Delegierte Verordnung (EU) 2023/66 der Kommission vom 21. Oktober 2022 zur Änderung der Verordnung (EU) 2021/821 des Europäischen Parlaments und des Rates in Bezug auf die Liste der Güter mit doppeltem Verwendungszweck

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

technik-Anmerkung bedeutet ‚ausführbare Software‘ „Software“ in ausführbarer Form von bestehenden Hardware-Komponenten, die gemäß der Kryptotechnik-Anmerkung nicht von Nummer 5A002 erfasst werden. Anmerkung : ‚Ausführbare Software‘ schließt vollständige Binärabbilder (binary images) der auf einem Endprodukt laufenden „Software“ nicht ein. Anmerkung zur Kryptotechnik-Anmerkung : 1. Um die Voraussetzungen von Anmerkung 3 Buchstabe a zu erfüllen, müssen alle folgenden Bedingungen erfüllt sein: a. Das Gut ist von potenziellem Interesse für ein breites Spektrum an Einzelpersonen und Unternehmen und b. der Preis und die Informationen zur Hauptfunktion des Guts sind vor ihrem Erwerb verfügbar, ohne dass hierfür eine Anfrage an den Verkäufer oder Lieferanten erforderlich ist. Eine einfache Preisauskunft gilt nicht als Anfrage. 2. Zur Bestimmung der Anwendbarkeit von Anmerkung 3 Buchstabe a können die zuständigen Behörden relevante Faktoren berücksichtigen wie Menge, Preis, erforderliche fachliche Kompetenz, bestehende Vertriebswege, typische Kunden, typische Verwendung oder etwaiges wettbewerbsausschließendes Verhalten des Lieferanten. 5A2 Systeme, Ausrüstung und Bestandteile 5A002 Systeme für „Informationssicherheit“, Geräte und Bestandteile wie folgt: Anmerkung : Bezüglich der Erfassung von Empfangseinrichtungen für „Satellitennavigationssysteme“ mit „Kryptotechnik“ siehe Nummer 7A005 und zu verwandter Entschlüsselungs-„Software“ und -„Technologie“ siehe die Nummern 7D005 und 7E001. a. konstruiert oder geändert für die Verwendung von ‚Kryptotechnik für die Vertraulichkeit von Daten‘ mit einem ‚beschriebenen Sicherheitsalgorithmus‘, sofern diese kryptografische Funktionalität verwendbar ist, freigeschaltet worden ist oder mit anderen Mitteln als durch sichere „kryptografische Freischaltung“ freigeschaltet werden kann, wie folgt: 1. Güter mit „Informationssicherheit“ als einer Hauptfunktion, 2. digitale Kommunikations- oder Netzwerksysteme, Ausrüstung und Bestandteile, die nicht von Unternummer 5A002a1 erfasst werden, 3. Rechner, andere Güter, bei denen Informationsspeicherung oder -verarbeitung eine Hauptfunktion ist, und deren Bestandteile, die nicht von den Unternummern 5A002a1 oder 5A002a2 erfasst werden, Anmerkung : Zu Betriebssystemen siehe auch die Unternummern 5D002a1 und 5D002c1. 4. Güter, die nicht von den Unternummern 5A002a1 bis 5A002a3 erfasst werden, sofern die ‚Kryptotechnik für die Vertraulichkeit von Daten‘ mit einem ‚beschriebenen Sicherheitsalgorithmus‘ alle folgenden Kriterien erfüllt: a. sie unterstützt eine Funktion, die keine Hauptfunktion des Guts ist, und b. sie wird von einer eingebauten Ausrüstung oder „Software“ ausgeführt, die als eigenständiges Gut von Kategorie 5, Teil 2 erfasst wäre. Technische Anmerkungen : 1. Im Sinne von Unternummer 5A002a bezeichnet ‚Kryptotechnik für die Vertraulichkeit von Daten‘ „Kryptotechnik“ unter Verwendung digitaler Verfahren, die andere kryptografische Funktionen als folgende ausführt: a. „Authentisierung“, b. digitale Signatur, c. Datenintegrität, d. Nachweisbarkeit (non-repudiation), e. digitales Rechtemanagement, einschließlich der Ausführung kopiergeschützter „Software“, f. Ver- oder Entschlüsselung, die dem Entertainment, kommerziellen Massenübertragungen oder dem Management von medizinischen Datensätzen dienen, oder g. Schlüsselverwaltung, die einer der unter Buchstabe a bis f beschriebenen Funktionen dient. 