Beschluss des Hohen Vertreters der Union für Außen- und Sicherheitspolitik vom 19. Juni 2023 über die Sicherheitsvorschriften für den Europäischen Auswärtigen Dienst 2023/C 263/04

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

während der Inspektion vom Sicherheitsmanagement der inspizierten Einrichtung eingeholt. Nachdem sie mit den ausführlichen Antworten ausgefüllt wurde, wird die Prüfliste im Benehmen mit der inspizierten Einrichtung als Verschlusssache eingestuft. Sie ist nicht Teil des Inspektionsberichts. ANHANG A IV SCHUTZ VON EU-VS, DIE IN KOMMUNIKATIONS- UND INFORMATIONSSYSTEMEN BEARBEITET WERDEN I. EINLEITUNG 1. Dieser Anhang enthält die Bestimmungen zur Anwendung von Anhang A Artikel 8. 2. Die folgenden Eigenschaften und Konzepte der Informationssicherung sind für die Sicherheit und die ordnungsgemäße Durchführung von Operationen in Kommunikations- und Informationssystemen unerlässlich: Authentizität: die Gewährleistung, dass die Informationen echt sind und aus Bona-fide-Quellen stammen; Verfügbarkeit: der Umstand, dass die Informationen auf Anfrage einer befugten Stelle verfügbar und nutzbar sind; Vertraulichkeit: der Umstand, dass die Informationen nicht gegenüber unbefugten Personen, Stellen oder Verarbeitungsprozessen offengelegt werden; Integrität: der Umstand, dass die Genauigkeit und die Vollständigkeit der Informationen und Werte gewährleistet sind; Beweisbarkeit: die Möglichkeit des Nachweises, dass ein Vorgang oder ein Ereignis stattgefunden hat, sodass dieser Vorgang oder dieses Ereignis nicht nachträglich abgestritten werden kann. II. GRUNDSÄTZE DER INFORMATIONSSICHERUNG 3. Die nachstehenden Bestimmungen sind Ausgangsbasis für die Sicherheit eines jeden Kommunikations- und Informationssystems, in dem EU-VS bearbeitet werden. Detaillierte Anforderungen zur Durchführung dieser Bestimmungen werden in Sicherheitsleitlinien für die Informationssicherung festgelegt. Sicherheitsrisikomanagement 4. Sicherheitsrisikomanagement ist ein fester Bestandteil der Konzeption, der Entwicklung, des Betriebs und der Wartung von Kommunikations- und Informationssystemen. Das Risikomanagement (Bewertung, Behandlung, Akzeptanz und Kommunikation) wird als fortlaufender Prozess gemeinsam von Vertretern der Systemeigner, den für ein Projekt zuständigen Stellen, den für den Betrieb zuständigen Stellen und den Sicherheits-Zulassungsstellen durchgeführt; dabei wird ein bewährtes, transparentes und vollkommen verständliches Risikobewertungsverfahren durchgeführt. Der Umfang des Kommunikations- und Informationssystems und seine Werte müssen gleich zu Beginn des Risikomanagementprozesses klar umrissen sein. 5. Die zuständigen Stellen des EAD müssen die potenziellen Bedrohungen für Kommunikations- und Informationssysteme überprüfen und über stets aktuelle und genaue Risikobewertungen entsprechend dem jeweiligen betrieblichen Umfeld verfügen. Sie halten ihre Kenntnisse über potenzielle Schwachstellen stets auf dem neuesten Stand und überprüfen regelmäßig die Bewertung der Schwachstellen, um den sich ändernden IT-Gegebenheiten Rechnung zu tragen. 6. Das Ziel des Sicherheitsrisikomanagements muss darin bestehen, ein Paket von Sicherheitsmaßnahmen anzuwenden, die zu einer zufriedenstellenden Ausgewogenheit zwischen den Anforderungen der Nutzer und dem Sicherheitsrestrisiko führen. 7. Die spezifischen Anforderungen, der Detaillierungsmaßstab und die Detailstufe, die von der einschlägigen Sicherheitsakkreditierungsstelle (Security Accreditation Authority — SAA) zur Akkreditierung eines Kommunikations- und Informationssystems festgelegt werden, müssen dem festgestellten Risiko entsprechen; dabei ist allen relevanten Faktoren Rechnung zu tragen, darunter dem Geheimhaltungsgrad der EU-VS, die in dem Kommunikations- und Informationssystem bearbeitet werden. Zur Akkreditierung gehören eine förmliche Erklärung zum Restrisiko und die Akzeptanz des Restrisikos durch eine zuständige Stelle. Sicherheit während des gesamten Lebenszyklus eines Kommunikations- und Informationssystems 8. Die Gewährleistung der Sicherheit ist während des gesamten Lebenszyklus eines Kommunikations- und Informationssystems ab der Einführung bis zur Außerbetriebstellung erforderlich. 9. Die Rolle aller an einem Kommunikations- und Informationssystem Beteiligten und deren Interaktion hinsichtlich der Sicherheit des Systems werden für jede Phase des Lebenszyklus definiert. 10. Jegliches Kommunikations- und Informationssystem einschließlich seiner technischen und nicht technischen Sicherheitsmaßnahmen wird während des Akkreditierungsprozesses Sicherheitsprüfungen unterzogen, damit gewährleistet ist, dass bei den implementierten Sicherheitsmaßnahmen das entsprechende Sicherheitsniveau erreicht wird, und überprüft wird, ob sie korrekt implementiert, integriert und konfiguriert werden. 11. Sicherheitsbewertungen, -inspektionen und -prüfungen werden während des Betriebs eines Kommunikations- und Informationssystems und während Wartungsarbeiten in regelmäßigen Abständen sowie im Falle außergewöhnlicher Umstände durchgeführt. 12. Die Sicherheitsdokumentation für ein Kommunikations- und Informationssystem wird während dessen Lebenszyklus als fester Bestandteil des Prozesses eines Änderungs- und Konfigurationsmanagements weiterentwickelt. Optimale Vorgehensweisen 13. Der EAD arbeitet mit dem Generalsekretariat des Rates, der Kommission und den Mitgliedstaaten zusammen, um optimale Vorgehensweisen für den Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden, zu entwickeln. Leitlinien zu optimalen Vorgehensweisen enthalten Sicherheitsmaßnahmen in den Bereichen Technik, materieller Schutz, Organisation und Verfahren für Kommunikations- und Informationssysteme, deren Effizienz bei der Abwehr von Bedrohungen und der Behebung von Schwachstellen belegt ist. 14. Für den Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden, sind die Erfahrungen derjenigen Stellen innerhalb und außerhalb der EU, die im Bereich Informationssicherung tätig sind, heranzuziehen. 15. Die Verbreitung und anschließende Anwendung optimaler Vorgehensweisen soll dazu beitragen, dass ein gleichwertiges Sicherheitsniveau für die verschiedenen, vom EAD betriebenen Kommunikations- und Informationssysteme erreicht wird, in denen EU-VS bearbeitet werden. Mehrschichtige Sicherheit 16. Um das Risiko bei Kommunikations- und Informationssystemen zu verringern, wird eine Reihe technischer und nicht technischer Sicherheitsmaßnahmen durchgeführt, die in Form eines mehrschichtigen Abwehrsystems aufgebaut sind. Dazu gehören a) Abschreckung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, Gegner von der Planung von Angriffen auf das Kommunikations- und Informationssystem abzuhalten; b) Prävention: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf das Kommunikations- und Informationssystem zu verhindern oder abzublocken; c) Erkennung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf das Kommunikations- und Informationssystem zu erkennen; d) Widerstandsfähigkeit: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, die Auswirkungen eines Angriffs auf möglichst wenige Informationen oder Komponenten des Kommunikations- und Informationssystemen zu begrenzen und weiteren Schaden zu verhindern, und e) Wiederherstellung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, für das Kommunikations- und Informationssystem eine Situation der Sicherheit wiederherzustellen. Wie streng diese Sicherheitsmaßnahmen zu sein haben und in welchen Fällen sie zur Anwendung kommen, wird durch eine Risikobewertung bestimmt. 