Delegierte Verordnung (EU) 2025/2003 der Kommission vom 8. September 2025 zur Änderung der Verordnung (EU) 2021/821 des Europäischen Parlaments und des Rates in Bezug auf die Liste der Güter mit doppeltem Verwendungszweck

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

: 1. Die Güter sind frei erhältlich und werden im Einzelhandel ohne Einschränkungen mittels einer der folgenden Geschäftspraktiken verkauft: a. Barverkauf, b. Versandverkauf, c. Verkauf über elektronische Medien oder d. Telefonverkauf 2. die kryptografische Funktionalität der Güter kann nicht mit einfachen Mitteln durch den Benutzer geändert werden; 3. sie wurden so konzipiert, dass der Benutzer sie ohne umfangreiche Unterstützung durch den Anbieter installieren kann, und 4. um die Übereinstimmung mit den unter 1. bis 3. beschriebenen Voraussetzungen feststellen zu können, sind detaillierte technische Beschreibungen der Güter vorzuhalten und auf Verlangen der zuständigen Behörde des EU-Mitgliedstaats, in dem der Ausführer niedergelassen ist, vorzulegen; b. Hardwarekomponenten oder ‚ausführbare Software‘ von unter Buchstabe a dieser Anmerkung beschriebenen Gütern, die für diese bestehenden Güter entwickelt wurden, mit allen folgenden Eigenschaften: 1. „Informationssicherheit“ ist nicht die Hauptfunktion oder Teil der Menge der Hauptfunktionen der Komponente oder der ‚ausführbaren Software‘, 2. die Komponente oder ‚ausführbare Software‘ verändert keine kryptografischen Funktionen der bestehenden Güter und fügt diesen keine neuen kryptografischen Funktionen hinzu, 3. die Funktionsmerkmale der Komponente oder ‚ausführbaren Software‘ sind feststehend und wurden nicht entsprechend einer Kundenvorgabe entwickelt oder geändert und 4. sofern erforderlich gemäß der Festlegung durch die zuständigen Behörden des EU-Mitgliedstaats, in dem der Ausführer niedergelassen ist, sind detaillierte technische Beschreibungen der Komponente oder der ‚ausführbaren Software‘ sowie der betreffenden Endgüter vorzuhalten und auf Verlangen der zuständigen Behörde vorzulegen, um die Übereinstimmung mit den oben beschriebenen Voraussetzungen überprüfen zu können. Technische Anmerkung: Im Sinne der Kryptotechnik-Anmerkung bedeutet ‚ausführbare Software‘ „Software“ in ausführbarer Form von bestehenden Hardware-Komponenten, die gemäß der Kryptotechnik-Anmerkung nicht von Nummer 5A002 erfasst werden. Anmerkung: ‚Ausführbare Software‘ schließt vollständige Binärabbilder (binary images) der auf einem Endprodukt laufenden „Software“ nicht ein. Anmerkung zur Kryptotechnik-Anmerkung: 1. Um die Voraussetzungen von Anmerkung 3 Buchstabe a zu erfüllen, müssen alle folgenden Bedingungen erfüllt sein: a. Das Gut ist von potenziellem Interesse für ein breites Spektrum an Einzelpersonen und Unternehmen und b. der Preis und die Informationen zur Hauptfunktion des Guts sind vor ihrem Erwerb verfügbar, ohne dass hierfür eine Anfrage an den Verkäufer oder Lieferanten erforderlich ist. Eine einfache Preisauskunft gilt nicht als Anfrage. 2. Zur Bestimmung der Anwendbarkeit von Anmerkung 3 Buchstabe a können die zuständigen Behörden relevante Faktoren berücksichtigen wie Menge, Preis, erforderliche fachliche Kompetenz, bestehende Vertriebswege, typische Kunden, typische Verwendung oder etwaiges wettbewerbsausschließendes Verhalten des Lieferanten. 5A2 Systeme, Ausrüstung und Bestandteile 5A002 Systeme für „Informationssicherheit“, Geräte und Bestandteile wie folgt: Ergänzende Anmerkung: Bezüglich der Erfassung von Empfangseinrichtungen für „Satellitennavigationssysteme“ mit „Kryptotechnik“ siehe Nummer 7A005 und zu verwandter Entschlüsselungs-„Software“ und -„Technologie“ siehe die Nummern 7D005 und 7E001. a. Konstruiert oder geändert für die Verwendung von ‚Kryptotechnik für die Vertraulichkeit von Daten‘ mit einem ‚beschriebenen Sicherheitsalgorithmus‘, wie folgt: 1. Güter mit „Informationssicherheit“ als einer Hauptfunktion, 2. digitale Kommunikations- oder Netzwerksysteme, Ausrüstung und Bestandteile, die nicht von Unternummer 5A002a1 erfasst werden, 3. Rechner, andere Güter, bei denen Informationsspeicherung oder -verarbeitung eine Hauptfunktion ist, und deren Bestandteile, die nicht von den Unternummern 5A002a1 oder 5A002a2 erfasst werden, Ergänzende Anmerkung: Zu Betriebssystemen siehe auch die Unternummern 5D002a1 und 5D002c1. 4. Güter, die nicht von den Unternummern 5A002a1 bis 5A002a3 erfasst werden, sofern die ‚Kryptotechnik für die Vertraulichkeit von Daten‘ mit einem ‚beschriebenen Sicherheitsalgorithmus‘ alle folgenden Kriterien erfüllt: a. sie unterstützt eine Funktion, die keine Hauptfunktion des Guts ist, und b. sie wird von einer eingebauten Ausrüstung oder „Software“ ausgeführt, die als eigenständiges Gut von Kategorie 5, Teil 2 erfasst wäre. Technische Anmerkungen: 1. Im Sinne von Unternummer 5A002a bezeichnet ‚Kryptotechnik für die Vertraulichkeit von Daten‘ „Kryptotechnik“ unter Verwendung digitaler Verfahren für eine kryptografische Funktion oder Fähigkeit, die für andere als die folgenden kryptografischen Funktionen nutzbar ist oder nutzbar gemacht werden kann: a. „Authentisierung“, b. digitale Signatur, c. Datenintegrität, d. Nachweisbarkeit (non-repudiation), e. digitales Rechtemanagement, einschließlich der Ausführung kopiergeschützter „Software“, f. Ver- oder Entschlüsselung, die dem Entertainment, kommerziellen Massenübertragungen oder dem Management von medizinischen Datensätzen dienen, g. drahtlose „Personal Area Network“-Funktionalität, bei der ausschließlich veröffentlichte oder kommerziell erhältliche kryptografische Standardverfahren verwendet werden, h. kryptografische Operationen, besonders entwickelt für den Bankgebrauch oder Geldtransaktionen, soweit sie nur für diese Anwendungen einsetzbar sind, einschließlich der Erfassung und des Einzugs von Gebühren oder Kreditfunktionen, i. Schlüsselverwaltung, die einer der unter Buchstabe a bis h beschriebenen Funktionen und Fähigkeiten dient und auf diese beschränkt ist oder j. kryptografische Funktionen oder Fähigkeiten, die nicht freigeschaltet oder aktiviert wurden und nur durch sichere „kryptografische Freischaltung“ freigeschaltet oder aktiviert werden können. Ergänzende Anmerkung: Für „kryptografische Freischaltungstoken“ siehe Unternummer 5A002b, 5D002b und 5E002b. 2. Im Sinne der Unternummer 5A002a bezeichnet ‚beschriebener Sicherheitsalgorithmus‘ eine der folgenden Eigenschaften: a. einen ‚symmetrischen Algorithmus‘ mit einer Schlüssellänge größer 56 Bit, Paritätsbits nicht mit eingeschlossen; Technische Anmerkungen: Im Sinne der Nummer 5A002a. Technische Anmerkung 2a1: Ein ‚symmetrischer Algorithmus‘ ist ein kryptografischer Algorithmus, der für die Verschlüsselung und die Entschlüsselung den identischen Schlüssel verwendet. 2. Eine übliche Anwendung ‚symmetrischer Algorithmen‘ ist die Gewährleistung der Vertraulichkeit von Daten. b. einen „asymmetrischen Algorithmus“, dessen Sicherheit auf einem der folgenden Verfahren beruht: 1. Faktorisierung ganzer Zahlen, die größer als 512 Bit sind (z. B. RSA-Verfahren), 2. Berechnung des diskreten Logarithmus in der Multiplikationsgruppe eines endlichen Körpers mit mehr als 512 Bit (z. B. Diffie-Hellman-Verfahren über Z/pZ) oder 3. Berechnung des diskreten Logarithmus in anderen Gruppen als den unter Buchstabe b Nummer 2 aufgeführten größer als 112 Bit (z. B. Diffie-Hellman-Verfahren über einer elliptischen Kurve) oder c. einen „asymmetrischen Algorithmus“, dessen Sicherheit auf einem der folgenden Verfahren beruht: 1. Shortest-vector- oder closest-vector-Probleme in Verbindung mit Gittern (z. B. NewHope, Frodo, NTRUEncrypt, Kyber, Titanium); 