Nr. C 277/18 Amtsblatt der Europäischen Gemeinschaften 5. 11. 90 
Vorschlag für einen Beschluß des Rates auf dem Gebiet der Informationssicherheit 
KOM(90) 314 endg. 
(Von der Kommission vorgelegt am 27. Juli 1990) 
(90/C 277/05) 
DER RAT DER EUROPÄISCHEN GEMEINSCHAFTEN — 
gestützt auf den Vertrag zur Gründung der Europäischen 
Wirtschaftsgemeinschaft, insbesondere auf Artikel 235, 
auf Vorschlag der Kommission, 
nach Stellungnahme des Europäischen Parlaments, 
nach Stellungnahme des Wirtschafts- und Sozialausschus­
ses, 
in Erwägung nachstehender Gründe: 
Aufgabe der Gemeinschaft ist es, durch Schaffung eines 
Gemeinsamen Marktes und stufenweise Annäherung der 
Wirtschaftspolitiken der Mitgliedstaaten gemeinschafts­
weit eine harmonische Entwicklung der Wirtschaftstätig­
keit, eine stetige und ausgewogene Expansion, erhöhte 
Stabilität, eine beschleunigte Anhebung der Lebensqualität 
und engere Beziehungen zwischen den Mitgliedstaaten zu 
fördern. 
Elektronisch gespeicherte, verarbeitete und übertragene 
Informationen spielen bei den sozialen und wirtschaftli­
chen Tätigkeiten eine immer wichtigere Rolle. 
Mit der Einführung effizienter globaler Kommunikations­
dienste und der immer weiter verbreiteten elektronischen 
Informationsverarbeitung wächst der Bedarf an angemes­
senen Schutzmaßnahmen. 
Das Europäische Parlament hat in seinen Beratungen und 
Beschlüssen wiederholt auf die Bedeutung der Informa­
tionssicherheit hingewiesen. 
Der Wirtschafts- und Sozialausschuß hat auf die Notwen­
digkeit hingewiesen, im Rahmen der Gemeinschaftsaktio­
nen Fragen der Informationssicherheit zu behandeln, 
wobei insbesondere die Auswirkungen der Vollendung des 
Binnenmarkts zu berücksichtigen sind. 
Es muß eine umfassende Strategie der Informationssicher­
heit entwickelt werden, um die Sicherheit des Benutzers auf 
Gemeinschaftsebene zu gewährleisten und die Entstehung 
neuer technischer Hindernisse für das Kommunikations­
wesen zu vermeiden. Die Komplexität der Informations­
sicherheit erfordert Subsidiarität, Beteiligung verschiede­
ner Akteure und die konzertierte Durchführung mehrerer 
Politiken. 
Aktionen auf nationaler, internationaler und Gemein­
schaftsebene bilden hierfür eine solide Basis. markt und Forschung und Entwicklung und zu der Arbeit, 
die die Europäische Gemeinschaft auf diesen Gebieten 
bereits geleistet hat. 
Die Konzertierung der Maßnahmen sollte unter Zugrunde­
legung der laufenden Arbeiten auf nationaler und interna­
tionaler Ebene und durch Förderung der Zusammenarbeit 
der wichtigsten Akteure gewährleistet werden. Dies sollte 
im Rahmen eines kohärenten Aktionsplans geschehen. 
Die Verantwortlichkeit der Mitgliedstaaten auf diesem 
Gebiet beinhaltet einen konzertierten Ansatz der auf einer 
engen Zusammenarbeit mit hohen Beamten der Mitglied­
staaten basiert — 
BESCHLIESST: 
Artikel 1 
(1) Es wird ein Aktionsplan auf dem Gebiet der 
Informationssicherheit (INFOSEC) über einen Zeitraum 
von 24 Monaten verabschiedet, beginnend (...). 
(2) Der Aktionsplan dient der Entwicklung einer umfas­
senden Strategie, die für Benutzer von elektronisch 
gespeicherten, verarbeiteten oder übertragenen Informa­
tionen den Schutz der Daten und seines Informationssys­
tems gegen beabsichtigte oder unbeabsichtigte Risiken 
gewährleistet. 
