92/242/EWG: Beschluß des Rates vom 31. März 1992 auf dem Gebiet der Sicherheit von Informationssystemen

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

wie in den USA zeichnet sich jedoch nur zögernd ab. 4.4. Anforderungen, Optionen und Prioritäten Im Bereich der Sicherheit von Informationssystemen besteht zwangsläufig eine enge Verbindung zwischen ordnungspolitischen, operationellen, administrativen und technischen Aspekten. Bei den Normen sind die rechtlichen Vorschriften zu berücksichtigen; Maßnahmen zur Gewährleistung der Sicherheit von Informationssystemen müssen nachweislich den Normen und Vorschriften entsprechen. In mehrfacher Hinsicht erfordern Vorschriften Spezifikationen, die über den traditionellen Bereich der Normung hinausgehen, d. h. Verfahrensregeln beinhalten. Anforderungen an Normen und Verfahrensregeln gibt es in allen Bereichen der Sicherheit von Informationssystemen. Dabei ist zu unterscheiden zwischen den Schutzanforderungen, die den Sicherheitszielen entsprechen, und einigen technischen Anforderungen, mit deren Erfuellung die zuständigen europäischen Normungsgremien (CEN/CENELEC/ETSI) beauftragt werden können. Spezifikationen und Normen müssen zahlreiche Bereiche der Informationssysteme abdecken; ihre Sicherheitsdienste (Authentifizierung von Personen und Unternehmen, Protokolle für die Nachweisbarkeit, rechtlich zulässige elektronische Belege, Berechtigungskontrolle), ihre Kommunikationsdienste (Schutz der Privatsphäre bei Bild-, Mobil- und Datenkommunikation, Schutz von Daten- und Bildbanken, Sicherheit integrierter Dienste), ihr Kommunikations- und Sicherheitsmanagement (öffentliche/private Schlüsselsysteme für offenen Netzbetrieb, Schutz des Netzmanagements, Schutz der Diensteanbieter) und ihre Zertifizierung (Kriterien und Stufen der Sicherheit, Verfahren zur Gewährleistung der Sicherheit für sichere Informationssysteme). 5. Aktionslinie V - Technologische und funktionale Entwicklungen auf dem Gebiet der Sicherheit von Informationssystemen 5.1. Problematik Voraussetzung für die Entwicklung des Dienstemarktes und der Wettbewerbsfähigkeit der europäischen Wirtschaft insgesamt ist die systematische Erforschung und Entwicklung der Technologien, um wirtschaftlich rentable und operationell zufriedenstellende Lösungen für eine Reihe gegenwärtiger und künftiger Anforderungen an die Sicherheit von Informationssystemen zu erarbeiten. Bei technologischen Entwicklungen im Hinblick auf die Sicherheit der Informationssysteme sind grundsätzlich Aspekte sowohl der Computersicherheit als auch der Kommunikationssicherheit zu berücksichtigen, da es sich bei den heutigen Systemen überwiegend um verteilte Systeme handelt und der Zugang über Kommunikationsdienste erfolgt. 5.2. Zielsetzung Systematische Erforschung und Entwicklung der Technologien, um wirtschaftlich rentable und operationell zufriedenstellende Lösungen für eine Reihe gegenwärtiger und künftiger Anforderungen an die Sicherheit von Informationssystemen zu erarbeiten. 5.3. Anforderungen, Optionen und Prioritäten Die Arbeiten im Bereich der Sicherheit von Informationssystemen betreffen Entwicklungs- und Implementierungsstrategien, Technologien, Integration und Überprüfung. Die strategischen FuE-Arbeiten müssen theoretische Modelle für sichere Systeme (gesichert gegen Sicherheitsverletzungen, unberechtigte Änderungen und Dienstleistungsverhinderung), Modelle der Funktionsanforderungen, Risikomodelle und Sicherheitsarchitekturen abdecken. Die technologischen FuE-Arbeiten müssen die Authentifizierung von Benutzern und Nachrichten (z. B. durch Stimmerkennung und elektronische Unterschriften), technische Schnittstellen und Protokolle für die Verschlüsselung, Zugriffskontrollmechanismen und Implementierungsverfahren für nachweislich sichere Systeme abdecken. Integrations- und Überprüfungsprojekte dienen der Verifikation und Validierung der Sicherheit des technischen Systems und seiner Anwendbarkeit. Über die Entwicklung und Konsolidierung von Sicherheitstechnologien hinaus sind eine Reihe von flankierenden Maßnahmen notwendig. Diese betreffen die Erstellung, Aktualisierung und konsequente Anwendung von Normen sowie die Validierung und Zertifizierung von IT- und Telekommunikationsprodukten in bezug auf ihre Sicherheitsmerkmale; dazu gehören auch die Validierung und Zertifizierung von Verfahren zum Entwurf und zur Implementierung der Systeme. Aufgrund des dritten FTE-Rahmenprogramms der Gemeinschaft können kooperative Projekte auf vorwettbewerblicher und pränormativer Ebene gefördert werden. 6. Aktionslinie VI - Maßnahmen zur Gewährleistung der Sicherheit von Informationssystemen 6.1. Problematik Je nach Art der erforderlichen Sicherheitsmerkmale der Informationssysteme sind die Funktionen an verschiedenen Stellen des Informationssystems zu integrieren. Hierzu gehören Endgeräte/Computer/Dienste, Netzmanagement ebenso wie Verschlüsselungsgeräte, Chipkarten, öffentliche und private Schlüssel usw. Einige Funktionen können voraussichtlich vom Hersteller in die Hard- oder Software integriert werden, während andere Bestandteil verteilter Systeme sind (z. B. Netzmanagement), sich im Besitz des einzelnen Benutzers befinden (z. B. Chipkarten) oder von einer besonderen Organisation geliefert werden (z. B. öffentliche/private Schlüssel). Sicherheitsprodukte und -dienste dürften überwiegend von Herstellern, Diensteanbietern oder Netz-Betreibern bereitgestellt werden. Für spezielle Funktionen, z. B. die Zuteilung öffentlicher/privater Schlüssel, Überwachung oder Berechtigungskontrolle, müssen gegebenenfalls entsprechende Organisationen bestimmt und beauftragt werden. Gleiches gilt für die Zertifizierung, Bewertung und Überprüfung der Dienstqualität. Diese Aufgaben müssen von Organisationen wahrgenommen werden, die von den Interessen der Hersteller, Diensteanbieter und Netz-Betreiber nicht beeinflusst werden. Dies können private oder staatliche Organisationen sein oder solche, die eine staatliche Lizenz zur Ausübung bestimmter Funktionen besitzen. 6.2. Zielsetzung Um die harmonische Entwicklung der Sicherheit von Informationssystemen in der Gemeinschaft im Hinblick auf den Schutz öffentlicher und geschäftlicher Interessen zu fördern, ist ein kohärentes Konzept für die Maßnahmen zu entwickeln, mit denen die Sicherheit von Informationssystemen gewährleistet werden soll. Soweit damit unabhängige Organisationen beauftragt werden müssen, sind ihre Funktionen und Bedingungen festzulegen und abzustimmen und nach Bedarf in den ordnungspolitischen Rahmen zu integrieren. Ziel ist es, eine klar definierte und abgestimmte Verteilung der Zuständigkeiten unter den verschiedenen Akteuren auf Gemeinschaftsebene als Voraussetzung für die gegenseitige Anerkennung zu erreichen. 6.3. Derzeitiger Stand und Tendenzen Zum gegenwärtigen Zeitpunkt sind Maßnahmen auf dem Gebiet der Sicherheit von Informationssystemen nur in bestimmten Bereichen durchorganisiert und beschränken sich auf spezielle Bedürfnisse. Die Organisation auf europäischer Ebene ist zumeist informell und die gegenseitige Anerkennung der Überprüfung und Zertifizierung, ausgenommen in geschlossenen Gruppen, noch nicht eingeführt. Mit der zunehmenden Bedeutung der Sicherheit von Informationssystemen wird die Festlegung eines kohärenten Konzepts für die Maßnahmen zur Gewährleistung der Sicherheit von Informationssystemen in Europa und international zu einem dringenden Anliegen. 6.4. Anforderungen, Optionen und Prioritäten Angesichts der Zahl der betroffenen Akteure und des engen Zusammenhangs mit ordnungspolitischen und gesetzgeberischen Fragen muß in erster Linie eine Einigung über die Grundsätze erzielt werden, die für die Maßnahmen zur Gewährleistung der Sicherheit von Informationssystemen gelten sollen. Bei der Entwicklung eines kohärenten Konzepts zu dieser Frage sind die Aspekte der Festlegung und Spezifikation von Funktionen zu prüfen, die unabhängige Organisationen (bzw. kooperierende Organisationen) erfordern. Dies gilt unter anderem für Funktionen wie die Verwaltung eines öffentlichen/privaten Schlüsselsystems. Ferner sind zu einem frühen Zeitpunkt die Funktionen festzulegen und zu spezifizieren, die im öffentlichen Interesse unabhängigen Organisationen (bzw. kooperierenden Organisationen) übertragen werden müssen. Dazu könnten beispielsweise die Überwachung, Qualitätssicherung, Überprüfung, Zertifizierung und ähnliche Funktionen gehören.