17. Die zuständigen Stellen des EAD tragen dafür Sorge, dass sie in der Lage sind, auf Zwischenfälle, die die Grenzen einer Organisation oder eines Staates überschreiten können, zu reagieren, damit die Reaktionen koordiniert und Informationen über diese Zwischenfälle und damit zusammenhängende Risiken ausgetauscht werden (Computer-Notfall-Reaktionsfähigkeit). Minimalitätsprinzip und Prinzip der minimalen Zugriffsrechte 18. Nur die für die operativen Anforderungen unbedingt notwendigen Funktionen, Geräte und Dienste werden implementiert, damit unnötige Risiken vermieden werden. 19. Nutzer von Kommunikations- und Informationssystemen und automatisierten Verfahrensabläufen erhalten nur den Zugang, die Berechtigung oder die Ermächtigungen, die für die Erfüllung ihrer Aufgaben erforderlich sind, damit der Schaden, der durch Zwischenfälle, Fehler oder die unbefugte Nutzung von Ressourcen des Kommunikations- und Informationssystems entstehen kann, begrenzt wird. 20. Die von einem Kommunikations- und Informationssystem durchgeführten Registrierungsverfahren werden, soweit erforderlich, als Teil des Akkreditierungsverfahrens überprüft. Sensibilisierung in Bezug auf Informationssicherung 21. Die Sensibilisierung für die Risiken und die zur Verfügung stehenden Sicherheitsmaßnahmen ist die erste Verteidigungslinie in Bezug auf die Sicherheit von Kommunikations- und Informationssystemen. Insbesondere sollte sich das gesamte Personal, das mit einem Kommunikations- und Informationssystem während dessen Lebenszyklus befasst ist, einschließlich der Nutzer, über Folgendes bewusst sein: a) Sicherheitslücken können den Kommunikations- und Informationssystemen und der gesamten Organisation erheblich schaden; b) aus einer Vernetzung und Verflechtung kann sich potenzieller Schaden für andere ergeben, und c) die Nutzer sind persönlich für die Sicherheit eines Kommunikations- und Informationssystems entsprechend ihrer konkreten Aufgabe innerhalb des Systems und bei den Prozessen verantwortlich und dafür rechenschaftspflichtig. 22. Damit sichergestellt ist, dass die Verantwortlichkeiten für die Sicherheit bekannt sind, sind die Schulung und Sensibilisierung in Bezug auf Informationssicherung für das gesamte beteiligte Personal, einschließlich des Führungspersonals und der Nutzer von Kommunikations- und Informationssystemen, obligatorisch. Evaluierung und Zulassung von IT-Sicherheitsprodukten 23. Das erforderliche Maß an Vertrauen in die Sicherheitsmaßnahmen, das als Niveau der Vertrauenswürdigkeit definiert wird, wird aufgrund der Ergebnisse des Risikomanagementprozesses und entsprechend den einschlägigen Sicherheitskonzepten und Sicherheitsleitlinien bestimmt. 24. Das Vertrauenswürdigkeitsniveau wird geprüft, indem international anerkannte oder national genehmigte Verfahren und Methoden angewandt werden. Dazu gehören in erster Linie Evaluierung, Kontrollen und Betriebsanalysen. 25. Kryptografische Produkte zum Schutz von EU-VS werden von einer nationalen Krypto-Zulassungsstelle (Crypto Approval Authority – CAA) eines Mitgliedstaats bewertet und zugelassen. 26. Bevor kryptografische Produkte der Krypto-Zulassungsstelle des EAD gemäß Artikel 8 Absatz 5 dieses Beschlusses zur Zulassung empfohlen werden, müssen sie eine Bewertung durch eine zweite Stelle, und zwar eine entsprechend qualifizierte Behörde (Appropriately Qualified Authority – AQUA) eines Mitgliedstaats, die nicht an der Konzeption oder Herstellung der Ausrüstung beteiligt ist, erfolgreich durchlaufen. Wie detailliert bei einer Zweitevaluierung zu prüfen ist, hängt von dem angestrebten höchsten Geheimhaltungsgrad der EU-VS ab, die mit diesen Produkten geschützt werden sollen. 