BSI TL Allgemeiner Teil. Für staatliche VS zugelassene abstrahlgeprüfte Hardware

Transkript

1 BSI TL Allgemeiner Teil Für staatliche VS zugelassene abstrahlgeprüfte Hardware

2 Bundesamt für Sicherheit in der Informationstechnik Postfach Bonn Tel.: Internet: Bundesamt für Sicherheit in der Informationstechnik 2018

3 Inhaltsverzeichnis 1. Grundsätze von Vermessung, Handhabung und Vertrieb abstrahlgeprüfter IT-Produkte und Komponenten 4 2. Antragstellung auf Zulassung, Prüfgrundlagen und Verfahren 6 3. Anerkannte Abstrahlprüflabor Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen nach SDIP 27 Level A (früher AMSG 720) Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen nach dem Nationalen Zonenmodell Abstrahlprüflabor mit der Berechtigung zur Durchführung von Kurzmessverfahren Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zonenkurzmessverfahren (Zonen-KMV) Abstrahlprüflabor mit der Berechtigung zur Durchführung von geräte-spezifischen Kurzmessverfahren 10 Bundesamt für Sicherheit in der Informationstechnik III

4 1. Grundsätze von Vermessung, Handhabung und Vertrieb abstrahlgeprüfter IT-Produkte und Komponenten Es werden in diesem Abschnitt allgemeine Grundsätze zusammengestellt, welche bei allen Abstrahlprüfungen Gültigkeit haben, unabhängig vom angestrebten Grad der Zulassung. Beim Einsatz und Vertrieb abstrahlgeprüfter IT-Produkte sind die hier genannten Grundsätze ebenfalls zu beachten. 1. Abstrahlgeprüfte IT-Produkte werden im Fall von Computern, Workstations oder vergleichbaren IT-Produkten -jeweils bestehend aus Grundgerät, Tastatur, Monitor und Maus und ggf. KVM-Switch- immer als Computer-System in der zusammengehörenden Konfiguration abstrahlgeprüft und zugelassen. 2. Der Gerätestand aller abstrahlgeprüften Komponenten einschließlich Verkabelung wird festgeschrieben und dokumentiert. 3. Erst nach einem Kurzmessungverfahren ist ein Gerät bzw. Computer-System für die Verarbeitung von Verschlussachen freigegeben. Daher ist jedes VS-verarbeitende Gerät vor seinen operativen Einsatz einem Kurzmessverfahren zu unterziehen. Diese Konfiguration des einzeln abstrahlgeprüften Computer-Systems muss bis zum Endkunden beibehalten werden. Die Zulassung wird ansonsten ungültig. 4. Die Prüfdokumentation muss die Zusammengehörigkeit von Komponenten wie Grundgerät, Monitor und Tastatur, ggf. auch Maus erkennen lassen. Die Auslieferung muss so erfolgen, dass der Empfänger einen solchen zusammengehörigen Gerätesatz direkt erkennen kann. 5. Nur wenn die Komponente in der BSI TL ausdrücklich als erkennbares Einzelgerät aufgeführt ist (z.b. Drucker oder Scanner) ist das Kurzmessungverfahren und Auslieferung als Einzelgerät möglich. 6. Sofern eine abstrahlgeschützte Computer-System aus bereits in anderen Computer-Systemen zugelassenen Komponenten aufgebaut wird, entsteht ein neues IT-Produkt mit einer anderen Produktbezeichnung, das erneut einer Zulassungsmessung unterzogen, vom BSI zugelassen und vor Auslieferung dem Kurzmessverfahren unterzogen werden muss. Dabei ist es gleichgültig, ob diese Komponenten von einem oder mehreren Anbietern stammen. Für den Auftraggeber besteht nicht die Möglichkeit, aus unterschiedlichen, ggf. bereits abstrahlgeprüften IT-Produkten die eigene Wunschkonfiguration zusammenzustellen, es sei denn, es erfolgt eine Neuzulassung. 7. Der Austausch von einzelnen Komponenten ist nur bei Verwendung von in dem Gerätestand aufgeführten Komponenten und anschließendem Kurzmessverfahren zulässig. Wird eine dieser Komponenten geändert und somit der Gerätestand verändert, so handelt es sich um ein anderes, neues IT-Produkt ohne Zulassung. Damit ist dann eine Neuentwicklung der Abstrahlschutzmaßnahmen für die geänderte Komponente erforderlich, welche die Prüfung der Abstrahlsicherheit im Zusammenspiel mit den übrigen Komponenten des Originalproduktes gewährleistet. Daraus entsteht ein neues IT-Produkt mit einer anderen Produktbezeichnung, das als Ganzes einem neuen Zulassungsverfahren unterzogen werden muss. 8. Der oben beschriebene Prozess beim Austausch von Komponenten ist auch dann durchzuführen, wenn im Fall einer Ersatzbeschaffung eine Komponente identischen Typs, wie sie im Originalprodukt eingesetzt ist, nicht mehr zur Verfügung steht oder gegen eine höherwertige ausgetauscht werden soll. 9. Für im Betrieb befindliche zugelassene IT-Produkte kann im Reparaturfall eine Ersatzkomponente auch an einem sonst in allen Einzelheiten mit dem Originalprodukt identischen Referenzprodukt abstrahlgeprüft werden. Hinweis: Die Anwendung dieser Regelung ist nur im Reparaturfall einzelner, im Betrieb befindlichen, Geräte zulässig. Die Regelung darf nicht zum Zwecke der Modernisierung verwendet werden. Bundesamt für Sicherheit in der Informationstechnik 4

