15.3.93 Nr.C73/19 Publikatieblad vandeEuropeseGemeenschappen
—erbestaateenrisicodathoofdaannemers toeleveran­
cierszoekeninlage-loonlanden buitendeGemeen­
schap;
—hoewelhetMKBbekendstaatomzijnaanpassings­
vermogen ,heefthettochhulpnodigindevormvan
diversificatieprogramma 's;—deomvangvanhetbanenverlies kangeringschijnen
invergelijking methetenormeverliesaanwerkgele­
genheidingrotebedrijven,maarheteffectervanop
debetrokken middelgrote enkleinebedrijvenkan
veelernstigerzijn.
GedaanteBrussel,27januari1993.
DeVoorzitter
vanbetEconomisch enSociaalComité
SusanneTIEMANN
Adviesoverhetvoorstelvooreenaanbeveling vandeRaadinzakegemeenschappelijke
veiligheidsbeoordelingscriteria voorinformatietechnologie
(93/C73/05)
DeRaadheeftop29september 1992besloten,overeenkomstig debepalingen vanartikel198
vanhetVerdragtotoprichting vandeEuropeseEconomische Gemeenschap ,hetEconomisch
enSociaalComitéteraadplegen overhetvoornoemde voorstel.
DeAfdelingvoorindustrie,handel,ambachtendiensten,diemetdevoorbereiding vande
desbetreffende werkzaamheden wasbelast,heefthaaradviesop6januarigoedgekeurd .
Rapporteur wasmevrouwBarrow.
HetEconomisch enSociaalComitéheefttijdenszijn302eZitting(vergadering van27januari
1993)hetvolgendeadviesuitgebracht ,datmetalgemenestemmenisgoedgekeurd .
1.Inleiding
1.1.DitvoorstelvandeCommissie moetervoor
zorgendatdeconsument meervertrouwen krijgtinde
beveiligingsprestaties vanIT-produkten (IT=infor­
matietechnologie )endatereenmaatstafkomtaande
handwaarvandebeveiligingsprestaties vanIT-produk­
tenkunnenwordenbeoordeeld .Hetvoorstelbetekent
eencontinuering vanreedsuitgevoerde werkzaamheden
indelid-staten,deVSenJapangerichtopdeontwikke­
lingvancriteriaterbeoordeling vandeveiligheidvan
IT-produkten en-systemen .
1.2.Deontwerp-aanbeveling heefttotdoel:
i)beoordelingscriteria voordeveiligheidvaninfor­
matietechnologie („ITSEC")voordegeheleGe­
meenschap envooreenproefperiode vantweejaar
vasttestellen;
ii)internationale harmonisatie ennormalisatie van
dezecriteriaonderauspiciënvandegroepvanhoge
ambtenaren voordeveiligheid vaninformatie­
systemen(„SOG-IS")tebevorderen ;iii)deontwikkelingen naafloopvandezeproefperiode
teevalueren,enopadviesvandegroepvanhoge
ambtenaren adequatemaatregelen voordeGemeen­
schapvoortestellen.
1.3.Hetbegrip„ITSEC"omvatgenormaliseerde
criteriavoordeveiligheidsevaluatie vanIT-produkten
en-systemen ,zowelvoorhardwarealsvoorsoftware .
1.4.Hetisdebedoelingdatdezecriteriainhetkader
vandenationalecertificatieregelingen dooronafhanke­
lijkeenonpartijdige nationalebeoordelingsinstanties
wordentoegepastopIT-produkten en-systemen,op
verzoekvaneen„sponsor"(inderegeldeverkoperof
gebruikervanhetIT-systeem of-produkt).Decertifi­
catieregeling isdanookvolledigopbasisvanvrijwillig­
heid.
1.5.Deveiligheidvaninformatietechnologie valtin
driecomponenten uiteen:
—vertrouwelijkheid :preventie vanongeoorloofde
onthulling vaninformatie ;

Nr.C73/20 Publikatieblad vandeEuropeseGemeenschappen 15.3.93
—integriteit :preventievanongeoorloofde wijziging
vaninformatie ;
—beschikbaarheid :preventievanongeoorloofde ach­
terhouding vaninformatie ofhulpbronnen .
1.6.Deveiligheidscriteria hebbengeenbetrekking op
kenmerken diefysiekeveiligheidsbedreigingen moeten
voorkomen (zoalsslotenofvergrendelingen ),maar
betreffenhardware ,softwareenfirmware ,voorzowel
IT-produkten als-systemen .
