatudgøreen
usynlighandelshindring .
2.9.ØSUgodkender,atITSECerudarbejdetefter
samrådmedfabrikanterogbrugereafIT-produkter
og-systemer,oglæggervægtpåbetydningenaffortsat
samråd.foretagesennyvurderingafudviklingenindenforinfor­
mationsteknologisystemers sikkerhed.ØSUgodkender
ligeledes,atdeterhensigtenatbevægesigiretningaf
detvigtigemål,sombestårigensidiganerkendelseaf
nationalcertificeringiheleEF,menmenerdog,atnogle
afdepunkter,sombrugerneharsatspørgsmålstegn
ved,børbehandlesnærmere:
a)omdetipraksisermuligtatgøreevalueringerne så
præcise,atdekanbenyttesikommercieltøjemed,
b)hvorledesmanskaltackleforskellemellemdefor­
skelligemodellerafhverenkeltinformationstekno ­
logiprodukt,somkanforeliggeimangeforskellige
udgaver,
c)hvilkemetoderderskalbenyttesievalueringspro­
cessen,oghvorledesderkanopnåskonsekvensmel­
lemnationalecertificeringsorganer ,
d)omderifremtidenvilblivenedfældetkravomen
bestemtstandardioffentligeellerprivatesystemer
iEF-lovgivningen ellerihenholdtilenadfærdsko­
deks,f.eks.nårdetgældersystemertilbehandling
afpersonoplysninger ,og
e)hvorledesmanindenfordenneindustri,someri
hastigudvikling,kansikre,atsikkerhedsevaluerin ­
gerneudførestilstrækkeligthurtigt,ogatevalue­
ringskriterierne opdateresmedjævnemellemrum .3.Særligebemærkninger
3.1.ØSUbeklager,atderisåhøjgradbenytteset
uklartteknisksprogihenstillingenskorpus,somgør
forslagetunødvendigtvanskeligtatforstå.
3.2.ØSUudtrykkertilfredshedmed,atdefunktio­
nellekravholdesadskiltfrasikkerhedskravene ,således
atITSEC-kriterierne kananvendespåenbredvifteaf
IT-produktereller-systemer.
3.3.ØSUgodkendertankenom,atderefterden
toårigeperiode,hvorSOG-ISskalføretilsyn,ogefter
yderligeresamrådmederhvervslivetogbrugerne,skal
Bryssel,den27.januar1993.
SusanneTIEMANN
Formandfor
DetøkonomiskeogsocialeUdvalg