5 10. Das Hinzufügen von Komponenten führt zum Verlust der Zulassung, z. B. führt die Erweiterung eines Computer-Systems um einen weiteren Monitor oder einer Netzwerkkarte zum Verlust der Zulassung. 11. Das Entfernen von Komponenten ist zulässig, setzt jedoch eine ordnungsgemäße Verschließung der eventuell entstandenen Öffnung von z. B. einer Netzwerkkarte oder DVD Brenner voraus. Ein Kurzvermessung ist erforderlich. 12. Eine Komponentenliste des im Rahmen der Zulassungsmessung geprüften Gerätes einschließlich der Verkabelung ist immer dem IT-Produkt beizulegen. 13. Nicht abstrahlgeprüfte Komponenten und Kabel dürfen grundsätzlich nicht im Paket beigelegt werden. 14. Eventuell beiliegende Komponenten, die nicht in der genannten Komponentenliste oder im Prüfbericht aufgeführt sind, müssen als Nicht zulässig gekennzeichnet werden, um eine irrtümliche Verwendung beim Anwender zu vermeiden. 15. Geräte, die erkennbare Mängel wie zum Beispiel lose Dichtungen oder nicht fixierte Ferrite aufweisen dürfen nicht als abstrahlgeprüftes Gerät ausgeliefert werden und sind zurückzuweisen. 16. Abstrahlgeprüfte Produkte müssen gegen unbefugten Zugriff geschützt sein (um mögliche Manipulationen zu verhindern); ggf. sind sie vor einem erneuten Einsatz einer weiteren Abstrahlprüfung zu unterziehen. 17. Abstrahlgeprüfte Hardware kann auch außerhalb des Verschlusssachen- bzw. Behördenbereichs vertrieben und eingesetzt werden. 18. Bei der Beschaffung von Geräten, die nicht in der Liste aufgeführt sind, insbesondere bei Angeboten ausländischer Anbieter ist die beschaffende Stelle gehalten, die Zulassung solcher Geräte für den Einsatz zur Bearbeitung nationaler VS beim BSI zu verifizieren. Bundesamt für Sicherheit in der Informationstechnik 5

