Steigerung von Innovationserfolgen durch Normen und Standards

Transkript

1 Normungs- und Standardisierungspotenzial im Bereich des Schutzes von Verkehrsinfrastrukturen FKZ 13N10915 Technische Universität Berlin Fachgebiet Innovationsökonomie Steigerung von Innovationserfolgen durch Normen und Standards Ein Handbuch Dr. Simone Wurster Gefördert vom

2

3 Dieses Handbuch richtet sich an die Teilnehmer des nationalen Rahmenprogramms Forschung für die zivile Sicherheit, Akteure in neuen Forschungsfeldern sowie Studierende der Wirtschafts- und Ingenieurswissenschaften. 3

4

5 Inhaltsverzeichnis Inhaltsverzeichnis... 2 Darstellungsverzeichnis...11 Abkürzungsverzeichnis Vorwort Kontext des Handbuchs Der Begriff Sicherheit Sicherheitstechnologien und -dienstleistungen Inhalte und Marktchancen Das Programm Forschung für die zivile Sicherheit der Bundesregierung Das Projekt InfraNorm Die Entwicklungsbegleitende Normung (EBN) im DIN e.v Definitionen, Inhalte und Klassifikationen der Normung und Standardisierung Definitionen von Normen und Standards Inhalte der Normung und Standardisierung Klassifikationen von Normen und Standards Merkmale und Erstellung von DIN-Normen Merkmale und Erstellung von DIN SPECs Merkmale von DIN SPECs Erstellung von DIN SPECs nach dem PAS-Verfahren Erstellung weiterer Formen von DIN SPECs Merkmale und Erstellung europäischer Normen Merkmale und Erstellung europäischer Standards Merkmale und Erstellung internationaler Normen und Standards Die Interrelation zwischen Normung und Sicherheitsforschung Technologiepolitische Zielsetzungen zur Verknüpfung von Normung und Sicherheitsforschung Interrelationen zwischen Normung und Forschung Allgemeine Vorteile der Normung und Standardisierung für forschende Organisationen Allgemeine Vorteile der Normung und Standardisierung für Teilnehmer des Sicherheitsforschungsprogramms Individuelle Vorteile der Normung und Standardisierung für Teilnehmer des Sicherheitsforschungsprogramms

6 4.6. Allgemeine Barrieren für die Teilnahme an der Normung und Standardisierung und ihre Überwindung Allgemeine Strategien für die sicherheitsbezogene Normung und Standardisierung Strategische Verankerung der Normung und Standardisierung in der Sicherheitsforschung Empfehlungen zur Integration von Normungs- und Standardisierungsaktivitäten in FuE-Projekte Relevante Umsetzungszeitpunkte Hilfsmittel zur Umsetzung Normen- und Patentrecherche Beteiligte Gruppen der Normung und Standardisierung Partnergewinnung und Gremienzusammensetzung Grundlegende technische Empfehlungen Verhandlungsstrategien Konfliktlösungen im Normungsprozess Schlichtungsmechanismen im Normungsprozess Empfehlungen zur individuellen Nutzenmaximierung Herausforderungen der transnationalen Normung und Standardisierung Rechtliche Rahmenbedingungen mit Relevanz für die Entwicklung sicherheitsrelevanter Normen und Standards Einführung Definitionen Ausgewählte europäische und internationale Regelwerke und Anwendungseinschränkungen im Bereich der zivilen Sicherheit Ausgewählte europäische und internationale Regelwerke im Bereich des Schutzes von Verkehrsinfrastrukturen Ausgewählte nationale Regelwerke und Anwendungseinschränkungen im Bereich der zivilen Sicherheit Datenschutz-Schutzziele Umsetzung ausgewählter Regelwerke in der Sicherheitsforschung Regularien aus verwandten Bereichen zur sicheren Datenerfassung, -nutzung und -speicherung Regularien aus verwandten Bereichen zur sicheren Übertragung von Daten Ausgewählte rechtliche Probleme von Sicherheitstechnologien

7 7. Integration ethik-bezogener Anforderungen in sicherheitsspezifische Normen und Standards Einführung Ausgewählte Normen und Standards in den Bereichen Privacy, Datenschutz und Datensicherheit Grundsätzliche Privacy- und Datenschutzaspekte Privacy-schutzkonforme Datenerfassung und Schutzklassen Privacy-schutzkonformer Datenzugriff Privacy-schutzkonforme Datenübertragung Privacy-schutzkonformes Datenlebenszyklusmanagement Normative Ausnahmen in der Anwendung von Privacy- und Datenschutzprinzipien Privacy- und Datenschutzaspekte in konkreten Technologiebereichen des Sicherheitsforschungsprogramms: Biometrie und RFIDs Privacy- und Datenschutzaspekte in konkreten Szenarien des Sicherheitsforschungsprogramms Datensicherheitsaspekte in konkreten Szenarien der öffentlichen Sicherheit Aktuelle Maßnahmen Privacy Impact-Analysen und ihre Relevanz im Normungskontext Privacy by Design und seine Relevanz im Normungskontext Privacy Enhancing Technologies und ihre Relevanz im Normungskontext Nichtdiskriminierung im Security-Kontext Vermeidung von Missbrauchsgefahren Zusammenfassung und Ausblick Rahmenbedingungen für IPR bei der Entwicklung sicherheitsbezogener Normen und Standards Definitionen und Klassifikationen geistiger Eigentumsrechte im Normungskontext Problemstellung und Relevanz Lösungen zur Überwindung von IPR-Problemen bei der Entwicklung von Normen und Standards Lösungen individueller Teilnehmer Lösungen von Normungsorganisationen und Arbeitsgruppen und Spezifika im Security-Kontext Antizipatorische Normung als besondere Chance der entwicklungsbegleitenden Normung