27. Wenn dies aus spezifischen operativen Gründen gerechtfertigt ist, kann die Krypto-Zulassungsstelle des EAD auf Empfehlung des Sicherheitsausschusses des Rates auf die Anforderungen nach den Nummern 25 oder 26 verzichten und eine vorläufige Zulassung für einen bestimmten Zeitraum gemäß dem Verfahren nach Artikel 8 Absatz 5 dieses Beschlusses erteilen. 28. Eine entsprechend qualifizierte Behörde ist eine Krypto-Zulassungsstelle eines Mitgliedstaats, die auf der Grundlage vom Rat festgelegter Kriterien dafür akkreditiert wurde, die Zweitevaluierung von kryptografischen Produkten zum Schutz von EU-VS vorzunehmen. 29. Der Hohe Vertreter billigt ein Sicherheitskonzept in Bezug auf die Eignung und Zulassung von nicht-kryptografischen IT-Sicherheitsprodukten. Übermittlung innerhalb abgesicherter Bereiche 30. Ungeachtet der Bestimmungen dieses Beschlusses kann, wenn EU-VS innerhalb abgesicherter Bereiche oder Verwaltungsbereiche übermittelt werden, eine nicht verschlüsselte Übermittlung oder eine Verschlüsselung auf einer niedrigeren Stufe unter Zugrundelegung der Ergebnisse eines Risikomanagementprozesses und vorbehaltlich der Zustimmung der Sicherheits-Akkreditierungsstelle (SAA) erfolgen. Sichere Zusammenschaltung von Kommunikations- und Informationssystemen 31. Im Sinne dieses Beschlusses ist eine Systemzusammenschaltung die direkte Verbindung von zwei oder mehr IT-Systemen für die gemeinsame Nutzung von Daten und anderen Informationsressourcen (beispielsweise Kommunikation); die Verbindung kann unidirektional oder multidirektional sein. 32. Ein Kommunikations- und Informationssystem muss jedes angeschlossene IT-System zunächst als nicht vertrauenswürdig behandeln und Schutzmaßnahmen durchführen, um den Austausch von Verschlusssachen zu kontrollieren. 33. Bei der Zusammenschaltung eines Kommunikations- und Informationssystems mit einem anderen IT-System müssen stets die folgenden grundlegenden Anforderungen erfüllt sein: a) Die betrieblichen und operativen Anforderungen für solche Zusammenschaltungen müssen von den zuständigen Stellen bekannt gegeben und genehmigt werden; b) die Zusammenschaltung ist einem Risikomanagement- und Akkreditierungsverfahren zu unterziehen und bedarf der Genehmigung der zuständigen Sicherheits-Akkreditierungsstelle (SAA), und c) Dienste für den Schutz von Systemübergängen (Boundary Protection Services, BPS) werden an der Peripherie aller Kommunikations- und Informationssysteme implementiert. 34. Es darf keine Zusammenschaltung zwischen einem akkreditierten Kommunikations- und Informationssystem und einem ungeschützten oder öffentlichen Netz geben, es sei denn, das Kommunikations- und Informationssystem verfügt über zugelassene Dienste für den Schutz von Systemübergängen (BPS), die zu diesem Zweck zwischen dem Kommunikations- und Informationssystem und dem ungeschützten oder öffentlichen Netz installiert wurden. Die Sicherheitsmaßnahmen für eine derartige Zusammenschaltung werden von der zuständigen Stelle für Informationssicherung (Information Assurance Authority — IAA) überprüft und von der zuständigen Sicherheits-Akkreditierungsstelle (SAA) genehmigt. Wenn das ungeschützte oder öffentliche Netz lediglich als Träger verwendet wird und die Daten durch ein gemäß Artikel 8 Absatz 5 dieses Beschlusses zugelassenes kryptografisches Produkt verschlüsselt werden, gilt eine derartige Verbindung nicht als Zusammenschaltung. 35. Die direkte oder kaskadierte Zusammenschaltung eines Kommunikations- und Informationssystems, das für die Bearbeitung von Verschlusssachen des Geheimhaltungsgrads „TRÈS SECRET UE/EU TOP SECRET“ akkreditiert ist, mit einem ungeschützten oder öffentlichen Netz ist untersagt. Elektronische Datenträger 36. Die Vernichtung elektronischer Datenträger erfolgt nach Verfahren, die von der Sicherheitsbehörde des EAD genehmigt wurden. 37. Für die Wiederverwendung elektronischer Datenträger und für die Herabstufung oder Aufhebung ihres Geheimhaltungsgrads gelten die nach Artikel 8 Absatz 2 dieses Beschlusses festgelegten Sicherheitsleitlinien für die Herabstufung oder Aufhebung des Geheimhaltungsgrads von EU-VS. Notsituationen 38. Unbeschadet der Bestimmungen dieses Beschlusses können die nachstehend beschriebenen besonderen Verfahren in Notsituationen, beispielsweise bei drohenden oder bereits eingetretenen Krisen, Konflikten, Kriegssituationen, oder im Fall besonderer operativer Umstände für einen befristeten Zeitraum angewandt werden. 39. EU-VS können mithilfe kryptografischer Produkte, die für einen niedrigeren Geheimhaltungsgrad zugelassen sind, oder mit Zustimmung der zuständigen Behörde unverschlüsselt übermittelt werden, wenn eine Verzögerung einen Schaden verursachen würde, der deutlich größer wäre als der Schaden, der durch eine Offenlegung des als Verschlusssache eingestuften Materials entstehen würde, und wenn a) Absender und Empfänger nicht die erforderliche Verschlüsselungseinrichtung oder gar keine Verschlüsselungseinrichtung haben und b) das als Verschlusssache eingestufte Material nicht rechtzeitig auf anderem Wege übermittelt werden kann. 40. Verschlusssachen, die unter den in Nummer 39 erläuterten Umständen übermittelt werden, sind nicht mit Kennzeichnungen oder Angaben zu versehen, die sie von Informationen unterscheiden, die nicht als Verschlusssache eingestuft sind oder mit einem zur Verfügung stehenden kryptografischen Produkt geschützt werden können. Die Empfänger werden auf anderem Weg unverzüglich über den Geheimhaltungsgrad unterrichtet. 41. Wird gemäß Nummer 39 vorgegangen, ist der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion anschließend Bericht zu erstatten, die wiederum den Sicherheitsausschuss des EAD unterrichtet. In diesem Bericht werden mindestens der Absender, der Empfänger und der Herausgeber jeder EU-VS angegeben. III. FUNKTIONEN UND STELLEN FÜR INFORMATIONSSICHERUNG 42. Folgende Funktionen im Bereich der Informationssicherung werden im EAD eingerichtet. Hierfür sind keine zentralen organisatorischen Einheiten erforderlich. Für die einzelnen Funktionen werden gesonderte Mandate erteilt. Diese Funktionen und die damit einhergehenden Verantwortlichkeiten können jedoch zusammengefasst oder der gleichen organisatorischen Einheit zugewiesen oder auf verschiedene organisatorische Einheiten aufgeteilt werden, sofern interne Interessen- oder Aufgabenkonflikte vermieden werden. Stelle für Informationssicherung 43. Die Stelle für Informationssicherung (Information Assurance Authority – IAA) ist für Folgendes zuständig: a) Ausarbeitung von Sicherheitsleitlinien für Informationssicherung sowie Überwachung ihrer Wirksamkeit und Relevanz; b) Schutz und Verwaltung der technischen Informationen über kryptografische Produkte; c) Gewährleistung, dass die für den Schutz von EU-VS gewählten Informationssicherungsmaßnahmen den einschlägigen Leitlinien für ihre Eignung und Auswahl entsprechen; d) Gewährleistung, dass die kryptografischen Produkte unter Einhaltung der Leitlinien für ihre Eignung und Auswahl gewählt werden; e) Koordinierung von Schulungen und der Sensibilisierung für Informationssicherung; f) Konsultation des Systembetreibers, der Sicherheitsakteure und der Vertreter der Nutzer in Bezug auf die Sicherheitsleitlinien für Informationssicherung und g) Gewährleistung, dass in der für Fragen der Informationssicherung zuständigen Fachuntergruppe des Sicherheitsausschusses des EAD das geeignete Fachwissen vorhanden ist. TEMPEST-Stelle 44. Die TEMPEST-Stelle (TEMPEST Authority – TA) hat sicherzustellen, dass die Kommunikations- und Informationssysteme den TEMPEST-Konzepten und -Leitlinien entsprechen. Sie genehmigt TEMPEST-Schutzmaßnahmen für Installationen und Produkte, damit EU-VS bis zu einem bestimmten Geheimhaltungsgrad in dem betreffenden Betriebsumfeld geschützt sind. Krypto-Zulassungsstelle 45. Die Krypto-Zulassungsstelle (Crypto Approval Authority – CAA) hat sicherzustellen, dass kryptografische Produkte den jeweiligen Kryptografieleitlinien entsprechen. Sie erteilt für ein kryptografisches Produkt die Zulassung, EU-VS bis zu einem bestimmten Geheimhaltungsgrad in dem betreffenden Betriebsumfeld zu schützen. Krypto-Verteilungsstelle 46. Die Krypto-Verteilungsstelle (Crypto Distribution Authority – CDA) ist für Folgendes zuständig: a) Verwaltung und Rechenschaftslegung in Bezug auf EU-Kryptomaterial; b) Gewährleistung, dass für die Rechenschaftslegung im Zusammenhang mit dem gesamten EU-Kryptomaterial sowie für dessen sichere Handhabung, Speicherung und Verteilung geeignete Verfahren durchgesetzt und Kanäle eingerichtet werden, und c) Sicherstellung des Transfers von EU-Kryptomaterial zu den oder von den Einzelpersonen oder Dienststellen, die es verwenden. Sicherheits-Akkreditierungsstelle 47. Die Sicherheits-Akkreditierungsstelle (Security Accreditation Authority – SAA) für das jeweilige System ist für Folgendes zuständig: a) Gewährleistung, dass die Kommunikations- und Informationssysteme den einschlägigen Sicherheitsleitlinien entsprechen, Ausstellung einer Zulassungserklärung für Kommunikations- und Informationssysteme zur Bearbeitung von EU-VS bis zu einem bestimmten Geheimhaltungsgrad in dem betreffenden Betriebsumfeld, wobei die Akkreditierungsvoraussetzungen sowie die Kriterien angegeben werden, aufgrund deren eine erneute Zulassung erforderlich wird; b) Festlegung eines Verfahrens für die Sicherheitsakkreditierung im Einklang mit den einschlägigen Leitlinien unter genauer Angabe der Voraussetzungen für die Zulassung von Kommunikations- und Informationssystemen unter der Leitung der Sicherheits-Akkreditierungsstelle; c) Festlegung einer Strategie für die Sicherheitsakkreditierung, in der dargelegt wird, wie detailliert das Akkreditierungsverfahren entsprechend der geforderten Vertraulichkeit angelegt sein muss; d) Prüfung und Zulassung der sicherheitsbezogenen Dokumentation – einschließlich der Erklärung zum Risikomanagement und der Erklärung zum Restrisiko, der Aufstellung der systemspezifischen Sicherheitsanforderungen (System-specific Security Requirement Statements – im Folgenden „SSRS“), der Dokumentation über die Überprüfung der Sicherheitsimplementierung und der sicherheitsbezogenen Betriebsverfahren (Security Operating Procedures – im Folgenden „SecOPs“) – und Gewährleistung, dass sie mit den Sicherheitsvorschriften und -konzepten des Rates übereinstimmt; e) Kontrolle der Implementierung der Sicherheitsmaßnahmen in Bezug auf das Kommunikations- und Informationssystem im Wege der Durchführung oder Förderung von Sicherheitsbewertungen, -inspektionen oder -prüfungen; f) Festlegung von Sicherheitsanforderungen (z. B. Sicherheitsstufen für die Sicherheitsüberprüfung des Personals) für die Besetzung der für das Kommunikations- und Informationssystem sicherheitskritischen Stellen; g) Bestätigung der Auswahl von zugelassenen kryptografischen und TEMPEST-Produkten, die zur Gewährleistung der Sicherheit eines Kommunikations- und Informationssystems verwendet werden; h) Genehmigung — oder gegebenenfalls Mitwirkung an der gemeinsamen Genehmigung — der Zusammenschaltung eines Kommun