6 2. Antragstellung auf Zulassung, Prüfgrundlagen und Verfahren Anträge auf Zulassung sind zu richten an: Bundesamt für Sicherheit in der Informationstechnik Postfach Bonn Fax: Dem Antrag ist ein Bedarfsnachweis einer Bundesbehörde für eine Zulassung des Produktes beizufügen; andernfalls ist eine Bearbeitung nicht möglich. Beispielsweise können Ausschreibungsunterlagen einer Bundesbehörde als Bedarfsnachweis verwendet werden. Erfolgt die Beauftragung des BSI durch eine Bundesbehörde, so ist die Bearbeitung kostenfrei; ansonsten entstehen Kosten gem. der BSI-Kostenverordnung. Details der Prüfgrundlagen sind teilweise als Verschlusssache eingestuft. Sie werden dem Hersteller bei Bedarf bekannt gegeben, wenn dieser gegenüber dem Bundesamt ein berechtigtes Interesse nachweist und die notwendigen Sicherheitsvoraussetzungen erfüllt; dies muss durch einen Sicherheitsbescheid des Bundesministers für Wirtschaft und Arbeit bestätigt sein. Die Prüfung erfolgt an einem Seriengerät, welches zusammen mit geeigneter Peripherie bereitzustellen und beim BSI in Betrieb zu nehmen ist. Für eine Zulassung gem. SDIP 27 Level A ist von dem Hersteller ein technischer Bericht sowie weitere Hardware wie z.b. Adaptionen und Testsoftware nach Absprache bereitzustellen. Eine Übersicht zu diesem Bericht (sog. Tempest Firmenbericht TFB ) kann bei Bedarf beim BSI angefordert werden. Bundesamt für Sicherheit in der Informationstechnik 6

7 3. Anerkannte Abstrahlprüflabor 3.1 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen Diese Abstrahlprüflabore sind berechtigt, Untersuchungen mit dem Ziel der Zulassung (z. B. einer Erstzulassung /Typprüfung) durchzuführen. Unterschieden wird zwischen Zulassung nach SDIP 27 Level A und einer Zulassung nach dem nationalen Zonenmodell. Die Prüfpläne werden dem BSI zur Genehmigung vorgelegt, die Prüfergebnisse werden vom BSI begutachtet und zur Zulassung verwendet. Die Zulassung wird vom BSI ausgesprochen Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen nach SDIP 27 Level A (früher AMSG 720) Die nachfolgend aufgeführten Abstrahlprüflabore sind berechtigt, Untersuchungen mit dem Ziel der Zulassung nach SDIP 27 Level A durchzuführen. Abstrahlprüflabor CORDSEN Engineering GmbH Am Klinggraben Seligenstadt Prüfgruppe F 17 Tel: Fax: GBS TEMPEST & Service GmbH Von Braun-Straße Diepholz Prüfgruppe F 16 Tel: Fax: SIEMENS AGI IA CE SE DS DST 3 Breslauer Str Fürth Prüfgruppe F 5.2 Tel: Fax: Bundesamt für Sicherheit in der Informationstechnik 7

8 3.1.2 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen nach dem Nationalen Zonenmodell Die nachfolgend aufgeführten Abstrahlprüflabore sind berechtigt, Abstrahlprüfungen mit dem Ziel der Zulassung nach dem nationalen Zonenmodell durchzuführen. Die Prüfergebnisse werden vom BSI begutachtet und zur Zulassung verwendet. Die Zulassung wird vom BSI ausgesprochen. Abstrahlprüflabor Hensoldt Sensors GmbH HOHME Wörthstr ULM Prüfgruppe F 13 CORDSEN Engineering GmbH Am Klinggraben Seligenstadt Prüfgruppe F 17 Tel: Fax: Tel: Fax: DSI Datensicherheit GmbH (DSI-DS) (ehemals ETG) Henleinstraße Stuhr Prüfgruppe F 18 GBS TEMPEST & Service GmbH Von Braun-Straße Diepholz Prüfgruppe F 16 SIEMENS AGI IA CE SE DS DST 3 Breslauer Str Fürth Prüfgruppe F 5.2 Tel: Fax: Tel: Fax: Tel: Fax: Airbus Defence and Space Claude Dornier Straße D Immenstaad Prüfgruppe F14.1 Tel: Fax: Bundesamt für Sicherheit in der Informationstechnik 8