2. Im Sinne der Unternummer 5A002a bezeichnet ‚beschriebener Sicherheitsalgorithmus‘ eine der folgenden Eigenschaften: a. einen „symmetrischen Algorithmus“ mit einer Schlüssellänge größer 56 Bit, Paritätsbits nicht mit eingeschlossen, b. einen „asymmetrischen Algorithmus“, dessen Sicherheit auf einem der folgenden Verfahren beruht: 1. Faktorisierung ganzer Zahlen, die größer als 512 Bit sind (z. B. RSA-Verfahren), 2. Berechnung des diskreten Logarithmus in der Multiplikationsgruppe eines endlichen Körpers mit mehr als 512 Bit (z. B. Diffie-Hellman-Verfahren über Z/pZ) oder 3. Berechnung des diskreten Logarithmus in anderen Gruppen als den unter Buchstabe b Nummer 2 aufgeführten größer als 112 Bit (z. B. Diffie-Hellman-Verfahren über einer elliptischen Kurve) oder c. einen „asymmetrischen Algorithmus“, dessen Sicherheit auf einem der folgenden Verfahren beruht: 1. Shortest-vector- oder closest-vector-Probleme in Verbindung mit Gittern (z. B. NewHope, Frodo, NTRUEncrypt, Kyber, Titanium); 2. Finden von Isogenien zwischen supersingulären elliptischen Kurven (z. B. Supersingular Isogeny Key Encapsulation) oder 3. Dekodierung von Zufall-Codes (random codes) (z. B. McEliece, Niederreiter). Technische Anmerkung : Ein in der technischen Anmerkung 2c beschriebener Algorithmus kann als Post-Quanten(post-quantum)-Algorithmus, als quantensicherer (quantum-safe) oder als quantenresistenter (quantum-resistant) Algorithmus bezeichnet werden. Anmerkung 1 : Sofern gemäß der Festlegung durch die zuständige Behörde des Landes des Ausführers erforderlich, sind detaillierte technische Beschreibungen der Güter vorzuhalten und dieser Behörde auf Verlangen vorzulegen, damit sie überprüfen kann, a. ob die Güter die Kriterien der Unternummern 5A002a1 bis 5A002a4 erfüllen oder b. ob die in Unternummer 5A002a beschriebene kryptografische Funktionalität für die Vertraulichkeit von Daten ohne „kryptografische Freischaltung“ verwendbar ist. Anmerkung 2 : Unternummer 5A002a erfasst weder eines der folgenden Güter noch für diese besonders konstruierte Bestandteile für „Informationssicherheit“: a. Mikroprozessor-Karten (smart cards) und ‚Schreib/Lesegeräte‘ hierfür wie folgt: 1. Mikroprozessor-Karten oder elektronisch lesbare persönliche Dokumente (z. B. Wertmarke, ePass) mit einer der folgenden Eigenschaften: a. die kryptografische Funktionalität erfüllt alle folgenden Eigenschaften: 1. sie ist beschränkt auf eine der folgenden Verwendungen: a. Ausrüstung oder Systeme, die nicht von den Unternummern 5A002a1 bis 5A002a4 erfasst sind, b. Ausrüstung oder Systeme, die keine ‚Kryptotechnik für die Vertraulichkeit von Daten‘ mit einem ‚beschriebenen Sicherheitsalgorithmus‘ verwenden, oder c. Ausrüstung oder Systeme, die gemäß den Buchstaben b bis f der vorliegenden Anmerkung nicht von