1.7.Een„sponsor"dieeenveiligheidsevaluatie
wenstvanzijnIT-produkt of-systeem,moetvoorhet
desbetreffende produktofsysteemeenbeveiligingsdoel
definiëren („TargetofEvaluation ")aandehandwaar­
vanhetzalwordengeëvalueerd .Binnenditalgemene
beveiligingsdoel moetendedesbetreffende veiligheids­
doelen(„securityobjectives"),denoodzakelijke „se­
curityenforcingfunctions",eventuele„bedreigingen "
voorhetIT-produkt of-systeemen(facultatief )de
„securitymechanisms "(delogicaofalgoritmen diede
beveiligingsfuncties uitvoeren )wordengeïdentificeerd .
1.8.Hetevaluatieproces vindtoptweeniveaus
plaats:eerstwordtnagegaanofdebijdeontwikkeling
vanhetsysteem/produktgeselecteerde enhieringeïnte­
greerde„securityenforcingfunctions",alsookdewijze
waarophetsysteem/produktgebruiktwordt,welcor­
rectzijn;vervolgens wordtonderzocht ofhetsysteem
ofproduktinderdaadaandebeoogdeveiligheidsdoelen
beantwoordt .
1.9.De„sponsor"zaleromverzoekendatdecor­
rectheidendegoedewerkingvande„securityenforcing
functions"ookwordenbeoordeeld aandehandvan
eenevaluatieniveau datgaatvanEO(hetlaagste)totE6
(hethoogste).Naarmate hetniveaustijgt,wordthet
systeem/produktstrengerbeoordeeld .Deevaluatievan
dedoelmatigheid („effectiveness ")waarmeedeveilig­
heidsdoelen wordenbereikt,wordtvervolgens gere­
lateerdaandeevaluatievandecorrectheid („correct­
ness");voorhetvermogen vande„securityenforcing
mechanisms "omweerstand tebiedenaaneenrecht­
streekseinbreuk,wordtvervolgens eenklasseopgege­
ven:„basic",„medium"of„high".
1.10.Nadeevaluatiekenthetonafhankelijke natio­
naleinstituuteenklasse-indeling toevanEOtotE6.Het
evaluatieniveau iserdebevestiging vandathetIT­
systeemof-produktbeantwoordt aanallecorrectheids­
criteriaendathetophetopgegeven niveaunaarbehoren
functioneert .zelfhebbenalherhaaldelijk opdeernstvanditpro­
bleemgewezen .HetComitéheeftditmetnamegedaan
inzijnadviesoverderichtlijnvoorstellen betreffende
debehandeling vanpersoonsgegevens enhetontwerp­
besluitophetgebiedvandeinformatieveiligheid (l).
2.2.Invoeringvangenormaliseerde criteriavoorde
veiligheidsbeoordeling zalhetvoorgebruikers diede
voorhenrelevantebedreigingen hebbengeïdentificeerd ,
mogelijkmakenomdeIT-produkten en-systemente
selecterendieophunbehoeftenzijnafgestemd ;zodoen­
dekanwellichtwordenvoorkomen datzijteveel
investeren inonnodigeveiligheidsprestaties ,ofjuistte
weinig,waardoor debeveiliging onvoldoende is.
2.3.Deregelingzalerooktoebijdragendatdedoor
eenleverancier opgegeven specificaties aangaande de
inherenteveiligheidvanhunIT-produkten en-systemen
inderdaadkloppen :indienergenormaliseerde criteria
zijnvoorhetevaluerenvandeprestatiesvaninverschil­
lendeprodukten ingebouwde „securityenforcingfunc­
tions"bijsoortgelijke bedreigingen ,wordtbovendien
eenvergelijking tussenconcurrerende produkten ge­
makkelijker .Ditisvooralvanbelangbijoverheidsop­
drachtenenistegelijkertijd ookvoorhetparticuliere
bedrijfsleven endehandelvannut.
2.4.Leveranciers vanbeveiligingsprodukten diede
evaluatieprocedure hebbenondergaan ,zoudenhunver­
kopenmoetenkunnenopvoerendooropadequatewijze
vandecertificatieregeling gebruiktemaken;ookzou­
denzijdeontwikkeling vanhunprodukten beteropde
marktvereisten moetenkunnenafstemmen .
2.5.Hetbestaanvangenormaliseerde criteriazou
hetgemakkelijker moetenmaken,gedragscodes ofwet­
telijkevoorschriften intevoerenwaarbijnormenwor­
denvastgelegdvoordeminimum-veiligheidseisen waar­
aanIT-systemen en-produkten moetenvoldoen,daar
waarzulksalthansgerechtvaardigd is,bijvoorbeeld bij
debescherming vangegevens .
2.6.Hetbestaanvanbeveiligingscriteria zouhetver­
trouweninEG-produkten en-systemenbuitenEuropa
moetenvergrotenenderhalvedeEG-export tengoede
moetenkomen.
2.7.Harmonisatie vandezecriteriainEG-verband
isookwenselijkteneindehetvrijeverkeervangoederen
binnendeEGtebevorderen enhetaantalgevallendat
individuele lid-statenzichopartikel36vanhetVerdrag
beroepen ,alsookhetaantalrechtszaken bijhetHofvan
Justitie,tothetminimumtebeperken .HetComitéheeft
inzijnrapportenzijnadviezeninzakenormalisatie en
deopheffingvantechnische handelsbelemmeringen (2)
algewezenopdegrotebetekenisvannormalisatie voor
devoltooiing vandeinternemarkt.
2.8.HetComitéstemtermeeindatdecriteriamet
inachtneming vandeinanderelandenbuitenEuropa2.Algemeneopmerkingen
2.1.HetComitéisingenomen metditvoorstelen
staatachterdedoelstellingen ervan.IT-systemen en
-produkten speleneensteedsbelangrijkere rolinalle
geledingen vandesamenleving ,waardoorhetrisicovan
ongeautoriseerde toegangtotengeknoeimetinformatie
istoegenomen .HetEuropeesParlementenhetComité(!)PBnr.C159van17.6.1991.
(2)PBnr.C14van20.1.1992.

15.3.93 Publikatieblad vandeEuropeseGemeenschappen Nr.C73/21
—inhetbijzonderdeVerenigde Staten—bestaande
criteria,totstandzijngekomen .HetComitéheefterin
hetverledenalopgewezendatnormalisering inmon­
diaalverbandvoordelen biedtbijhetvoorkómen van
technische handelsbelemmeringen metderdelanden.
HetbevestigtinditverbanddatdeEuropeseITSEC­
criterianiettoteenonzichtbare handelsbelemmering
mogenuitgroeien .
2.9.HetComitéstelttotzijntevredenheid vastdat
deITSEC-criteria naoverlegmetdebijfabricageen
gebruikvanIT-produkten en-systemenbetrokkenkrin­
gentotstandzijngekomen,enhetbenadrukthetbelang
vanvoortzetting vanditoverleg.
3.Bijzondere opmerkingen
3.1.HetComitébetreurtdatindeontwerp-aanbeve ­
lingzelfzoveelonduidelijke technische bewoordingen
zijngebezigd,waardoorhetvoorstelonnodigmoeilijk
tebegrijpen is.
3.2.HetComitéisingenomen methetonderscheid
datisgemaakttussenfunctionele vereistenenvereisten
metbetrekking totdebeveiliging ,waardoordeITSEC­
criteriaopeengroteverscheidenheid vanIT-produkten
en-systemenkunnenwordentoegepast .
3.3.HetComitéstemtinmethetvoornemen omna
detweejarigeproefperiode ondertoezichtvandegroep
hogeambtenaren voordeveiligheidvaninformatie­
systemen (SOG-IS)enverderoverlegmetbedrijfslevenengebruikers deontwikkelingen indebeveiliging van
IT-systemen aaneenevaluatieteonderwerpen .Tevens
stemthetinmethetvoornemen omvooruitgang te
boekenbijhetbelangrijke strevennaarwederzijdse
erkenning vandenationalecertificatieprocedures inde
Gemeenschap ,maarhetvindtdatookaandachtzou
moetenwordengegevenaaneenaantalbezwarendie
doordegebruikers naarvorenzijngebracht :
a)devraagofdeevaluatieprocedure indepraktijk
voldoendenauwkeurig kanwordenomcommercieel
vannuttezijn;
b)devraaghoemoetwordenomgegaan metdever­
schillentussende—wellichtzeertalrijke—model­
lendieindeafzonderlijke IT-produkten zijntoege­
past;
c)debijdeevaluatieprocedures toetepassenmethodes
endevraaghoevoordenodigesamenhang tussen
denationalecertificatie-instanties kanwordenge­
zorgd;
d)devraagofhetvoldoenaaneenbepaaldenorm
vooropenbareofparticuliere systemen,b.v.voor
persoonsgegevens ,indetoekomstaldannietvoor­
geschreven zalwordenbijeenEG-wetstekst ofin
eengedragscode ;
e)devraaghoeerindezezichsnelontwikkelende
bedrijfstak voorgezorgdkanwordendatdeveilig­
heidsevaluaties snelgenoeguitgevoerd kunnenwor­
denendatdeevaluatiecriteria opgezettetijden
wordenbijgewerkt .
GedaanteBrussel,27januari1993.
DeVoorzitter
vanhetEconomisch enSociaalComité
SusanneTIEMANN