Die BSI-Herstellerqualifizierung hilft Behörden und Unternehmen im Geheimschutzbereich, zugelassene IT-Sicherheitslösungen zur Bearbeitung von VS-NfD-Daten einzusetzen. Genua wirkte an der Testphase des neuen Verfahrens mit und profitiert jetzt von dem schnelleren Ablauf. Dauerte eine Produktzulassung bisher rund ein Jahr, kann ein Qualifizierter Hersteller diese innerhalb von ein bis zwei Monaten erreichen.
„Das Qualifizierte Zulassungsverfahren hat sich in der Praxis hervorragend bewährt“, sagt Matthias Ochs, Geschäftsführer von Genua. „Wir werden das neue Verfahren intensiv nutzen, um auf Kundenanforderungen im VS-NfD-Bereich schnell mit hochsicheren Lösungen zu reagieren.“
Erfüllen der Sicherheitsanforderungen nachgewiesen
Behörden und Unternehmen im Geheimschutzbereich bietet Genua diverse IT-Sicherheitslösungen zur Datenbearbeitung bis zum Geheimhaltungsgrad VS-NfD: den Security Laptop vs-top für mobile Mitarbeiter, das Personal Security Device genucard zur Anbindung von Home Offices und die Firewall- und VPN-Appliance genuscreen für den verschlüsselten Datenaustausch via Internet.
Mit dem Zulassungsverfahren weist der Hersteller gegenüber dem BSI nach, dass die Lösungen die Sicherheitsanforderungen für VS-NfD erfüllen. Dazu muss der Hersteller beispielsweise das Design der Lösung detailliert beschreiben, umfangreiche Tests und Schwachstellenanalysen durchführen und dokumentieren sowie sichere Entwicklungsprozesse vorweisen.
Vertrauen statt Abstimmungsrunden
Das BSI hat die Abläufe im Qualifiziertem Zulassungsverfahren gestrafft; es besteht jetzt aus zwei Phasen. In der ersten werden einmalig die Entwicklungsumgebung und -prozesse beim Hersteller geprüft. Erfüllen sie die Sicherheitsanforderungen des BSI, kann das Unternehmen als Qualifizierter Hersteller eingestuft werden. Die Prüfung findet dabei auf Basis des international anerkannten Standards der Common Criteria statt.
Die zweite Phase ist die eigentliche VS-NfD-Zulassung einer Sicherheitslösung. Qualifizierte Hersteller müssen dafür zwar genauso viele Nachweise wie im bisherigen Verfahren erstellen, doch wird die zeitaufwendige Abstimmung mit dem BSI deutlich reduziert: Die meisten Dokumente verbleiben ohne Abstimmung beim Hersteller, der in einer Erklärung die vollständige Erstellung der Nachweise und Einhaltung der vorher begutachteten Herstellerentwicklungsprozesse zusichern muss.
Dem BSI sind die Nachweise auf Anfrage, zum Beispiel bei Audits, vorzulegen. Vertrauen gegenüber Qualifizierten Herstellern tritt somit an die Stelle von aufwendigen Abstimmungsrunden unter Aufrechterhaltung des für VS-NfD geforderten Vertrauenswürdigkeitsniveaus des Produktes. Dies kann den Zeitraum vom Produkt-Release bis zur Zulassung von rund einem Jahr auf ein bis zwei Monate verkürzen.
Nach einer erfolgreichen Erprobungsphase hat das Bundesministerium des Inneren das Qualifizierte Zulassungsverfahren genehmigt. Genuas Herstellerqualifizierung ist drei Jahre gültig und muss anschließend erneuert werden.