8 Zusammenfassung: Verantwortungszuweisung seitens der Europäischen Union Spezielle Probleme mit Eigentumsrechten von Teilnehmern des Sicherheitsforschungsprogramms und Lösungen Ausblick: Normungs- und Standardisierungsstrategien für Patentinhaber des Sicherheitsforschungsprogramms Fallstudien im Sicherheitsforschungsprogramm Methodik Erfolgsfaktorenforschung Fallstudienforschung Vorgehen DIN SPEC für ein Datenaustauschformat in der zivilen Gefahrenabwehr Einführung Initiierung des Vorhabens und Kick-off-Meeting (Frühjahr 2011) Erster Workshop (August 2011) Zweiter und dritter Workshop (September und Anfang November 2011) Vierter Workshop (Ende November 2011) Ausblick Erfolgsfaktoren des Gremiums Lessons Learned DIN SPEC über die Grundlagen mikroskopischer Entfluchtungssimulationen Einführung Initiierung des Vorhabens und Kick-off-Meeting Erarbeitung der Dokumentenversionen 1 und Abschlussworkshop und Verabschiedung der DIN SPEC Ausblick Erfolgsfaktoren des Gremiums Herausforderungen und Lösungen Lessons Learned DIN SPEC für eine Security-Modellierungstechnik Einführung Initiierung des Vorhabens und Kick-off-Meeting (Frühjahr 2012) Telefonkonferenz (Anfang Juni 2012) und nachfolgende Arbeiten Abschlussworkshop (Oktober 2012) und Ausblick

9 Erfolgsfaktoren des Gremiums DIN SPEC einer Terminologie zum Securitymanagement von Verkehrsinfrastrukturen Einführung Initiierung des Vorhabens und Kick-off-Meeting Erarbeitung der Dokumentenversionen 1 bis Erarbeitung der Dokumentenversion Erarbeitung der Dokumentenversionen 5 und Abschlussworkshop und Ausblick Herausforderungen des Gremiums Lessons learned DIN SPEC zur Erstellung von Notfallkonzepten für sensible Logistikagglomerationen Einführung Bisherige Arbeiten Lessons Learned Zusammenfassung aus den Fallstudien zur Entwicklung von DIN SPECs Externe Fallstudien der sicherheitsbezogenen Normung und Standardisierung CWA Interface control document for provision of EGNOS CS/EDAS based services for tracking and tracing of the transport of goods Einführung Initiierung des Vorhabens Umsetzung des Vorhabens Ausblick Erfolgsfaktoren des Gremiums Herausforderungen und Lösungen Lessons Learned CWA Container Security & Tracking Devices - Technical Specifications and Communication Standards Einführung Initiierung des Vorhabens Umsetzung des Vorhabens Erfolgsfaktoren des Gremiums Herausforderungen und Lösungen

10 Lessons Learned IEC : Alarm systems - Electronic access control systems - System and components requirements Einführung Projektablauf Erfolgsfaktoren des Gremiums Herausforderungen und Lösungen Lessons Learned DIN EN Reihe: Alarm-, Einbruch- und Überfallmeldeanlagen Einführung Projektbeschreibung Erfolgsfaktoren des Gremiums Herausforderungen und Lösungen Lessons Learned EN Serie TErrestrial Trunked RAdio (TETRA) Einführung Initiierung des Vorhabens Umsetzung des Vorhabens Lessons Learned Spezieller Quellennachweis Zusammenfassung der Erkenntnisse und Handlungsempfehlungen für die Normung und Standardisierung im Sicherheitsforschungsprogramm Erfolgsfaktoren in den Projekten Herausforderungen und Lösungen in den Projekten Handlungsempfehlungen Empfehlungen für Teilnehmer des Sicherheitsforschungsprogramms Strategische Empfehlungen für das Sicherheitsforschungsprogramm Literaturverzeichnis Anhang: Vorlage zur Erstellung eines Geschäftsplans für DIN SPECs

11 Darstellungsverzeichnis Darst. 1: Segmente des Marktes für zivile Sicherheitslösungen Darst. 2: Merkmale und Aufgaben des DIN e.v Darst. 3: Aufgaben der Entwicklungsbegleitenden Normung des DIN e.v Darst. 4: Abgrenzung von Normen, Spezifikationen und Standards Darst. 5: Allgemeine Normungs- und Standardisierungsphasen und Aktivitäten Darst. 6: Klassifikation von Normen, Spezifikationen und Standards anhand ökonomischer Effekte Darst. 7: Entstehung einer DIN-Norm Darst. 8: Grundsätze und Qualitätsmerkmale der Normung Darst. 9: Abgrenzung von DIN-Normen und Spezifikationen Darst. 10: Zeitgewinn bei der DIN SPEC-Erstellung Darst. 11: Arten von DIN SPECs Darst. 12: Goldene Wettbewerbsregeln der Standardisierung für DIN SPECs Darst. 13: Prozessablauf bei der Erstellung einer DIN SPEC Darst. 14: Aufgaben der Standardisierungsgremien bei der Erstellung einer DIN SPEC Darst. 15: Merkmale europäischer Normen, Spezifikationen und Workshop Agreements Darst. 16: Entstehung einer europäischen Norm Darst. 17: Überblick der Produkte der ISO Darst. 18: Erstellung von Regelwerken der ISO Darst. 19: Integrated Approach Normung zur Unterstützung von FuE und Innovation Darst. 20: Ausgewählte Vorteile der Beteiligung an Normungs- und Standardisierungsprozessen Darst. 21: Technologietransfer mit Normen und Spezifikationen im Innovationsprozess Darst. 22: Bedeutung von Normen und Spezifikationen nach Organisationform Darst. 23 Schritte für KMU zur Beteiligung an Normungsprozessen Darst. 24: Prozessübergreifender Leitfaden zur Verknüpfung von Forschung und Normung Darst. 25: Technische Checkliste zur Identifikation des Normungspotentials Darst. 26: Erweiterte technische Checkliste zur Identifikation des Normungspotentials Darst. 27: Technologie- und ökonomiespezifische Checkliste von CEN/CENELEC Darst. 28: Entscheidungsbaum zur Bestimmung des Normungs- und Standardisierungspotentials

12 Darst. 29: Links wichtiger Normungsorganisationen Darst. 30: Gliederung von Normungsteilnehmern und Verhandlungsstilen anhand des beruflichen Hintergrunds Darst. 31: Technische Empfehlungen für eine erfolgreiche Normung oder Standardisierung Darst. 32: Inkompatibilitätsgründe und Ursachen Darst. 33: Maßnahmen zur Verringerung von Interoperabilitätsproblemen Darst. 34: Machtdistanz- und Individualismuswerte in Anlehnung an Hofstede Darst. 35: Maskulinitäts- und Unsicherheitsvermeidungswerte in Anlehnung an Hofstede Darst. 36: Probleme und Lösungen in der internationalen Sicherheitsnormung und - standardisierung Darst. 37: Ausgewählte europäische und internationale Datenschutz-Vorschriften Darst. 38: Prinzipien des Europäischen Privacy-Rechts Darst. 39: Auszüge aus dem Bundesdatenschutzgesetz Darst. 40: Privacy- und datenschutzbezogene Risiken im Bereich RFID Darst. 41: Ausgewählte Privacy-Risiken von Sicherheitstechnologien und - anwendungen Darst. 42: Datenschutzaspekte entsprechend dem CWA Darst. 43: Privacy-Prinzipien des ISO/IEC Darst. 44: Vertraulichkeitsklassen von Daten entsprechend PAS Darst. 45: Maßnahmen zum Privacy-Schutz entsprechend ISO/IEC (Common Criteria) Darst. 46: Abgrenzung zwischen reversibler und irreversibler Pseudonymisierung Darst. 47: Kategorien vertraulicher Unterlagen Darst. 48: Privacy- und datenschutzbezogene Aspekte im Bereich Biometrie Darst. 49: Grundlagen zur Verarbeitung personenbezogener Daten Darst. 50: Technologie- und systemübergreifende PIA-Checkliste Darst. 51: Phasen der Datenverarbeitung Darst. 52: Technologien für Privacy-Schutzmaßnahmen im Datenlebenszyklus Darst. 53: Leitlinien für barrierefreie Sicherheitslösungen Darst. 54: Klassenspezifische Risiken von security-bezogenen Normen und Standards Darst. 55: Ausgewählte Normen und Standards im Bereich Privacy und Datenschutz Darst. 56: Abgrenzung von Normen und Patenten Darst. 57: Ausgewählte Strategien zum Umgang mit fremden IPR in Normung und Standardisierung

13 Darst. 58: Entscheidungsoptionen von wissenschaftlicher Erkenntnis über ein Patent zu einer Norm Darst. 59: Kontext der Erstellung des Datenaustauschformats Darst. 60: Erfolgsfaktoren bei der Erstellung des Datenaustauschformats Darst. 61: Klassifizierte Erfolgsfaktoren bei der Erstellung des Datenaustauschformats Darst. 62: Kontext der Erstellung der Simulationsspezifikation Darst. 63: Erfolgsfaktoren bei der Erstellung der DIN SPEC für mikroskopische Entfluchtungsanalysen Darst. 64: Klassifizierte Erfolgsfaktoren bei der Erstellung der DIN SPEC für mikroskopische Entfluchtungsanalysen Darst. 65: Kontext der Erstellung der Securitymodellierungstechnik Darst. 66: Erfolgsfaktoren bei der Erstellung der Securitymodellierungstechnik Darst. 67: Arbeitsplan zur Erstellung der DIN SPEC im Bereich Logistik Darst. 68: Ausführlicher Zeitplan zur Erstellung der DIN SPEC im Bereich Logistik Darst. 69: Zeitplan zur Erstellung des CWA Darst. 70: Partner des Projekts SCUTUM Darst. 71: Umsetzung des Projekts SCUTUM Darst. 72: Inhalte des Standardisierungsvorhabens von SCUTUM Darst. 73: Partner des Projekts Smart-CM Darst. 74: Erstellungsprozess des CWA Darst. 75: Erkenntnisse aus ausgewählten externen Fallstudien Darst. 76: Ausgewählte Probleme der Sicherheitsforscher und Lösungen in den Fallstudien Darst. 77: Empfehlungen für Teilnehmer des Forschungsprogramms für die Vorbereitung und Initiierung von Normungs- und Standardisierungsvorhaben Darst. 78: Empfehlungen für Teilnehmer des Forschungsprogramms Phase Entwicklung Darst. 79: Empfehlungen für Teilnehmer des Forschungsprogramms Phase Veröffentlichung, Anwendung und Überarbeitung Darst. 80: Strategische Empfehlungen für das Forschungsprogramm