(3) Die Aktion berücksichtigt und unterstützt die laufen­
den europäischen und weltweiten Normungstätigkeiten 
auf diesem Gebiet. 
Artikel 2 
Der Aktionsplan gemäß Artikel 1, dessen Einzelheiten im 
Anhang aufgeführt sind, umfaßt folgende Aktionslinien: 
I. Entwicklung einer Rahmenstrategie für Informations­
sicherheit. 
II. Anforderungen an die Informationssicherheit. 
III. Lösungen für den kurz- und mittelfristigen Bedarf. 
IV. Spezifikation, Normung und Überprüfung der Infor­
mationssicherheit. 
V. Technologische und funktionale Entwicklungen im 
Hinblick auf die Informationssicherheit. 
Es besteht eine enge Verbindung zu den Politiken in den 
Bereichen Telekommunikation, Normung, Informations-VI. Maßnahmen zur Gewährleistung der Informations­
sicherheit. 
5. 11. 90 Amtsblatt der Europäischen Gemeinschaften Nr. C 277/19 
Artikel 3 
Der Aktionsplan wird von der Kommission in Zusammen­
arbeit mit den betroffenen Organisationen und Unter­
nehmen und in enger Abstimmung mit den Mitgliedstaaten 
durchgeführt. 
Artikel 4 
Die dieser Aktion zugewiesenen Mittel werden im Rahmen 
des jährlichen Haushaltsverfahrens bestimmt. 
Artikel 5 
Die Kommission legt dem Europäischen Parlament und 
dem Rat innerhalb von drei Monaten nach Abschluß des 
Aktionsplans einen Bericht über dessen Ergebnisse vor. Artikel 6 
Bei der Durchführung des Aktionsplans konsultiert die 
Kommission nach Bedarf die Gruppe hoher Beamter 
Informationssicherheit (SOGIS). Diese setzt sich aus 
jeweils zwei Vertretern der Mitgliedstaaten und der 
Kommission zusammen. Den Vorsitz führt ein Vertreter 
der Kommission. 
Die Mitglieder der Gruppe können sich entsprechend der 
Art der zu erörternden Fragen von Sachverständigen oder 
Beratern unterstützen lassen. 
Die Arbeiten der Gruppe sind vertraulich. Die Gruppe gibt 
sich ihre eigene Geschäftsordnung. Das Sekretariat wird 
von der Kommission wahrgenommen. 
ANHANG 
ÜBERSICHT ÜBER DIE AKTIONSLINIEN 
1. Aktionslinie I — Entwicklung einer Rahmenstrategie für Informationssicherheit 
1.1. Problematik 
1.1.1. Informationssicherheit gilt unbestritten als eine Dimension, die in allen Bereichen der modernen 
Gesellschaft vorhanden sein muß. Elektronische Informationsdienste erfordern eine sichere 
Kommunikationsinfrastruktur, sichere Endgeräte (einschließlich Prozessoren und Datenbanken) sowie 
sichere Anwendungen. Es muß eine Gesamtstrategie entwickelt werden, die alle Aspekte der 
Informationssicherheit berücksichtigt und somit ein aufgesplittertes Konzept vermeidet. Jegliche 
Strategie für die Sicherheit der elektronisch verarbeiteten Informationen muß den Wunsch der 
Gesellschaft berücksichtigen, effizient zu arbeiten und sich gleichzeitig in einem sich rasch wandelnden 
Umfeld zu schützen. 
1.2. Zielsetzung 
1.2.2. Es muß eine Rahmenstrategie geschaffen werden, um die gesellschaftlichen, wirtschaftlichen und 
politischen Ziele mit den technischen, operationeilen und legislativen Optionen in Einklang zu bringen. 
Das empfindliche Gleichgewicht zwischen verschiedenen Anliegen, Zielen und Sachzwängen muß von 
den Akteuren des Bereichs ermittelt werden, die bei der Entwicklung eines gemeinsamen Standpunkts 
und einer abgestimmten Strategie zusammenarbeiten. Dies sind die Voraussetzungen, um Interessen 
und Bedürfnisse sowohl im politischen Bereich als auch bei industriellen Entwicklungen zu vereinen. 
1.3. Derzeitiger Stand und Tendenzen 
1.3.3. Charakteristisch für die Lage ist das zunehmende Bewußtsein der Notwendigkeit zu handeln. In 
Ermangelung einer Konzertierungsinitiative ist es jedoch sehr wahrscheinlich, daß verstreut 
Maßnahmen in verschiedenen Bereichen ergriffen werden und damit in der Praxis eine 
widersprüchliche Situation entsteht, die nach und nach zu ernsthaften rechtlichen, gesellschaftlichen 
und wirtschaftlichen Problemen führt. 
1.4. Anforderungen, Optionen und Prioritäten 
1.4.4. Innerhalb eines solchen Rahmens wären Risikoanalyse und Risikomanagement zu behandeln und 
abzugrenzen. Diese betreffen: die Schwachstellen der Informationsdienste, die Angleichung von 
Gesetzen und Regelungen im Zusammenhang mit dem Mißbrauch von Computern und 
Telekommunikationsdiensten, Verwaltungsinfrastrukturen einschließlich Sicherheitspolitiken und die 
Frage, wie sich diese in verschiedenen Industrien/Disziplinen effizient einführen lassen, und schließlich 
Nr. C 277/20 Amtsblatt der Europäischen Gemeinschaften 5. 11. 90 
soziale und private Anliegen (z.B. die Einführung von Plänen für Identifizierung, Authentifizierung und 
gegebenenfalls Zugangsberechtigung in einem demokratischen Umfeld). 
1.4.5. Es bedarf einer klaren Ausrichtung für die Entwicklung physischer und logischer Architekturen für 
sichere verteilte Informationsdienste, Normen, Leitlinien und Definitionen für Sicherheitsprodukte 
und -dienste, Pilotprojekte und Prototypen, um die Brauchbarkeit verschiedener Verwaltungs­
strukturen, Architekturen und Normen, gemessen an dem Bedarf spezifischer Bereiche, zu ermitteln. 
1.4.6. Es muß ein Sicherheitsbewußtsein geschaffen werden, damit die Benutzer die Sicherheit in der 
Informationstechnologie und in Telekommunikationssystemen zu ihrem eigenen Anliegen machen. 
2. Aktionslinie II — Anforderungen an die Informationssicherheit 
2.1. Problematik 
2.1.7. Informationssicherheit ist die unerläßliche Voraussetzung für den Schutz der Privatsphäre, des 
geistigen Eigentums, des gewerblichen Rechtsschutzes und der nationalen Sicherheit. Dies führt 
unweigerlich zu einem empfindlichen Gleichgewicht und erfordert gelegentlich eine Wahl zwischen 
einem Engagement für den freien Handel und einem Engagement für den Schutz der Privatsphäre und 
des geistigen Eigentums. Diese Entscheidungen und Kompromisse müssen auf einer Gesamteinschät­
zung des Bedarfs und der Auswirkungen möglicher Informationssicherheitsoptionen basieren, die sich 
zur Deckung dieses Bedarfs anbieten. 
2.1.8. Die Benutzeranforderungen umfassen Funktionalitäten in Verbindung mit technologischen, 
operationeilen und ordnungspolitischen Aspekten. Daher ist eine systematische Untersuchung der 
Anforderungen an die Informationssicherheit für die Entwicklung geeigneter und wirksamer 
Maßnahmen unerläßlich. 
2.2. Zielsetzung 
2.2.9. Ermittlung der Benutzeranforderungen (Art und Merkmale) und ihre Beziehung zu Informationssicher­
heitsmaßnahmen . 
2.3. Derzeitiger Stand und Tendenzen 
2.3.10. Bislang wurden keine konzertierten Maßnahmen ergriffen, um den Bedarf der Hauptakteure im 
Bereich der Informationssicherheit zu ermitteln, der sich rasch weiterentwickelt und ständig verändert. 