Unternummer 5A002a erfasst sind, und 2. sie kann nicht für andere Zwecke umprogrammiert werden; oder b. mit allen folgenden Eigenschaften: 1. besonders entwickelt, um darauf gespeicherte ‚personenbezogene Daten‘ zu schützen, und sind auf diese Funktion beschränkt; 2. sie wurden nur für öffentliche oder kommerzielle Transaktionen oder zur individuellen Identifizierung personalisiert oder können nur hierfür personalisiert werden und 3. ihre kryptografische Funktionalität ist nicht anwenderzugänglich. Technische Anmerkung : ‚Personenbezogene Daten‘ beinhalten alle spezifischen Daten einer bestimmten Person oder eines Objekts, wie z. B. gespeicherter Geldbetrag oder zur „Authentisierung“ benötigte Daten. 2. ‚Schreib/Lesegeräte‘, die besonders für die in Buchstabe a Nummer 1 dieser Anmerkung beschriebenen Güter konstruiert oder geändert und auf diese beschränkt sind, Technische Anmerkung : ‚Schreib/Lesegeräte‘ beziehen Geräte ein, die mit einer Mikroprozessor-Karte oder einem elektronisch lesbaren Dokument über ein Netzwerk kommunizieren. b. Kryptoeinrichtungen, besonders entwickelt für den Bankgebrauch oder ‚Geldtransaktionen‘, soweit sie nur für diese Anwendungen einsetzbar sind, Technische Anmerkung : ‚Geldtransaktionen‘ im Sinne des Buchstaben b der Anmerkung 2 zur Unternummer 5A002a schließen auch die Erfassung und den Einzug von Gebühren sowie Kreditfunktionen ein. c. tragbare oder mobile Funktelefone für zivilen Einsatz (z. B. für den Einsatz in kommerziellen zivilen zellularen Funksystemen), die weder eine Möglichkeit zur Übertragung verschlüsselter Daten direkt zu einem anderen Funktelefon oder zu Einrichtungen (andere als Radio Access Network (RAN)-Einrichtungen) noch eine Möglichkeit zur Durchleitung verschlüsselter Daten durch die RAN-Einrichtung (z. B. Radio Network Controller (RNC) oder Base Station Controller (BSC)) bieten, d. Ausrüstung für schnurlose Telefone, die keine Möglichkeit der End-zu-End-Verschlüsselung bieten und deren maximal erzielbare einfache Reichweite (das ist die Reichweite zwischen Terminal und Basisstation ohne Maßnahmen zur Reichweitenerhöhung) nach Angaben des Herstellers kleiner ist als 400 m, e. tragbare oder mobile Funktelefone sowie ähnliche nicht drahtgebundene Endgeräte bzw. Baugruppen (client wireless devices) für Anwendungen im zivilen Bereich, die ausschließlich veröffentlichte oder kommerziell erhältliche kryptografische Standardverfahren anwenden (ausgenommen sind dem Kopierschutz dienende Funktionen; diese dürfen auch unveröffentlicht sein) und die die Voraussetzungen a2 bis a4 der Kryptotechnik-Anmerkung (Anmerkung 3 zur Kategorie 5, Teil 2) erfüllen, die für eine spezielle zivile Industrieanwendung ausschließlich in Bezug auf Leistungsmerkmale, die die kryptografischen Funktionalitäten der ursprünglichen unveränderten Endgeräte bzw. Baugruppen nicht beeinflussen, angepasst wurden, f. Güter, bei denen die Funktionalität der „Informationssicherheit“ auf die Funktionalität eines drahtlosen „Personal Area Network“ beschränkt ist und die ausschließlich veröffentlichte oder kommerziell erhältliche kryptografsche Standardverfahren anwenden; g. Ausrüstung für den Mobilfunkzugang (RAN), konstruiert für Anwendungen im zivilen Bereich, die auch die Voraussetzungen der Absätze a2 bis a4 der Kryptografie-Anmerkung erfüllt (Teil 2, Kategorie 5, Anmerkung 3), mit einer auf 0,1 W (20 dBm) oder weniger begrenzten HF-Ausgangsleistung, und die simultan bis zu 16 Nutzer unterstützen kann, h. Router, Switche, Gateways oder Repeater (relay), bei denen die Funktionalität der „Informationssicherheit“ auf die Aufgaben von „Betrieb, Verwaltung oder Wartung“ (Operations, Administration or Maintenance („OAM“)) beschränkt ist und die ausschließlich veröffentlichte oder kommerziell erhältliche kryptografische Standardverfahren anwenden, oder i. Rechner für allgemeine Anwendungen oder Server, bei denen die Funktion der „Informationssicherheit“ alle folgenden Kriterien erfüllt: 1. Sie wendet ausschließlich veröffentlichte oder kommerziell erhältliche kryptografische Standardverfahren an, und 2. sie besitzt eine der folgenden Eigenschaften: a. sie ist Bestandteil einer CPU, die die Kriterien der Anmerkung 3 von Kategorie 5, Teil 2, erfüllt, b. sie ist Bestandteil eines Betriebssystems, das nicht in Nummer 5D002 erfasst wird, oder c. sie ist auf „Betrieb, Verwaltung oder Wartung“ („OAM“) der Einrichtung beschränkt. j. Güter, besonders entwickelt für eine ‚vernetzte zivile industrielle Anwendung‘ mit allen folgenden Eigenschaften: 1. Sie besitzt eine der folgenden Eigenschaften: a. Es handelt sich um ein netzwerkfähiges Endgerät mit einer der folgenden Eigenschaften: 1. Die Funktionalität der „Informationssicherheit“ ist auf die Sicherung ‚nicht willkürlicher Daten‘ oder auf die Aufgaben von „Betrieb, Verwaltung oder Wartung“ (Operations, Administration or Maintenance („OAM“)) beschränkt oder 2. das Gerät ist auf eine spezifische ‚vernetzte zivile industrielle Anwendung‘ beschränkt oder b. Es handelt sich um Netzwerkausrüstung mit allen folgenden Eigenschaften: 1. besonders entwickelt für die Kommunikation mit den Geräten nach Absatz j1a und 2. die Funktionalität der „Informationssicherheit“ ist auf die Unterstützung der ‚vernetzten zivilen industriellen Anwendung‘ nach Absatz j1a oder auf die „OAM“-Aufgaben der betreffenden Netzwerkausrüstung oder anderer Güter nach Absatz j dieser Anmerkung beschränkt und 2. in der Funktionalität der „Informationssicherheit“ kommen ausschließlich veröffentlichte oder kommerzielle kryptografische Standardverfahren zum Einsatz und die kryptografische Funktionalität kann nicht vom Benutzer mit einfachen Mitteln geändert werden. Technische Anmerkungen : 1. ‚Vernetzte zivile industrielle Anwendung‘ bezeichnet eine Consumer- oder zivile industrielle Anwendung mit Anschluss an ein Netzwerk, bei der es sich nicht um „Informationssicherheit“, digitale Kommunikation oder um allgemeine Netzwerk- oder Rechner-Anwendungen handelt. 2. ‚Nicht willkürliche Daten‘ bezeichnet Sensor- oder Messdaten in direktem Zusammenhang mit der Stabilität, der Leistung oder den physikalischen Eigenschaften eines Systems (z. B. Temperatur, Druck, Durchfluss, Masse, Volumen, Spannung, physischer Standort usw.), die vom Nutzer des Geräts nicht geändert werden können. b. es handelt sich um ein ‚kryptografisches Freischaltungstoken‘; Technische Anmerkung : Ein ‚kryptografisches Freischaltungstoken‘ ist ein Gut, das für einen der folgenden Zwecke entwickelt oder geändert wurde: