Delegierte Verordnung (EU) 2022/1 der Kommission vom 20. Oktober 2021 zur Änderung der Verordnung (EU) 2021/821 des Europäischen Parlaments und des Rates in Bezug auf die Liste der Güter mit doppeltem Verwendungszweck

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

Im Sinne der Unternummer 5A002a bezeichnet ‚beschriebener Sicherheitsalgorithmus‘ eine der folgenden Eigenschaften: a. einen „symmetrischen Algorithmus“ mit einer Schlüssellänge größer 56 Bit, Paritätsbits nicht mit eingeschlossen, b. einen „asymmetrischen Algorithmus“, dessen Sicherheit auf einem der folgenden Verfahren beruht: 1. Faktorisierung ganzer Zahlen, die größer als 512 Bit sind (z. B. RSA-Verfahren), 2. Berechnung des diskreten Logarithmus in der Multiplikationsgruppe eines endlichen Körpers mit mehr als 512 Bit (z. B. Diffie-Hellman-Verfahren über Z/pZ) oder 3. Berechnung des diskreten Logarithmus in anderen Gruppen als den unter Buchstabe b Nummer 2 aufgeführten größer als 112 Bit (z. B. Diffie-Hellman-Verfahren über einer elliptischen Kurve) oder c. einen „asymmetrischen Algorithmus“, dessen Sicherheit auf einem der folgenden Verfahren beruht: 1. Shortest-vector- oder closest-vector-Probleme in Verbindung mit Gittern (z. B. NewHope, Frodo, NTRUEncrypt, Kyber, Titanium); 2. Finden von Isogenien zwischen supersingulären elliptischen Kurven (z. B. Supersingular Isogeny Key Encapsulation) oder 3. Dekodierung von Zufall-Codes (random codes) (z. B. McEliece, Niederreiter). Technische Anmerkung: Ein in der technischen Anmerkung 2c beschriebener Algorithmus kann als Post-Quanten(post-quantum)-Algorithmus, als quantensicherer (quantum-safe) oder als quantenresistenter (quantum-resistant) Algorithmus bezeichnet werden. Anmerkung 1: Sofern gemäß der Festlegung durch die zuständige Behörde des Landes des Ausführers erforderlich, sind detaillierte technische Beschreibungen der Güter vorzuhalten und dieser Behörde auf Verlangen vorzulegen, damit sie überprüfen kann, a. ob die Güter die Kriterien der Unternummern 5A002a1 bis 5A002a4 erfüllen oder b. ob die in Unternummer 5A002a beschriebene kryptografische Funktionalität für die Vertraulichkeit von Daten ohne „kryptografische Freischaltung“ verwendbar ist. Anmerkung 2: Unternummer 5A002a erfasst weder eines der folgenden Güter noch für diese besonders konstruierte Bestandteile für „Informationssicherheit“: a. Mikroprozessor-Karten (smart cards) und ‚Schreib/Lesegeräte‘ hierfür wie folgt: 1. Mikroprozessor-Karten oder elektronisch lesbare persönliche Dokumente (z. B. Wertmarke, ePass) mit einer der folgenden Eigenschaften: a. die kryptografische Funktionalität erfüllt alle folgenden Eigenschaften: 1. sie ist beschränkt auf eine der folgenden Verwendungen: a. Ausrüstung oder Systeme, die nicht von den Unternummern 5A002a1 bis 5A002a4 erfasst sind, b. Ausrüstung oder Systeme, die keine ‚Kryptotechnik für die Vertraulichkeit von Daten‘ mit einem ‚beschriebenen Sicherheitsalgorithmus‘ verwenden, oder c. Ausrüstung oder Systeme, die gemäß den Buchstaben b bis f der vorliegenden Anmerkung nicht von Unternummer 5A002a erfasst sind, und 2. sie kann nicht für andere Zwecke umprogrammiert werden; oder b. mit allen folgenden Eigenschaften: 1. besonders entwickelt, um darauf gespeicherte ‚personenbezogene Daten‘ zu schützen, und sind auf diese Funktion beschränkt; 2. sie wurden nur für öffentliche oder kommerzielle Transaktionen oder zur individuellen Identifizierung personalisiert oder können nur hierfür personalisiert werden und 3. ihre kryptografische Funktionalität ist nicht anwenderzugänglich. Technische Anmerkung: ‚Personenbezogene Daten‘ beinhalten alle spezifischen Daten einer bestimmten Person oder eines Objekts, wie z. B. gespeicherter Geldbetrag oder zur „Authentisierung“ benötigte Daten. 2. ‚Schreib/Lesegeräte‘, die besonders für die in Buchstabe a Nummer 1 dieser Anmerkung beschriebenen Güter konstruiert oder geändert und auf diese beschränkt sind, Technische Anmerkung: ‚Schreib/Lesegeräte‘ beziehen Geräte ein, die mit einer Mikroprozessor-Karte oder einem elektronisch lesbaren Dokument über ein Netzwerk kommunizieren. b. Kryptoeinrichtungen, besonders entwickelt für den Bankgebrauch oder ‚Geldtransaktionen‘, soweit sie nur für diese Anwendungen einsetzbar sind, Technische Anmerkung: ‚Geldtransaktionen‘ im Sinne des Buchstaben b der Anmerkung 2 zur Unternummer 5A002a schließen auch die Erfassung und den Einzug von Gebühren sowie Kreditfunktionen ein. c. tragbare oder mobile Funktelefone für zivilen Einsatz (z. B. für den Einsatz in kommerziellen zivilen zellularen Funksystemen), die weder eine Möglichkeit zur Übertragung verschlüsselter Daten direkt zu einem anderen Funktelefon oder zu Einrichtungen (andere als Radio Access Network (RAN)-Einrichtungen) noch eine Möglichkeit zur Durchleitung verschlüsselter Daten durch die RAN-Einrichtung (z. B. Radio Network Controller (RNC) oder Base Station Controller (BSC)) bieten, d. Ausrüstung für schnurlose Telefone, die keine Möglichkeit der End-zu-End-Verschlüsselung bieten und deren maximal erzielbare einfache Reichweite (das ist die Reichweite zwischen Terminal und Basisstation ohne Maßnahmen zur Reichweitenerhöhung) nach Angaben des Herstellers kleiner ist als 400 m, e. tragbare oder mobile Funktelefone sowie ähnliche nicht drahtgebundene Endgeräte bzw. Baugruppen (client wireless devices) für Anwendungen im zivilen Bereich, die ausschließlich veröffentlichte oder kommerziell erhältliche kryptografische Standardverfahren anwenden (ausgenommen sind dem Kopierschutz dienende Funktionen; diese dürfen auch unveröffentlicht sein) und die die Voraussetzungen a2 bis a4 der Kryptotechnik-Anmerkung (Anmerkung 3 zur Kategorie 5, Teil 2) erfüllen, die für eine spezielle zivile Industrieanwendung ausschließlich in Bezug auf Leistungsmerkmale, die die kryptografischen Funktionalitäten der ursprünglichen unveränderten Endgeräte bzw. Baugruppen nicht beeinflussen, angepasst wurden, f. Güter, bei denen die Funktionalität der „Informationssicherheit“ auf die Funktionalität eines drahtlosen „Personal Area Network“ beschränkt ist und die ausschließlich veröffentlichte oder kommerziell erhältliche kryptografsche Standardverfahren anwenden; g. Ausrüstung für den Mobilfunkzugang (RAN), konstruiert für Anwendungen im zivilen Bereich, die auch die Voraussetzungen der Absätze a2 bis a4 der Kryptografie-Anmerkung erfüllt (Teil 2, Kategorie 5, Anmerkung 3), mit einer auf 0,1 W (20 dBm) oder weniger begrenzten HF-Ausgangsleistung, und die simultan bis zu 16 Nutzer unterstützen kann, h. Router, Switche, Gateways oder Repeater (relay), bei denen die Funktionalität der „Informationssicherheit“ auf die Aufgaben von „Betrieb, Verwaltung oder Wartung“ (Operations, Administration or Maintenance („OAM“)) beschränkt ist und die ausschließlich veröffentlichte oder kommerziell erhältliche kryptografische Standardverfahren anwenden, oder i. Rechner für allgemeine Anwendungen oder Server, bei denen die Funktion der „Informationssicherheit“ alle folgenden Kriterien erfüllt: 1. Sie wendet ausschließlich veröffentlichte oder kommerziell erhältliche kryptografische Standardverfahren an, und 2. sie besitzt eine der folgenden Eigenschaften: a. sie ist Bestandteil einer CPU, die die Kriterien der Anmerkung 3 von Kategorie 5, Teil 2, erfüllt, b. sie ist Bestandteil eines Betriebssystems, das nicht in Nummer 5D002 erfasst wird, oder c. sie ist auf „Betrieb, Verwaltung oder Wartung“ („OAM“) der Einrichtung beschränkt. j. Güter, besonders entwickelt für eine ‚vernetzte zivile industrielle Anwendung‘ mit allen folgenden Eigenschaften: 1. Sie besitzt eine der folgenden Eigenschaften: a. Es handelt sich um ein netzwerkfähiges Endgerät mit einer der folgenden Eigenschaften: 1. Die Funktionalität der „Informationssicherheit“ ist auf die Sicherung ‚nicht willkürlicher Daten‘ oder auf die Aufgaben von „Betrieb, Verwaltung oder Wartung“ (Operations, Administration or Maintenance („OAM“)) beschränkt oder 2. das Gerät ist auf eine spezifische ‚vernetzte zivile industrielle Anwendung‘ beschränkt oder b. Es handelt sich um Netzwerkausrüstung mit allen folgenden Eigenschaften: 1. besonders entwickelt für die Kommunikation mit den Geräten nach Absatz j1a und 2. die Funktionalität der „Informationssicherheit“ ist auf die Unterstützung der ‚vernetzten zivilen industriellen Anwendung‘ nach Absatz j1a oder auf die „OAM“-Aufgaben der betreffenden Netzwerkausrüstung oder anderer Güter nach Absatz j dieser Anmerkung beschränkt und 2. in der Funktionalität der „Informationssicherheit“ kommen ausschließlich veröffentlichte oder kommerzielle kryptografische Standardverfahren zum Einsatz und die kryptografische Funktionalität kann nicht vom Benutzer mit einfachen Mitteln geändert werden. Technische Anmerkungen: 1. ‚Vernetzte zivile industrielle Anwendung‘ bezeichnet eine Consumer- oder zivile industrielle Anwendung mit Anschluss an ein Netzwerk, bei der es sich nicht um „Informationssicherheit“, digitale Kommunikation oder um allgemeine Netzwerk- oder Rechner-Anwendungen handelt. 2. ‚Nicht willkürliche Daten‘ bezeichnet Sensor- oder Messdaten in direktem Zusammenhang mit der Stabilität, der Leistung oder den physikalischen Eigenschaften eines Systems (z. B. Temperatur, Druck, Durchfluss, Masse, Volumen, Spannung, physischer Standort usw.), die vom Nutzer des Geräts nicht geändert werden können. b. es handelt sich um ein ‚kryptografisches Freischaltungstoken‘; Technische Anmerkung: Ein ‚kryptografisches Freischaltungstoken‘ ist ein Gut, das für einen der folgenden Zwecke entwickelt oder geändert wurde: 1. Umwandlung eines nicht von Kategorie 5, Teil 2 erfassten Guts in ein von den Unternummern 5A002a oder 5D002c1 erfasstes und nicht durch die Kryptotechnik-Anmerkung (Anmerkung 3 in Kategorie 5, Teil 2) freigestelltes Gut mittels „kryptografischer Freischaltung“ oder 2. Aktivierung von in Unternummer 5A002a beschriebener zusätzlicher Funktionalität eines bereits von Kategorie 5, Teil 2 erfassten Guts mittels „kryptografischer Freischaltung“. c. entwickelt oder geändert für die Verwendung oder Ausführung von „Quantenkryptografie“; Technische Anmerkung: „Quantenkryptografie“ ist auch bekannt als Quantum Key Distribution (QKD). d. entwickelt oder geändert, um kryptografische Verfahren zur Erzeugung von Channelization-, Scrambling- oder Netzwerkidentifizierungscodes zu verwenden, für Systeme, die Ultrabreitbandmodulationsverfahren verwenden, und mit einer der folgenden Eigenschaften: 1. Bandbreite größer als 500 MHz oder 2. „normierte Bandbreite“ (fractional bandwidth) größer/gleich 20 %; e. entwickelt oder geändert, um kryptografische Verfahren zur Erzeugung eines Spreizungscodes für Systeme mit „Gespreiztem-Spektrum-Verfahren“, die nicht von Unternummer 5A002d erfasst sind, einschließlich der Erzeugung von Sprung-Codes für Systeme mit „Frequenzsprungverfahren“, zu verwenden. 5A003 Systeme, Ausrüstung und Bestandteile für nicht-kryptografische „Informationssicherheit“ wie folgt: a. Kommunikations-Kabelsysteme, entwickelt oder geändert, um unter Einsatz von mechanischen, elektrischen oder elektronischen Mitteln heimliches Eindringen zu erkennen, Anmerkung: Unternummer 5A003a erfasst nur die Sicherheit der physikalischen Schicht (physical layer security). Im Sinne der Unternummer 5A003a beinhaltet die physikalische Schicht auch Schicht 1 (Layer 1) des OSI-Modells (Open Systems Interconnection) (ISO/IEC 7498-1). b. besonders entwickelt oder geändert, um kompromittierende Abstrahlung von Informationssignalen über das Maß hinaus zu unterdrücken, das aus Gründen des Gesundheitsschutzes, der Sicherheit oder der Einhaltung von Standards zur elektromagnetischen Verträglichkeit (EMV) erforderlich ist. 5A004 Systeme, Ausrüstung und Bestandteile für die Überwindung, die Schwächung oder die Umgehung von „Informationssicherheit“ wie folgt: a. entwickelt oder geändert zur Ausführung ‚kryptoanalytischer Funktionen‘, Anmerkung: Die Unternummer 5A004a schließt Systeme und Ausrüstung ein, die zur Ausführung ‚kryptoanalytischer Funktionen‘ durch Reverse Engineering entwickelt oder geändert wurden. Technische Anmerkung: ‚Kryptoanalytische Funktionen‘ sind Funktionen, die zum Brechen kryptografischer Verfahren entwickelt wurden, um vertrauliche Variablen oder sensitive Daten einschließlich Klartext, Passwörter oder kryptografische Schlüssel abzuleiten. b. Güter, die nicht von Nummer 4A005 oder Unternummer 5A004a erfassten werden, konstruiert zur Ausführung aller folgenden Funktionen: 1. ‚Extraktion von Rohdaten‘ (raw data) aus einem Rechen- oder Kommunikationsgerät und 2. Umgehung von Kontrollen der „Authentisierung“ oder Autorisierung des Geräts, um die in Unternummer 5A004b1 beschriebene Funktion auszuführen. Technische Anmerkung: ‚Extraktion von Rohdaten‘ aus einem Rechen- oder Kommunikationsgerät bezeichnet die Übernahme binärer Daten von einem Speichermedium (z. B. einem Schreib-Lese-Speicher (RAM), einem Flash-Speicher oder einer Festplatte) des Geräts ohne Interpretation durch das Betriebs- oder Dateisystem des Geräts. Anmerkung 1: Unternummer 5A004b erfasst nicht Systeme oder Ausrüstung, besonders entwickelt für die „Entwicklung“ oder „Herstellung“ eines Rechen- oder Kommunikationsgeräts. Anmerkung 2: Unternummer 5A004b erfasst nicht: a. Debugger, Hypervisoren, b. Güter, deren Funktion auf logische Datenextraktion beschränkt ist; c. Güter zur Datenextraktion, die das Chip-off- oder das JTAG-Verfahren verwenden, oder d. Güter, die für den Jailbreak oder das Rooten besonders entwickelt und auf diese Funktionen beschränkt sind. 5B2 Prüf-, Test- und Herstellungseinrichtungen 5B002 Prüf-, Test- und „Herstellungs“einrichtungen für „Informationssicherheit“ wie folgt: a. Einrichtungen, besonders entwickelt für die „Entwicklung“ oder „Herstellung“ von Geräten, die von Nummer 5A002, 5A003, 5A004 oder Unternummer 5B002b erfasst werden; b. Messeinrichtungen, besonders entwickelt, um „Informationssicherheits“-Funktionen von Einrichtungen, die von Nummer 5A002, 5A003 oder 5A004 erfasst werden, oder von „Software“, die von Unternummer 5D002a oder 5D002c erfasst wird, auszuwerten und zu bestätigen. 5C2 Werkstoffe und Materialien Kein Eintrag. 5D2 Datenverarbeitungsprogramme (Software) 5D002 „Software“ wie folgt: a. „Software“, besonders entwickelt oder geändert für die „Entwicklung“, „Herstellung“ oder „Verwendung“ fo