Die EG-Mitgliedstaaten haben den Harmonisierungsbedarf der nationalen Tätigkeiten (insbesondere 
in bezug auf „IT-Sicherheitskriterien") festgelegt. Einheitliche Bewertungskriterien und Regeln für die 
gegenseitige Anerkennung der Bewertungsergebnisse und Zertifikate sind von grundlegender 
Bedeutung. 
2.4. Anforderungen, Optionen und Prioritäten 
2.4.11. Als Grundlage für eine kohärente und transparente Behandlung der fundierten Bedürfnisse der Akteure 
ist eine abgestimmte Klassifizierung der Benutzeranforderungen und ihrer Beziehungen zu den 
Maßnahmen zur Gewährleistung der Informationssicherheit zu entwickeln. 
2.4.12. Ferner sind die Anforderungen an Rechts- und Verwaltungsvorschriften und Verfahrensregeln 
festzulegen. Dabei sind die aktuellen Trends der Dienstmerkmale und Technologien zu 
berücksichtigen, um alternative Strategien zur Erreichung der Ziele durch administrative, 
dienstspezifische, operationelle und technische Bestimmungen zu entwickeln. Ferner sind die 
Wirksamkeit, Benutzerfreundlichkeit und Kosten alternativer Optionen und Strategien der 
Informationssicherheit für Benutzer, Diensteanbieter und Netz-Betreiber einzuschätzen. 
3. Aktionslinie III — Lösungen für den kurz- und mittelfristigen Bedarf 
3.1. Problematik 
3.1.13. Computer können heutzutage gegen unberechtigten externen Zugriff durch „Isolierung", d.h. 
konventionelle organisatorische und technische Maßnahmen, hinreichend geschützt werden. Dies gilt 
auch für die elektronische Kommunikation, die innerhalb einer geschlossenen Benutzergruppe über ein 
5. 11. 90 Amtsblatt der Europäischen Gemeinschaften Nr. C 277/21 
dediziertes Netz abgewickelt wird. Eine ganz andere Situation ergibt sich, wenn Informationen 
mehreren Benutzergruppen zur Verfügung stehen oder über ein öffentliches bzw. allgemein 
zugängliches Netz ausgetauscht werden. Hier stehen grundsätzlich weder die Technologien, Endgeräte 
und Dienste noch die entsprechenden Normen und Verfahren zur Verfügung, um eine vergleichbare 
Informationssicherheit zu gewährleisten. 
3.2. Zielsetzung 
3.2.14. Ziel ist es, kurzfristig Lösungen zu erarbeiten, die dem dringendsten Benutzerbedarf gerecht werden. 
Sie sollten „offen" konzipiert sein, um auch künftige Anforderungen und Lösungen zu berücksichtigen. 
i.3. Derzeitiger Stand und Tendenzen 
3.3.15. Einige Benutzergruppen haben Techniken und Verfahren für ihre speziellen Anwendungen entwickelt, 
die insbesondere dem Bedarf an Authentifizierung, Integrität und Nachweisbarkeit gerecht werden. In 
der Regel werden Magnet- oder Chipkarten verwendet. Teilweise bedient man sich mehr oder weniger 
ausgefeilter Verschlüsselungstechniken. Hierzu sind häufig Benutzergruppen spezifischer „Instanzen" 
zu definieren. Eine Anpassung dieser Techniken und Verfahren an die Anforderungen einer offenen 
Umgebung erweist sich jedoch als schwierig. 
3.3.16. Die ISO entwickelt derzeit eine OSI-Informationssicherheitsnorm (ISO DiS 7498-2), während der 
CCITT diese Frage im Zusammenhang mit dem X.400 bearbeitet. Eine Möglichkeit besteht darin, 
Sicherheitssegmente in die Nachrichten zu integrieren. Authentifizierung, Integrität und Akzeptanz 
werden als Teil der Nachrichten (EDIFACT) und des Systems X.400 MHS behandelt. 
3.3.17. Gegenwärtig befindet sich der rechtliche Rahmen für den elektronischen Datenaustausch noch in der 
Entwicklungsphase. Die internationale Handelskammer hat einheitliche Verhaltensregeln für den 
Austausch von kommerziellen Daten über Telekommunikationsnetze veröffentlicht. 