2. Finden von Isogenien zwischen supersingulären elliptischen Kurven (z. B. Supersingular Isogeny Key Encapsulation) oder 3. Dekodierung von Zufall-Codes (random codes) (z. B. McEliece, Niederreiter). Technische Anmerkung: Ein in der technischen Anmerkung 2c beschriebener Algorithmus kann als Post-Quanten(post-quantum)-Algorithmus, als quantensicherer (quantum-safe) oder als quantenresistenter (quantum-resistant) Algorithmus bezeichnet werden. Anmerkung 1: Sofern gemäß der Festlegung durch die zuständige Behörde des Landes des Ausführers erforderlich, sind detaillierte technische Beschreibungen der Güter vorzuhalten und dieser Behörde auf Verlangen vorzulegen, damit sie überprüfen kann, a. ob die Güter die Kriterien der Unternummern 5A002a1 bis 5A002a4 erfüllen oder b. ob die ‚Kryptotechnik für die Vertraulichkeit von Daten‘ mit einem ‚beschriebenen Sicherheitsalgorithmus‘ ohne sichere „kryptografische Freischaltung“ verwendbar ist. Anmerkung 2: Unternummer 5A002a erfasst weder eines der folgenden Güter noch für diese besonders konstruierte Bestandteile für „Informationssicherheit“: a. Mikroprozessor-Karten (smart cards) und ‚Schreib-/Lesegeräte‘ hierfür wie folgt: 1. Mikroprozessor-Karten oder elektronisch lesbare persönliche Dokumente (z. B. Wertmarke, ePass) mit einer der folgenden Eigenschaften: a. die ‚Kryptotechnik für die Vertraulichkeit von Daten‘ mit einem ‚beschriebenen Sicherheitsalgorithmus‘ erfüllt alle folgenden Kriterien: 1. sie ist auf die Verwendung in Ausrüstung oder Systemen beschränkt, die die Unternummer 5A002a aus anderen Gründen als die Kryptotechnik-Anmerkung (Anmerkung 3 in Kategorie 5, Teil 2) nicht erfasst und 2. sie kann nicht für andere Zwecke umprogrammiert werden; oder b. mit allen folgenden Eigenschaften: 1. besonders entwickelt, um darauf gespeicherte ‚personenbezogene Daten‘ zu schützen, und sind auf diese Funktion beschränkt; 2. sie wurden nur für öffentliche oder kommerzielle Transaktionen oder zur individuellen Identifizierung personalisiert oder können nur hierfür personalisiert werden und 3. wenn die ‚Kryptotechnik für die Vertraulichkeit von Daten‘ mit einem ‚beschriebenen Sicherheitsalgorithmus‘ nicht von Nutzern zugänglich ist; Technische Anmerkung: Im Sinne der Unternummer 5A002a Anmerkung 2a1b1 beinhalten ‚personenbezogene Daten‘ alle spezifischen Daten einer bestimmten Person oder eines Objekts, wie z. B. gespeicherter Geldbetrag oder zur „Authentisierung“ benötigte Daten. 2. ‚Schreib-/Lesegeräte‘. Technische Anmerkung: Im Sinne der Unternummer 5A002a Anmerkung 2a2 beziehen ‚Schreib/Lesegeräte‘ Geräte ein, die mit einer Mikroprozessor-Karte oder einem elektronisch lesbaren Dokument über ein Netzwerk kommunizieren. b. nicht belegt; c. tragbare oder mobile Funktelefone, konstruiert für Anwendungen im zivilen Bereich, ausgenommen Satellitentelefone, die für keine der folgenden Eigenschaften geeignet sind: 1. Übertragung verschlüsselter Daten direkt an ein anderes Funktelefon oder eine andere Ausrüstung (ausgenommen Einrichtungen eines Funkzugangsnetzes (RAN, Radio Access Network)) oder 2. Weitergabe verschlüsselter Daten durch eine RAN-Einrichtung (z. B. Radio Network Controller (RNC) oder Base Station Controller (BSC)); d. Ausrüstung für schnurlose Telefone, die keine Möglichkeit der End-zu-End-Verschlüsselung bieten und deren maximal erzielbare einfache Reichweite (das ist die Reichweite zwischen Terminal und Basisstation ohne Maßnahmen zur Reichweitenerhöhung) nach Angaben des Herstellers kleiner ist als 400 m, e. tragbare oder mobile Funktelefone sowie ähnliche nicht drahtgebundene Endgeräte bzw. Baugruppen (client wireless devices), konstruiert für Anwendungen im zivilen Bereich, die für eine spezielle zivile Industrieanwendung angepasst wurden und die alle folgenden Eigenschaften erfüllen: