15.3.93 AmtsblattderEuropäischenGemeinschaften Nr.C73/19
—DerVerlustanArbeitsplätzenmagimVergleichzu
demmassivenPersonalabbau ingroßenUnterneh­
mengeringerscheinen,dochkanndieWirkungfür
diefraglichenKMUweitausstärkersein.—EsbestehtdieGefahr,daßdieHauptunternehmer
zuVersorgungsquellen inkostengünstigeren Dritt­
ländernüberwechseln .
—WenndieKMUauchfürihreFähigkeitbekannt
sind,sichdemWandelderGegebenheiten anzupas­
sen,benötigensiedennochDiversifizierungspro ­
gramme.
GeschehenzuBrüsselam27.Januar1993.
DerPräsident
desWirtschafts-undSozialausschusses
SusanneTIEMANN
Stellungnahme zudemVorschlagrareineEmpfehlungdesRatesübergemeinsameKriterien
fürdieBewertungderSicherheitvonSystemenderInformationstechnik
(93/C73/05)
DerRatbeschloßam29.September1992,denWirtschafts-undSozialausschuß gemäß
Artikel198desEWG-Vertrags umStellungnahme zuvorgenannterVorlagezuersuchen.
DiemitderVorbereitungderArbeitenbeauftragteFachgruppeIndustrie,Handel,Handwerk
undDienstleistungen nahmihreStellungnahme am6.Januar1993an.Berichterstatterin war
DameJocelynBarrow.
DerAusschußverabschiedete aufseiner302.Plenartagung (Sitzungvom27.Januar1993)
einstimmigfolgendeStellungnahme .
1.Einleitung
1.1.DerZweckdesvonderKommissionvorgelegten
Vorschlagsbestehtdarin,füreingrößeresVertrauenin
dieSicherheitvonProduktenderInformationstechnik
(IT)zusorgenundeinenMaßstabaufzustellen,anhand
dessendieSicherheitvonIT-Produkten beurteiltwerden
kann.ErknüpftandieindenMitgliedstaaten ,denUSA
undinJapandurchgeführten ArbeitenzurEntwicklung
vonKriterienfürdieBewertungderSicherheitvon
Informationstechnik an.
1.2.Dievorgeschlagene EmpfehlungdesRatessieht
folgendesvor:
(i)DiegemeinsamenKriterienfürdieBewertungder
SicherheitvonSystemenderInformationstechnik
(ITSEC)zunächstfüreinenZeitraumvonzwei
Jahrenanzunehmen ;
(ii)unterderSchirmherrschaft derGruppeHoherBe­
amterfürInformationssicherheit (SOG-IS)diein­
ternationaleHarmonisierung dieserKriterienzu
fördern;(iii)nachAblaufdererstenbeidenJahredieEntwick­
lungenzuüberprüfenundaufEmpfehlungder
SOG-ISgeeigneteGemeinschaftsaktionen vor­
zuschlagen.
1.3.DieITSECenthaltenStandardkriterien zurBe­
wertungderSicherheitvonIT-Produktenund-Syste­
men,unterEinschlußvonsowohlSoftwarealsauch
Hardware .
1.4.DieseKriteriensindaufWunschdesAntragstel­
lers(fürgewöhnlichdesVerkäufersoderdesBenutzers
desIT-Systemsbzw.-Produkts)beiderEvaluationvon
IT-Systemenund-ProduktendurchunabhängigePerso­
nenoderOrganisationen aufderGrundlagenationaler
Zertifizierungssysteme anzuwenden .EineZertifizie­
rungistdaherreinfakultativ.
1.5.DieSicherheitvonSystemenderInforma­
tionstechnikumfaßtdreiKomponenten :
—Vertraulichkeit —SchutzvorunbefugterPreisgabe
vonInformationen ;

Nr.C73/20 AmtsblattderEuropäischenGemeinschaften 15.3.93
—Integrität—SchutzvorunbefugterVeränderung
vonInformationen ;
—Verfügbarkeit—SchutzvorunbefugterVorenthal­
tungvonInformationenoderBetriebsmitteln .
1.6.DieITSECbefassensichnichtmitVorrichtun­
gen(wiez.B.SchlösseroderSchrauben)zumphysischen
Schutzvorsicherheitsbedrohlichen Eingriffen,sondern
mitHardware,SoftwareundFirmwareimRahmenvon
IT-Produktenund-Systemen.