3.3.18. Mehrere Länder (z.B. Deutschland, Frankreich, Vereinigtes Königreich und USA) haben Kriterien zur 
Bewertung der Vertrauenswürdigkeit von IT- und Telekommunikationsprodukten und -Systemen 
sowie entsprechende Bewertungsverfahren entwickelt bzw. in Arbeit. Diese Kriterien wurden mit den 
nationalen Herstellern koordiniert und werden in zunehmendem Maße die Entwicklung sicherer 
Produkte und Systeme, ausgehend von einfachen Produkten, ermöglichen. Dieser Trend wird durch die 
Einrichtung nationaler Organisationen unterstützt, die Bewertungen durchführen und Zertifikate 
erteilen. 
3.3.19. Maßnahmen zur Wahrung der Vertraulichkeit werden von den meisten Benutzern für weniger 
dringend erachtet. Künftig wird sich diese Lage jedoch angesichts der allgemeinen Verbreitung 
moderner Kommunikationsdienste, insbesondere der Mobilfunkdienste, voraussichtlich ändern. 
3.4. Anforderungen, Optionen und Prioritäten 
3.4.20. Die Verfahren, Normen, Produkte und Werkzeuge zur Gewährleistung der Informationssicherheit in 
öffentlichen Kommunikationsnetzen müssen umgehend entwickelt werden. Hohe Priorität kommt 
dabei der Authentifizierung, Integrität und Nachweisbarkeit zu. Pilotprojekte sind durchzuführen, um 
die vorgeschlagenen Lösungen auf ihre Eignung zu prüfen. Lösungen für prioritäre Anforderungen im 
Bereich des elektronischen Datenaustausches werden mit dem Programm TEDIS angestrebt, das sich in 
den breiteren Rahmen dieses Aktionsplans einfügt. 
4. Aktionslinie IV — Spezifikation, Normung und Überprüfung der Informationssicherheit 
4.1. Problematik 
4.1.21. Anforderungen an die Informationssicherheit stellen sich in allen Bereichen; daher sind gemeinsame 
Spezifikationen und Normen unerläßlich. Solange keine abgestimmten Normen und Spezifikationen 
vorliegen, können sich daraus wesentliche Hindernisse für den Fortschritt informationsgestützter 
Vorgänge und Dienste in der gesamten Wirtschaft und Gesellschaft ergeben. Es müssen Maßnahmen 
ergriffen werden, um die Entwicklung und den Einsatz von Technologien und Normen in 
verschiedenen zusammenhängenden Kommunikations- und Computernetzen zu beschleunigen, die für 
Benutzer, Industrieunternehmen und Verwaltungen von ausschlaggebender Bedeutung sind. 
Nr. C 277/22 Amtsblatt der Europäischen Gemeinschaften 5. 11. 90 
4.2. Zielsetzung 
4.2.22. Es sind Maßnahmen zu treffen, um die Unterstützung und Durchführung spezieller Funktionen in den 
allgemeinen Bereichen OSI, ONP, ISDN/IBC, Netzmanagement und Netzsicherheit für nicht 
klassifizierte, jedoch sensitive Informationen zu ermöglichen. In engem Zusammenhang mit der 
Normung und Spezifikation stehen die notwendigen Überprüfungstechniken und -konzepte. 
4.3. Derzeitiger Stand und Tendenzen 
4.3.23. Vor allem die USA haben größere Initiativen zur Frage der Informationssicherheit im nichtmilitäri­
schen Bereich ergriffen. In Europa wird dieses Thema von ETSI und CEN/CENELEC im 
Zusammenhang mit der IT- und Telekommunikationsnormung als Vorbereitung der entsprechenden 
Arbeiten des CCITT und der ISO behandelt. 
4.3.24. Da dieses Thema immer mehr in den Brennpunkt rückt, werden die Arbeiten in den USA zügig 
vorangetrieben; Hersteller und Diensteanbieter verstärken ihre Bemühungen in diesem Bereich. In 
Europa haben Frankreich, die Bundesrepublik Deutschland und das Vereinigte Königreich unabhängig 
voneinander ähnliche Tätigkeiten aufgenommen; ein gemeinsamer Vorstoß wie in den USA zeichnet 
sich jedoch nur zögernd ab. 
4.4. Anforderungen, Optionen und Prioritäten 
4.4.25. Im Bereich der Informationssicherheit besteht zwangsläufig eine enge Verbindung zwischen 
ordnungspolitischen, operationeilen, administrativen und technischen Aspekten. Staatliche 
Vorschriften sind in Normen zu berücksichtigen; Maßnahmen zur Gewährleistung der Informations­
sicherheit müssen nachweislich den Normen und Vorschriften entsprechen. In mehrfacher Hinsicht 
erfordern Vorschriften Spezifikationen, die über den traditionellen Bereich der Normung hinausgehen, 
d.h. Verfahrensregeln beinhalten. Anforderungen an Normen und Verfahrensregeln gibt es in allen 
Bereichen der Informationssicherheit. Dabei ist zu unterscheiden zwischen den Schutzanforderungen, 
die den Sicherheitszielen entsprechen, und einigen technischen Anforderungen, mit deren Erfüllung die 
zuständigen europäischen Normungsgremien (CEN/CENELEC/ETSI) beauftragt werden können. 
4.4.26. Spezifikationen und Normen müssen zahlreiche Bereiche abdecken: die der Informationssicherheits­
dienste (Authentifizierung von Personen und Unternehmen, Protokolle für die Nachweisbarkeit, 
rechtlich zulässige elektronische Belege, Berechtigungskontrolle, Kommunikationsdienste (Schutz der 
Privatsphäre bei Bild-, Mobil- und Datenkommunikation, Schutz von Daten- und Bildbanken, 
Sicherheit integrierter Dienste), Kommunikations- und Sicherheitsmanagement (öffentliche/private 
Schlüsselsysteme für „offenen" Netzbetrieb, Schutz des Netzmanagements, Schutz der Diensteanbieter) 
und Zertifizierung (Kriterien und Stufen der Informationssicherheit, Verfahren zur Gewährleistung der 
Sicherheit). 
5. Aktionslinie V — Technologische und funktionale Entwicklungen im Hinblick auf die Informations­
sicherheit 
5.1. Problematik 
5.1.27. Voraussetzung für die Entwicklung des Dienstemarktes und der Wettbewerbsfähigkeit der 
Europäischen Wirtschaft insgesamt ist die systematische Erforschung und Entwicklung der 
Technologien, um wirtschaftlich rentable und operationell zufriedenstellende Lösungen für eine Reihe 
gegenwärtiger und künftiger Anforderungen an die Informationssicherheit zu erarbeiten. 
5.1.28. Bei technologischen Entwicklungen im Hinblick auf die Sicherheit der Informationssysteme sind 
grundsätzlich Aspekte sowohl der Computersicherheit als auch der Kommunikationssicherheit zu 
berücksichtigen, da es sich bei den heutigen Systemen überwiegend um verteilte Systeme handelt und 
der Zugang über Kommunikationsdienste erfolgt. 
5.2. Zielsetzung 
5.2.29. Systematische Erforschung und Entwicklung der Technologien, um wirtschaftlich rentable und 
operationeil zufriedenstellende Lösungen für eine Reihe gegenwärtiger und künftiger Anforderungen 
zu erarbeiten. 
5.3. Anforderungen, Optionen und Prioritäten 
5.3.30. Die Arbeiten im Bereich der Informationssicherheit betreffen Entwicklungs- und Implementierungs­
strategien, Technologien, Integration und Überprüfung. 
5. 11. 90 Amtsblatt der Europäischen Gemeinschaften Nr. C 277/23 
5.3.31. Die strategischen FuE-Arbeiten müssen theoretische Modelle für sichere Systeme, Modelle der 
Funktionsanforderungen, Risikomodelle und Sicherheitsarchitekturen abdecken. 
5.3.32. Die technologischen FuE-Arbeiten müssen die Authentifizierung von Benutzern und Nachrichten (z.B. 
durch Stimmerkennung und elektronische Unterschriften), technische Schnittstellen und Protokolle für 
die Verschlüsselung, Zugriffskontrollmechanismen und Implementierungsverfahren für nachweislich 
sichere Systeme abdecken. 
5.3.33. Integrations- und Überprüfungsprojekte dienen der Verifikation und Validierung der technischen 
Systemsicherheit und ihrer Anwendbarkeit. 
5.3.34. Über die Entwicklung und Konsolidierung von Sicherheitstechnologien hinaus sind eine Reihe von 
flankierenden Maßnahmen notwendig. Diese betreffen die Erstellung, Aktualisierung und konsequente 
Anwendung von Normen sowie die Validierung und Zertifizierung von IT- und Telekommunikations­
produkten in bezug auf ihre Sicherheitsmerkmale; dazu gehören auch die Validierung und 
Zertifizierung von Verfahren zum Entwurf und zur Implementierung der Systeme. 
5.3.35. Aufgrund des dritten FuE-Rahmenprogramms der Gemeinschaft können kooperative Projekte auf 
vorwettbewerblicher und pränormativer Ebene gefördert werden. 
6. Aktionslinie VI — Maßnahmen zur Gewährleistung der Informationssicherheit 
6.1. Problematik 
6.1.36. Je nach Art der erforderlichen Sicherheitsmerkmale sind die Funktionen an verschiedenen Stellen der 
Kommunikationssysteme zu integrieren. Hierzu gehören Endgeräte/Computer/Dienste, Netz­
management ebenso wie Verschlüsselungsgeräte, Chipkarten, öffentliche und private Schlüssel usw. 
Einige Funktionen können voraussichtlich vom Hersteller in die Hard- oder Software integriert 
werden, während andere Bestandteil verteilter Systeme sind (z.B. Netzmanagement), sich im Besitz des 
einzelnen Benutzers befinden (z.B. Chipkarten) oder von einer besonderen Organisation geliefert 
werden (z.B. öffentliche/private Schlüssel). 
6.1.37. Informationssicherheitsprodukte und -dienste dürften überwiegend von Herstellern, Diensteanbietern 
oder Netz-Betreibern bereitgestellt werden. Für spezielle Funktionen, z.B. die Zuteilung öffentlicher/ 
privater Schlüssel, Überwachung oder Berechtigungskontrolle müssen gegebenenfalls entsprechende 
Organisationen bestimmt und beauftragt werden. 
6.1.38. Gleiches gilt für die Zertifizierung, Bewertung und Überprüfung der Dienstqualität. Diese Aufgaben 
müssen von Organisationen wahrgenommen werden, die von den Interessen der Hersteller, 
Diensteanbieter und Netz-Betreiber nicht beeinflußt werden. Dies können private oder staatliche 
Organisationen sein oder solche, die eine staatliche Lizenz zur Ausübung bestimmter Funktionen 
besitzen. 
6.2. Zielsetzung 
6.2.39. Um die harmonische Entwicklung der Informationssicherheit in der Gemeinschaft im Hinblick auf den 
Schutz öffentlicher und geschäftlicher Interessen zu fördern, ist ein kohärentes Konzept zu entwickeln. 
Soweit damit unabhängige Organisationen beauftragt werden müssen, sind ihre Funktionen und 
Bedingungen festzulegen und abzustimmen und nach Bedarf in den ordnungspolitischen Rahmen zu 
integrieren. Ziel ist es, eine klar definierte und abgestimmte Verteilung der Zuständigkeiten unter den 
verschiedenen Akteuren auf Gemeinschaftsebene als Voraussetzung für die gegenseitige Anerkennung 
zu erreichen. 
6.3. Derzeitiger Stand und Tendenzen 
6.3.40. Zum gegenwärtigen Zeitpunkt sind Informationssicherheitsmaßnahmen nur in bestimmten Bereichen 
durchorganisiert und beschränken sich auf spezielle Bedürfnisse. Die Organisation auf europäischer 
Ebene ist zumeist informell und die gegenseitige Anerkennung der Überprüfung und Zertifizierung, 
ausgenommen in geschlossenen Gruppen, noch nicht eingeführt. Mit der zunehmenden Bedeutung der 
Informationssicherheit wird die Festlegung eines kohärenten Konzepts der Informationssicherheits­
maßnahmen in Europa und international zu einem dringenden Anliegen. 
Nr. C 277/24 Amtsblatt der Europäischen Gemeinschaften 5. 11. 90 
6.4. Anforderungen, Optionen und Prioritäten 
6.4.41. Angesichts der Zahl der betroffenen Akteure und des engen Zusammenhangs mit ordnungspolitischen 
und rechtlichen Fragen muß in erster Linie eine Einigung über die Grundsätze erzielt werden, die für 
den Bereich der Informationssicherheit gelten sollen. 
Bei der Entwicklung eines kohärenten Konzepts zu dieser Frage sind die Aspekte der Festlegung und 
Spezifikation von Funktionen zu prüfen, die eine unabhängige Organisation (bzw. kooperierende 
Organisationen) erfordern. Dies gilt unter anderem für Funktionen wie die Verwaltung eines 
öffentlichen/privaten Schlüsselsystems. 
Ferner sind zu einem frühen Zeitpunkt die Funktionen festzulegen und zu spezifizieren, die im 
öffentlichen Interesse einer unabhängigen Organisation (bzw. kooperierenden Organisationen) 
übertragen werden müssen. Dies gilt beispielsweise für Überwachung, Qualitätssicherung, 
Überprüfung, Zertifizierung und ähnliche Funktionen. 
Vorschlag für einen Beschluß des Rates über den Abschluß des Abkommens zwischen der 
Europäischen Wirtschaftsgemeinschaft und der Europäischen Atomgemeinschaft und Rumänien 
über den Handel und die handelspolitische und wirtschaftliche Zusammenarbeit im Namen der 
Europäischen Wirtschaftsgemeinschaft 
SEK(90) 1872 endg. 
(Von der Kommission dem Rat vorgelegt am 8. Oktober 1990) 
(90/C 277/06) 
DER RAT DER EUROPÄISCHEN GEMEINSCHAFTEN — BESCHLIESST: 
gestützt auf den Vertrag zur Gründung der Europäischen 
Wirtschaftsgemeinschaft, insbesondere auf Artikel 113 
und 235, 
auf Vorschlag der Kommission, 
nach Stellungnahme des Europäischen Parlaments, Artikel 1 
Das Abkommen zwischen der Europäischen Wirtschafts­
gemeinschaft und der Europäischen Atomgemeinschaft 
und Rumänien über den Handel und die handelspolitische 
und wirtschaftliche Zusammenarbeit wird im Namen der 
Gemeinschaft genehmigt. 
Der Wortlaut des 
beigefügt. Abkommens ist diesem Beschluß 
in Erwägung nachstehender Gründe: 
Der Abschluß des Abkommens zwischen der Europäischen 
Wirtschaftsgemeinschaft und der Europäischen Atomge­
meinschaft und Rumänien über den Handel und die 
handelspolitische und wirtschaftliche Zusammenarbeit ist 
zur Erreichung der Ziele, die die Gemeinschaft in ihren 
Außenbeziehungen verfolgt, notwendig. Das Abkommen 
ist daher im Namen der Europäischen Wirtschaftsgemein­
schaft zu genehmigen. 
Einige der in dem Abkommen vorgesehenen Maßnahmen 
der wirtschaftlichen Zusammenarbeit gehen über die 
Handlungsbefugnisse im Bereich der gemeinsamen Han­
delspolitik hinaus — Artikel 2 
Der Präsident des Rates nimmt im Namen der Europäi­
schen Wirtschaftsgemeinschaft die Notifizierung nach 
Artikel 25 des Abkommens vor (*). 
Artikel 3 
Die Kommission vertritt die Gemeinschaft in dem mit 
Artikel 22 des Abkommens eingesetzten Gemischten 
Ausschuß und wird dabei von den Vertretern der 
Mitgliedstaaten unterstützt. 
(!) Das Generalsekretariat des Rates gibt den Zeitpunkt des 
Inkrafttretens des Abkommens im Amtsblatt der Europäischen 
Gemeinschaften bekannt.