9 3.2 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Kurzmessverfahren Abstrahlgeprüfte Hardware kann ihre Abstrahlsicherheit durch Fertigungsfehler, Defekte, Alterung oder Manipulation verlieren - auch ohne dass die Funktion erkennbar beeinträchtigt wird. Um dennoch die Abstrahlsicherheit gewährleisten zu können, regelt die VSA 39 Abs. 1 die Durchführung von Überprüfungen vor dem Ersteinsatz und in bestimmten Abständen. Für derartige Überprüfungen werden Kurzmessverfahren erarbeitet. Die Kurzmessverfahren ermöglichen es, mit vergleichsweise geringem Zeit- und Materialaufwand eine Prüfung am Seriengerät nach Fertigung, Wartung und Reparatur durchführen zu können. Unterschieden wird zwischen Zonenkurzmessverfahren (Zonen-KMV) und Geräte-spezifischen Kurzmessverfahren (KMV) Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zonenkurzmessverfahren (Zonen-KMV) Das Zonenkurzmessverfahren ist eine komprimierte Version des Messverfahrens zur Zonenzulassung. Dieses Messverfahren ist produktunabhängig mit fest vorgegebenen Messgeräten und Messgeräteeinstellungen. Die nachfolgend aufgeführten Abstrahlprüflabore sind berechtigt Zonenkurzmessungen an, vom BSI nach dem nationalen Zonenmodell für die Zonen 1-3, zugelassenen Produkten durchzuführen Abstrahlprüflabor Hensoldt Sensors GmbH HOHME Wörthstr ULM Prüfgruppe F 13 ATM Computer Systeme GmbH Produktengineering Max-Stromeyer-Straße Konstanz Prüfgruppe F 15 Airbus Defence and Space Claude Dornier Straße D Immenstaad Prüfgruppe F14.1 Tel: Fax: Tel: Tel: Fax: CORDSEN Engineering GmbH Am Klinggraben Seligenstadt Prüfgruppe F 17 Tel: Fax: EGL Elektronik Vertrieb GmbH Odenwaldstr Linsengericht Prüfgruppe F 8 Tel: Fax: Bundesamt für Sicherheit in der Informationstechnik 9

10 Abstrahlprüflabor DSI Datensicherheit GmbH (DSI-DS)(ehemals ETG) Henleinstraße Stuhr Prüfgruppe F 18 GBS TEMPEST & Service GmbH Von-Braun-Str Diepholz Prüfgruppe F 1 steep GmbH EMV-Zentrum Bonn Justus-von-Liebig-Straße Bonn Prüfgruppe F 9 SIEMENS AGI IA CE SE DS DST 3 Breslauer Str Fürth Prüfgruppe F 5.2 Tel: Fax: Tel: Fax: Tel: Fax: Tel: Fax: THALES Electronic Systems GmbH Thalesplatz Ditzingen Prüfgruppe F 4 Tel: Fax: Abstrahlprüflabor mit der Berechtigung zur Durchführung von gerätespezifischen Kurzmessverfahren Für diejenigen Produkte, die gem. SDIP 27 Level A (früher AMSG-720) abstrahlgeprüft und national zugelassen sind, wird grundsätzlich ein gerätespezifisches Kurzmessverfahren erarbeitet. Diese Kurzmessverfahren sind spezielle Messverfahren, mit denen für den jeweiligen Gerätetyp kritische Bereiche gezielt überprüft werden. Diese Messverfahren erfordern spezielle Messausrüstung und spezielle Messverfahren und sind daher nur für den vorgesehenen Gerätetyp verwendbar. Abstrahlprüflabor ATM Computer Systeme GmbH Produktengineering Max-Stromeyer-Straße Konstanz Prüfgruppe F 15 Hensoldt Sensors GmbH HOHME Wörthstr ULM Prüfgruppe F 13 Tel: Fax: Tel: Fax: Bundesamt für Sicherheit in der Informationstechnik 10

11 Abstrahlprüflabor CORDSEN Engineering GmbH Am Klinggraben Seligenstadt Prüfgruppe F 17 Tel: Fax: GBS TEMPEST & Service GmbH Von Braun-Straße Diepholz Prüfgruppe F 16 Tel: Fax: Rohde & Schwarz GmbH & Co. KG Service Operations West Abt. 5TSC4 Graf Zeppelinstraße Köln Tel: Rohde & SchwarzMeßgerätebau GmbH Abt: ME2C/Endfertigung Rohde-und-Schwarz-Str Memmingen Prüfgruppe F 2.2 SIEMENS AGI IA CE SE DS DST 3 Breslauer Str Fürth Prüfgruppe F 5.2 Tel: Tel: Fax: THALES Electronic Systems GmbH Thalesplatz Ditzingen Prüfgruppe F 4 Tel: Fax: Bundesamt für Sicherheit in der Informationstechnik 11