1.7.DerAntragstellereinerEvaluationmußdieSi­
cherheitsvorgaben fürseinentsprechendes IT-Produkt
bzw.-Systemdefinieren.DieseSicherheitsvorgaben
müssendieSicherheitsziele darlegen,dievondemIT­
Produktbzw.-Systemerreichtwerdensollen,diesi­
cherheitsspezifischen Funktionen,allepotentiellen
„Bedrohungen"desIT-Produktsbzw.-Systemssowie
alsOptiondieSicherheitsmechanismen ,d.h.dieLogik
bzw.dieAlgorithmenzurImplementierung derSi­
cherheitsfunktionen .
1.8.DieBewertungerfolgtinzweiStufen:inder
erstenStufewirddieKorrektheitderausgewählten
sicherheitsspezifischen FunktionenundihrerImplemen­
tierungindasIT-Produktbzw.-Systembeidessen
EntwicklungundAnwendungbewertet.Inderzweiten
StufewirddieWirksamkeitbeurteilt,obbzw.inwieweit
dasSystemoderProduktwirklichdievorgegebenen
Sicherheitsziele erreicht.
1.9.DerAntragstellerwirdverlangen,daßdieKor­
rektheitunddieeinwandfreieImplementierung dersi­
cherheitsspezifischen FunktionenanhandeinesEvalua­
tionsmaßstabs bewertetwird,dersiebenEvalua­
tionsstufenaufweist(vonderniedrigstenStufeE0bis
hinzuE6).FürjedeBewertungderWirksamkeitbedarf
eseinernäherenUntersuchung desSystemsbzw.Pro­
duktes.Beideranschließenden BewertungderWirk­
samkeitdesSystemsoderProduktesimHinblickaufdie
Sicherheitsziele wirdaufderBewertungderKorrektheit
aufgebaut,unddieFähigkeitderSicherheitsmecha­
nismen,einemdirektenAngriffstandzuhalten ,wirdals
niedrig,mitteloderhochbewertet.
1.10.Beiderabschließenden Bewertungwerdenvon
einerunabhängigen einzelstaatlichen StelleEvalua­
tionsstufenvonE0bisE6zuerkannt,mitdenenbestätigt
wird,daßdasIT-Systemoder-ProduktalleKriterien
inbezugaufKorrektheitundWirksamkeitentspre­
chendderangegebenenStufeerfüllt.hervorgehoben ,derAusschußnamentlichinseinerStel­
lungnahmezudemVorschlagfüreineRichtliniezum
SchutzvonPersonenbeiderVerarbeitungpersonenbe­
zogenerDatenundzudemVorschlagfüreinenBeschluß
desRatesaufdemGebietderInformationssicherheit .(l)
2.2.DurchdieEinführungvonStandardkriterien zur
BewertungvonSicherheitseinrichtungen werdendieBe­
nutzer,diesichüberihremöglichenGefährdungenklar
gewordensind,inderLagesein,Produktebzw.Systeme
auszuwählen,dieihrenBedürfnissenentsprechen,so
daßsiekeineübermäßighohenInvestitionenfürunnöti­
geEinrichtungen tätigenmüssenundauchdieSi­
cherheitsrisiken inGriffhaben.
2.3.EinZertifizierungssystem wirdauchhelfen,da­
fürzusorgen,daßdievondenLieferanteninbezugauf
dieSicherheitihrerIT-Produkteund-Systemebehaup­
tetenAngabenzutreffen.FallseszurAbwehrentspre­
chenderBedrohungenStandardkriterien gibt,umdie
Leistungsfähigkeit derSicherheitsfunktionen derPro­
duktezubewerten,wirdaußerdemeinVergleichzwi­
schenkonkurrierenden Produktenerleichtert.Diesgilt
insbesonderefürdenBereichdesöffentlichenAuftrags­
wesens,hilftaberauchinderPrivatwirtschaft undim
Handel.
2.4.DieVerkäufervonSicherheitsprodukten ,deren
SicherheiteinerBewertungunterzogenwurde,dürften
denAbsatzihrerProduktedurchdenentsprechenden
EinsatzderZertifizierungsteigernkönnen.Auchdürfte
esihnenleichterfallen,zukünftigeProduktentwicklun ­
genaufdieErfordernissedesMarktesauszurichten .
2.5.DasBestehenvonStandardkriterien dürftedie
EinführungvonVerhaltenskodizes odervonRechtsvor­
schriftenbegünstigen,mitdenenfürIT-Systemeund
-Produktesicherheitsmäßige Mindeststandards ,soweit
siegerechtfertigtsind,—z.B.aufdemGebietdesDate­
nschutzes—aufgestelltwerden.
2.6.DasBestehenvonSicherheitskriterien dürfte
auchdasVertraueninEG-Produkteund-Systeme
außerhalbEuropassowiedieAusfuhrenderEGstei­
gern.
2.7.AußerdemisteineHarmonisierung derStan­
dardswünschenswert ,umdenfreienWarenverkehr
innerhalbderEGzufördern,umdieZahlderFälle,in
denensichdieMitgliedstaaten aufArtikel36EWG­
Vertragberufen,aufeinMinimumzureduzierenund
umdieZahlderKlagenvordemEuropäischenGerichts­
hofzusenken.DerAusschußhatinseinemBerichtund
inseinerStellungnahme zurVereinheitlichung undzur
BeseitigungdertechnischenHandelshemmnisse bereits
hervorgehoben ,wiewichtigeineVereinheitlichung für
dieVollendungdesBinnenmarktes ist.(2)
2.8.DerAusschußbegrüßtdieTatsache,daßdie
KriterienunterBerücksichtigung außereuropäischer ,2.AllgemeineBemerkungen
2.1.DerWirtschafts-undSozialausschuß begrüßt
denVorschlagundunterstütztseineZiele.IT-Produkte
und-SystemespieleninderGesellschafteineimmer
wichtigereRolle,unddiedurchVerletzungenderSi­
cherheitverursachtenSchädenhabendementsprechend
zugenommen .DasEuropäischeParlamentundderAus­
schußhabenwiederholtdieBedeutungdiesesProblemsHABl.Nr.C159vom17.6.1991.
(2)ABl.Nr.C14vom20.1.1992.

15.3.93 AmtsblattderEuropäischenGemeinschaften Nr.C73/21
insbesondereUS-amerikanischer Kriterienaufgestellt
wurden.DerAusschußhatschoninderVergangenheit
deutlichaufdieVorteileeinerweltweitenVereinheitli­
chunghingewiesen,umzuvermeiden,daßgegenüber
Nichtgemeinschaftsstaaten technischeHandelsbarrie­
renentstehen,underbekräftigtseinenWunsch,daß
dieeuropäischenITSECzukeinemunsichtbarenHan­
delshemmniswerdenmögen.
2.9.DerAusschußbegrüßtdenUmstand,daßdie
ITSECnacheinerAnhörungderanderHerstellung
undderBenutzungvonIT-Produktenund-Systemen
beteiligtenParteienaufgestelltwurden,underbetont,
daßeswichtigist,dieseKonsultationen fortzusetzen .
3.BesondereBemerkungen
3.1.DerAusschußbedauert,daßderVorschlagfür
eineEmpfehlunginsoweitgehendemMaßeineiner
unklarentechnischenSpracheverfaßtist,wodurchdas
VerständnisdesVorschlagsunnötigerschwertwird.
3.2.DerAusschußbegrüßtdieTrennungvonFunktio­
nalitätsaspekten undsolcheninbezugaufdieVertrau­
enswürdigkeit .DadurchkönnendieITSECaufeinwei­
tesSpektrumvonIT-Produktenund-Systemenange­
wendetwerden.
3.3.DerAusschußbegrüßtdieAbsicht,nachderzwei­
jährigenVersuchszeitunterKontrollederSOG-ISund
einerweiterenAnhörungvonIndustrieundBenutzerneineÜberprüfungderEntwicklungen inbezugaufdie
SicherheitvonInformationstechnologiesystemen vorzu­
nehmen.AußerdembegrüßterdieAbsicht,dasZiel
einergemeinschaftsweiten gegenseitigenAnerkennung
dereinzelstaatlichen Zertifizierungen inAngriffzuneh­
men.FolgendevondenBenutzernzumAusdruck
gebrachteAnliegensolltenseinerAnsichtnachindes
näherüberdachtwerden:
a)WiekönnenBewertungeninderPraxispräzisege­
nugausfallen,damitsieauchkommerziellnützlich
sind?
b)Wiesollendieu.U.zahlreichenAbweichungen zwi­
schendenverschiedenen ModellenjedesInforma­
tionstechnologieprodukts gehandhabtwerden?
c)WelcheMethodensollenbeimBewertungsprozeß
zumEinsatzkommen,undwiekanneineÜberein­
stimmungzwischendeneinzelstaatlichen Zertifizie­
rungsstellenherbeigeführtwerden?
d)WirddasGemeinschaftsrecht oderirgendeinVer­
haltenskodexbeiöffentlichenoderprivatenSyste­
menkünftigirgendeinenbestimmtenStandardvor­
schreiben,wiez.B.beiSystemen,indenenpersonen­
bezogeneDatenverwaltetwerden?
e)Wiesollindiesemsichsoraschentwickelnden
Industriezweig dafürgesorgtwerden,daßdieBe­
wertungenderSicherheitschnellgenugerfolgenund
daßdieBewertungskriterien regelmäßigaktualisiert
werden?
GeschehenzuBrüsselam27.Januar1993.
DerPräsident
desWirtschafts-undSozialausschusses
SusanneTIEMANN