14

15 Abkürzungsverzeichnis BDSG Bundesdatenschutzgesetz BMVBS Bundesministerium für Verkehr, Bau und Stadtentwicklung BPolG Bundespolizeigesetz BSI Bundesamt für Sicherheit in der Informationstechnik BVerfG Bundesverfassungsgericht CCMC CEN-CENELEC Management Centre CCTV Closed-circuit television CEN Comité Européen de Normalisation CENELEC Comité Européen de Normalisation Electrotechnique CWA CEN Workshop Agreement Darst. Darstellung DB Deutsche Bahn DIN Deutsches Institut für Normung DIN SPEC DIN Spezifikation DIS Draft International Standard DKE Deutsche Kommission Elektrotechnik Elektronik Informationstechnik ECAC European Civil Aviation Conference ECHR European Convention for the Protection of Human Rights and Fundamental Freedoms EN Europäische Norm ETSI European Telecommunications Standards Institute FB Fachbericht FRAND fair, reasonable and nondiscriminatory (terms) ICS International Classification for Standards ICT siehe IKT IEC International Electrotechnical Commission IKT Informations- und Kommunikationstechnologien IMO International Maritime Organisation IPC International Patent Classification IPR Intellectual Property Rights ISO International Organization for Standardization IT Informationstechnologien ITU International Telecommunication Union IWA Internationale Workshop Agreement JTC Joint Technical Committee KRITIS Nationalen Strategie zum Schutz KRITischer Infrastrukturen MBO Musterbauordnung MVSTätt VO Muster-Versammlungsstättenverordnung NA Normungsausschuss NIST National Institute of Standards and Technology NSS Normen, Spezifikationen und Standards NP New (Work ITEM) Proposal OASIS Organization for the Advancement of Structured Information Standards OMB Office of Management and Budget PAS Publicly Available Specification 15

16 PbD PET pren PIA RAND SC TC TETRA TR TS UDHR UK VDI VDI/VDE W3C WG Privacy by Design Privacy Enhancing Technologies project of European Norm Privacy Impact Assessment reasonable and nondiscriminatory (terms) Sub Committee Technical Committee Terrestrial Trunked Radio Technical Report Technical Specification Universal Declaration of Human Rights Unterkomitee Verein Deutscher Ingenieure Verein Deutscher Ingenieure/Verband der Elektrotechnik Elektronik Informationstechnik e.v. World Wide Web Consortium Working Group Nachweis Titelbild: Fotolia 16

17 1. Vorwort Sowohl in Deutschland als auch international besteht ein großer Bedarf nach Normen, Spezifikationen und Standards im Bereich der zivilen Sicherheit, vgl. z.b. ECORYS (2009), Europäische Kommission (2008, 2011), European Council (2010), ESRIF (2009), CREATIF (2009, 2011), DIESIS (2010) sowie Sáez et al. (2009). Unabhängig von der spezifischen Betrachtung von Sicherheitstechnologien wird die Rolle von Normen und Standards für den Technologiestandort Deutschland anschaulich von Blind und Gauch (2009) anhand eines Branchenbeispiels gezeigt 1. Obwohl die Entwicklung von security-bezogenen Normen, Spezifikationen und Standards weltweit durch ein großes Engagement gekennzeichnet ist, ist nicht immer (eine) wünschenswerte deutsche Interessenvertretung gegeben (VDI/VDE-IT, 2009:221). Im Positionspapier des wissenschaftlichen Programmausschusses zum nationalen Sicherheitsforschungsprogramm wird daher die Bedeutung deutscher Normungs- und Standardisierungsprozesse für die Entwicklung eines europäischen Marktes für Sicherheitsprodukte betont (vgl. Thoma, 2010:9). Das vorliegende Normungshandbuch wurde für die Forscher im zivilen Sicherheitsforschungsprogramm der Bundesregierung entwickelt. Als wichtige Grundlagen zur Ermittlung des zu adressierenden Informationsbedarfs dienten die Studien InfraNorm (2011) und (2012), die im Sicherheitsforschungsprogramm durchgeführt wurden. Forschern und Organisationen, die in der zivilen Sicherheitsforschung tätig sind, soll das Handbuch helfen, auf Grundlage ihrer Forschungsergebnisse erfolgreich Normen und Spezifikationen zu erarbeiten. Dabei soll es ihnen auch die Möglichkeit geben, zwischen unterschiedlichen strategischen Gestaltungsoptionen auszuwählen. Eine weitere Zielsetzung besteht in der Förderung der Zusammenarbeit zwischen der zivilen Sicherheitsforschung und dem Deutschen Institut für Normung. Zu diesem Zweck bietet das Handbuch Einblick in die Voraussetzungen von Sicherheitsforschern sowie Unterstützung für den FuE-Ergebnistransfer in Normen und Spezifikationen im Security-Kontext. Konkret werden in dem vorliegenden Handbuch insbesondere die folgenden Fragen aufgegriffen: Wie können Organisationen bzw. Forscher des Sicherheitsforschungsprogramms aus ihren Forschungsarbeiten erfolgreich Normen und Spezifikationen entwickeln? Welche Empfehlungen sind für die Durchführung der Forschungsprojekte ableitbar? Welche Risiken bestehen in Normungs- und Standardisierungsprozessen der zivilen Sicherheit und wie können diese Risiken minimiert werden? Welche Hinweise sind für ausgewählte technologische Schwerpunktbereiche generierbar? Welche speziellen Empfehlungen können für kleine und mittelgroße Unternehmen gegeben werden? Wie können Privacy- und Datenschutzaspekte in der security-bezogenen Normung und Standardisierung auf geeignete Weise adressiert werden? Welche Maßnahmen erweisen sich im Umgang mit eigenen und fremden geistigen Eigentumsrechten als günstig? 1 Konkret betrachten die beiden Forscher dabei den Bereich Nanotechnologie. 17

18 Das Handbuch ist in elf Kapitel gegliedert. Nach diesem einführenden Kapitel stellt Kapitel 2 den Forschungskontext dar. Ausgehend von einem Diskurs des Sicherheitsbegriffs werden die Inhalte von Sicherheitstechnologien und -dienstleistungen erläutert und das Programm Forschung für die zivile Sicherheit vorgestellt. Kapitel 3 bietet eine Einführung in die Normung und Standardisierung. Dabei werden die Merkmale von Normen und Spezifikationen sowie ihre grundsätzliche Erarbeitung auf nationaler, europäischer und internationaler Ebene dargestellt. In Kapitel 4 wird die Relevanz der Normung für die Sicherheitsforschung aufgezeigt. Dabei werden sowohl industriepolitische Ziele erläutert als auch die vielfältigen Vorteile beschrieben, welche durch die Beteiligung an Normungs- und Standardisierungsprozessen erzielt werden können. Kapitel 5 dient der Beschreibung allgemeiner Strategien für die sicherheitsbezogene Normung und Standardisierung. Dabei werden Empfehlungen zur Integration von Normungsaktivitäten in die Forschung sowie geeignete Umsetzungshilfsmittel dargestellt. Die rechtlichen Rahmenbedingungen der security-bezogenen Normung und Standardisierung bilden den Inhalt von Kapitel 6. Im Mittelpunkt stehen dabei Regelungen in den Bereichen Datenschutz und Privacy sowie ihre Anwendung im Security-Kontext. Kapitel 7 gibt ausführliche Informationen zur Integration ethischer Aspekte in die sicherheitsbezogene Normung und Standardisierung. Ausgewählte Normen und Spezifikationen in den Bereichen Privacy, Datenschutz und Datensicherheit werden erörtert. Darüber hinaus wird eine detaillierte Betrachtung der Themen Privacy Impact Assessments, Privacy by Design und Privacy Enhancing Technologies vorgenommen. Kapitel 8 erörtert die Rahmenbedingungen zum Umgang mit geistigen Eigentumsrechten in der Normung bzw. Standardisierung. Es werden sowohl eigene als auch fremde Eigentumsrechte thematisiert. Dabei stehen patentbezogene Themen im Mittelpunkt. Relevante Regelungen von Normungsorganisationen, wie z.b. das FRAND-Prinzip, werden ausführlich erläutert. Zur Verdeutlichung der Chancen der Normung und Standardisierung, Vertiefung der Umsetzungsprozesse und Ermittlung von Erfolgsfaktoren werden in Kapitel 9 und 10 zehn Normungs- und Standardisierungsvorhaben anhand von Fallstudien dargestellt. Die Fallstudie in Kapitel 10.5 wurde dabei gemeinsam mit den niederländischen Forscherinnen Tineke M. Egyedi (Delft University of Technology, Department of Infrastructures, TPM Faculty) und Anique Hommels (Maastricht University, Faculty of Arts and Social Sciences - Department of Technology and Society Studies) erarbeitet. Kapitel 11 dient der Zusammenfassung und Darstellung von Empfehlungen für die relevanten Adressatenkreise der Normung und Standardisierung im Sicherheitsforschungsprogramm. 18

19 2. Kontext des Handbuchs 2.1. Der Begriff Sicherheit Dem deutschen Begriff Sicherheit stehen im englischen Sprachgebrauch die beiden Termini Safety und Security mit unterschiedlichen Bedeutungen gegenüber. Für dieses Handbuch ist es wichtig, die Unterschiede beider Begriffe zu berücksichtigen. Thoma (2010) grenzt sie wie folgt voneinander ab: Safety behandelt die Verhinderung ( ) durch Unfälle verursachten Schadens, bei Security geht es um die Verhinderung böswillig zugefügten Schadens (Thoma, 2010:6). Sack (2007) differenziert beide Begriffe etwas ausführlicher wie folgt: (Safety umschreibt) die Summe aller Maßnahmen zur Abwehr von Gefahren aus technischem Versagen oder menschlichem (fahrlässigem) Fehlverhalten. Die wesentlichen Arbeitsgebiete sind Anlagensicherheit, Brandschutz sowie Arbeitssicherheit und in der Regel gehört auch die Arbeitsmedizin dazu (Sack, 2007:21). Security im funktionalen Sinn ist die Abwehr von Gefahren, die aus regelwidrigem Verhalten (einschließlich krimineller Angriffe) ( ) entstehen. Das kann von der Nichteinhaltung innerbetrieblicher Regelungen über den Diebstahl von Unternehmenseigentum bis hin zum terroristischen Angriff gehen. Dahinter steht jedoch immer ein vorsätzliches menschliches Handeln (Sack, 2007:21). Die Grenze von der Safety zur Security wird entsprechend Sack (2007) dort überschritten, wo menschliches Fehlverhalten vom noch Fahrlässigen in das Vorsätzliche übergeht, bis hin zu dem Punkt, wo Menschen bewusst und zielgerichtet die Sicherheitseinrichtungen außer Kraft setzen, um einen Schadenseintritt zu bewirken (Sack, 2007:21). In diesem Handbuch stehen die Entwicklung von Spezifikationen und Normen zum Schutz vor beabsichtigten Angriffen, und damit der Security -Aspekt, im Zentrum. Eine europäische, englischsprachige Definition für den Begriff Security wurde durch die Europäische Kommission (2011:1) vorgestellt: The security concept here includes, among others, protection against threats by terrorism, severe and organised crime, natural disasters, pandemics and major technical accidents. Ergänzend wird in dem Dokument darauf hingewiesen, dass der Bereich Verteidigung ( defence ) von der security-spezifischen Normung und Standardisierung ausgeschlossen ist (vgl. Europäische Kommission, 2011:1). Den vom Terminus Safety abgegrenzten Security- Begriff weiterführend unterscheidet die Europäische Kommission zwei Arten von Security: a) security of the society (public security, öffentliche Sicherheit) und b) ICT (information and communication technology) security (IT-Sicherheit). Security of the society (öffentliche Sicherheit) beinhaltet dabei vier Elemente: 19

20 Security of the citizens (Sicherheit der Bevölkerung), Security of infrastructures and utilities (Infrastruktursicherheit), Border security (Grenzsicherheit) sowie Restoring security and safety in case of crisis (Wiederherstellung der Sicherheit in Krisenfällen). Mit Ausnahme der Kryptographie, die als Schlüsselelement aller Sicherheitsapplikationen betrachtet wird, wird der Schutz von ICT nicht zum Bevölkerungsschutz gezählt. Daher wird er in einer separaten Kategorie betrachtet (siehe Europäische Kommission, 2011:2). In der DIN SPEC werden der Begriff Security entsprechend der o.g. Definition von Sack wie folgt definiert: Security: Abwehr von Gefahren, die aus regelwidrigem Verhalten (einschließlich krimineller Angriffe) zum Nachteil des Unternehmens oder einer anderen Einrichtung entstehen In einer ergänzenden Anmerkung wird entsprechend Sack (2007) darauf hingewiesen, dass das regelwidrige Verhalten von der Nichteinhaltung innerbetrieblicher Regelungen über den Diebstahl von Unternehmenseigentum bis hin zum terroristischen Angriff gehen kann, wobei den Handlungen immer ein vorsätzliches menschliches Handeln vorausgeht. Den Begriff Safety umschreibt die DIN SPEC in Anlehnung an Sack (2007) als die Summe aller Maßnahmen zur Abwehr von Gefahren aus technischem Versagen oder menschlichem (fahrlässigem) Fehlverhalten. Ergänzend werden in der DIN SPEC die wesentlichen Anwendungsgebiete von Safety beschrieben: Anlagensicherheit, Brandschutz sowie Arbeitssicherheit und Arbeitsmedizin. Des Weiteren wird auf die zuvor beschriebene Abgrenzung zwischen Safety und Security in Sack (2007) verwiesen. Den beiden Definitionen der DIN SPEC wird in dem vorliegenden Handbuch gefolgt Sicherheitstechnologien und -dienstleistungen Inhalte und Marktchancen Sicherheitstechnologien und -dienstleistungen fokussieren sowohl den Schutz vor vorsätzlichen Störungen bzw. exogenen Sicherheitsrisiken (Security) als auch vor zufälligen Schadensfällen bzw. endogenen Sicherheitsrisiken (Safety). Mit der zivilen Sicherheit sind wichtige Zukunftsmärkte und eine überproportional wachsende Branche verbunden. VDI/VDE/IT (2009:21) folgend basiert diese auf acht Segmenten, vgl. Darst. 1: 20

21 Kontrollen und Gefahrstoff-/ Elementeerkennung Systeme, Technologien und Dienstleistungen zum Schutz vor Diebstahl, Einbrüchen und Überfällen einschließlich Videosysteme Identifikation, Authentifizierung einschließlich Biometrie und RFID Systeme, Technologien und Dienstleistungen zur Information und Kommunikation über Gefährdung bzw. im Gefährdungsfall IT-Sicherheit Ausstattung für Tätige im Bereich zivile Sicherheit (Polizei, Feuerwehr etc.) Systeme, Technologien und Dienstleistungen zum Schutz vor Brand, Gas, Rauch Ermittlungen und Forensik Quelle: VDI/VDE/IT (2009:21) Darst. 1: Segmente des Marktes für zivile Sicherheitslösungen Das derzeitige Volumen des globalen Marktes für zivile Sicherheitstechnologien und -dienstleistungen wird auf 100 Milliarden Euro geschätzt, wobei mit einem weltweiten Wachstum von mindestens 5 % pro Jahr gerechnet wird (Bolduan, 2010). Für das Jahr 2015 wird in Deutschland von einem Umsatzvolumen von über 31 Milliarden Euro und einem Wertschöpfungsanteil von rund 21,5 Milliarden Euro ausgegangen (VD/VDE/IT, 2009:9). Die zivile Sicherheit ist Element der Hightech-Strategie 2020 für Deutschland. Sie gilt dabei als eins von fünf Bedarfsfeldern, die als Reaktion auf globale Herausforderungen definiert wurden. Ziel der Hightech-Strategie ist es, Leitmärkte zu schaffen, die Zusammenarbeit zwischen Wissenschaft und Wirtschaft zu vertiefen und die Rahmenbedingungen für Innovationen weiter zu verbessern. Ein Teilziel besteht dabei darin, Deutschland zum Vorreiter für wissenschaft- und technikbasierte Lösungen auf dem Sicherheitsgebiet zu etablieren (vgl. BMBF, 2010) Das Programm Forschung für die zivile Sicherheit der Bundesregierung Ziel des Sicherheitsforschungsprogramms der Bundesregierung ist, durch die Entwicklung innovativer Lösungen die zivile Sicherheit der Bürgerinnen und Bürger zu erhöhen und den Standort Deutschland in diesem Bereich zu stärken. Derzeit befindet sich das Programm in der zweiten Förderphase. Die erste, fünfjährige Programmphase umfasste den Zeitraum 2007 bis Die Förderung wurde dabei in fünf Programmlinien konzentriert (vgl. BMBF, 2009): "Szenarienorientierte Sicherheitsforschung" Technologieverbünde "Gesellschaftliche Dimensionen der Sicherheitsforschung" "internationalen Kooperation" für Sicherheitslösungen, die gemeinsame Herausforderungen mit anderen Staaten adressieren "KMU-innovativ" zur gezielten Förderung kleiner und mittlerer Unternehmen 21

22 Das zweite Rahmenprogramm "Forschung für die zivile Sicherheit baut auf den Themen der ersten Programmphase auf (vgl. BMBF, 2011). In Kap. 2.5 wird das Projekt InfraNorm beschrieben, das in der ersten Programmphase gefördert wurde Das Projekt InfraNorm Der Name InfraNorm steht für ein Querschnittsprojekt im Themenfeld Schutz von Verkehrsinfrastrukturen des Programms Forschung für die zivile Sicherheit der Bundesregierung. Das Projekt wurde von der Entwicklungsbegleitenden Normung (EBN) des DIN e.v. und dem Fachgebiet Innovationsökonomie der Technischen Universität Berlin durchgeführt. Es kooperierte mit den zehn BMBF-geförderten Verbundprojekten AISIS, SKRIBT, ORGAMIR, SinoVE Management, VeRSiert, Critical Parts, VESPER, V-SICMA, FluSs und SiVe und hatte das Ziel, die Erarbeitung von Normen und Standards für den Schutz der Verkehrsinfrastrukturen einzuleiten. Konkret verfolgte InfraNorm folgende Ziele: Veröffentlichung von DIN-Spezifikationen Vorbereitungen für eine weitergehende europäische oder internationale Normung bei dem Europäischen Komitee für Normung (CEN) bzw. der International Organization for Standardization (ISO) Erarbeitung eines Normungshandbuchs für Forschungsprojekte, welches auch in allen weiteren Themenbereichen des Sicherheitsforschungsprogramms von Nutzen ist. Aufgrund der letztgenannten Zielsetzung wurde das vorliegende Handbuch entwickelt Die Entwicklungsbegleitende Normung (EBN) im DIN e.v. In den folgenden Abschnitten wird die Entwicklungsbegleitende Normung des Deutschen Instituts für Normung (DIN) e.v. im Kontext der Aufgaben des DIN e.v. (vgl. Darst. 2) vorgestellt. Um das definierte Tätigkeitsprofil geeignet wiederzugeben, basieren diese Abschnitte vorrangig auf Beschreibungen des DIN e.v. 2 Mit der Entwicklungsbegleitenden Normung (EBN) bietet das DIN eine Plattform, die innovative Vorhaben dabei unterstützt, Normen und Spezifikationen zu erarbeiten. Zunehmend müssen diese schon während der laufenden Entwicklungen auf Anforderungen aus der Praxis reagieren. Diesen Trend reflektierend, setzt die EBN bereits in der FuE-Phase an, wodurch der Wissens- und Technologietransfer gefördert und beschleunigt werden kann. Die EBN umfasst dabei alle Aktivitäten, die darauf abzielen, das Standardisierungspotenzial von strategischen, grundlegend innovativen Produkten und Dienstleistungen frühzeitig zu identifizieren, Standardisierungsprozesse einzuleiten und ihre Ergebnisse der Öffentlichkeit zugänglich zu machen (vgl. DIN, 2009a). Dabei bietet EBN die in Darst. 3 aufgeführten Leistungen. 2 Aus pragmatischen Gründen wird in den folgenden Abschnitten auf die Kennzeichnung direkter Zitate verzichtet. 22

23 Profil Das DIN e.v. ist ein privatwirtschaftlich organisierter, gemeinnütziger Verein, der allen Interessierten die Möglichkeit zur Erarbeitung von Normen und Spezifikationen bietet. Zielgruppen Zu den Mitgliedern zählen Unternehmen, Verbände, Behörden sowie Institutionen aus Industrie, Handel, Handwerk und Wissenschaft. Für die Erarbeitung von Normen und Sicherheitsbestimmungen in den Bereichen Elektrotechnik, Elektronik und Informationstechnik ist die die Deutsche Kommission Elektrotechnik Elektronik Informationstechnik (DKE) zuständig. Ihre Arbeitsergebnisse sind integraler Bestandteil des Deutschen Normenwerks (vgl. DKE, 2012). Inernationales Engagement Das DIN vertritt die Interessen Deutschlands in europäischen und internationalen Normungsprozessen. Die wichtigsten Kooperationen betreffen die europäischen Normungsorganisationen CEN, CENELEC (Comité Européen de Normalisation Electrotechnique) und ETSI (European Telecommunications Standards Institute) sowie die internationalen Organisationen ISO, IEC (International Electrotechnical Commission) und ITU (International Telecommunication Union). Die Mitarbeiter des DIN organisieren nationale Normungsprozesse sowie die deutsche Beteiligung auf europäischer und internationaler Ebene. Darst. 2: Merkmale und Aufgaben des DIN e.v. Begleitung innovativer Vorhaben, insbesondere geförderter Forschungsvorhaben Einbringung der Anforderungen aus der Praxis in die Forschung Netzwerkaufbau zur Kommunikation, Kooperation und zum Erfahrungsaustausch Unterstützung bei der Schaffung von Spezifikationen Aufzeigen des Normungs- und Standardisierungspotenzials laufender Projekte Anregung und Initiierung von Normungs- und Standardisierungsvorhaben: national, europäisch und auf internationaler Ebene Ableitung von Handlungsempfehlungen und Erstellung von Leitfäden Quelle: DIN (2009a, 2010a, 2011b) Darst. 3: Aufgaben der Entwicklungsbegleitenden Normung des DIN e.v. Bereitstellung von Informationen über bestehende Normen und Spezifikationen Bereitstellung einer Infrastruktur für Normung und Standardisierung Entwicklung von Konzepten für Diffusion, Transfer und Nachhaltigkeit Verwertung von Forschungsergebnissen In besonderer Weise ist die Entwicklungsbegleitende Normung auf die Entwicklung von DIN-Spezifikationen spezialisiert, vgl. weiterführend Kap

24

25 3. Definitionen, Inhalte und Klassifikationen der Normung und Standardisierung 3.1. Definitionen von Normen und Standards Normen und Standards, gelten als entscheidende Säulen der Industriegesellschaft und internationaler Technologiesysteme (vgl. z.b. Blind, 2004). Die International Normungsorganisation ISO beschreibt eine Norm als: document, established by consensus and approved by a recognized body, that provides, for common and repeated use, rules, guidelines or characteristics for activities or their results, aimed at the achievement of the optimum degree of order in a given context (ISO/IEC Guide 2 "Standardization and related activities - General vocabulary, ISO/IEC, 2009b). Ergänzend wird dabei der Hinweis gegeben: Standards should be based on the consolidated results of science, technology and experience, and aimed at the promotion of optimum community benefits. Der Prozess der Standardsetzung, die Standardisierung, wird von de Vries definiert als: activity of establishing and recording a limited set of solutions to actual or potential matching problems directed at benefits for the party or parties involved balancing their needs and intending and expecting that these solutions will be repeatedly or continuously used during a certain period by a substantial number of the parties for whom they are meant (de Vries, 1999:161). Im deutschen Sprachraum werden die Begriffe Normen, Spezifikationen und Standards unterschieden. Die Konstrukte Norm und Normung werden wie folgt definiert: (Eine Norm ist ein) Dokument, das mit Konsens erstellt und von einer anerkannten Institution angenommen wurde und das für die allgemeine und wiederkehrende Anwendung Regeln, Leitlinien oder Merkmale für Tätigkeiten oder deren Ergebnisse festlegt, wobei ein optimaler Ordnungsgrad in einem gegebenen Zusammenhang angestrebt wird (DIN EN 45020). Normung ist die planmäßige, durch die interessierten Kreise gemeinschaftlich durchgeführte Vereinheitlichung von materiellen und immateriellen Gegenständen zum Nutzen der Allgemeinheit (DIN, 1994b). Konsens hat dabei die folgende Bedeutung: allgemeine Zustimmung, die durch das Fehlen aufrechterhaltenen Widerspruches gegen wesentliche Inhalte seitens irgendeines wichtigen Anteils der betroffenen Interessen und durch ein Verfahren gekennzeichnet ist, das versucht die Gesichtspunkte aller betroffenen Parteien zu berücksichtigen und alle Gegenargumente auszuräumen (DIN EN Normung und damit zusammenhängende Tätigkeiten - Allgemeine Begriffe). 25

26 Entsprechend der DIN EN: stellt der Konsens der betroffenen Interessen eine wichtige Grundlage der Normung dar. Für die Entwicklung einer Spezifikation besteht diese Anforderung entsprechend Darst. nicht. Der Prozess der Standardisierung wird in der DIN 820-3: wie folgt abgegrenzt: technische Regelsetzung ohne zwingende Einbeziehung aller interessierten Kreise und ohne die Verpflichtung zur Beteiligung der Öffentlichkeit. Die Definition wird um die folgende Anmerkung ergänzt: In der Deutschen Normungsstrategie wird der Erarbeitungsprozess von Spezifikationen zur Unterscheidung von der (voll konsensbasierten) Normung im Deutschen als Standardisierung bezeichnet. Die Abgrenzung zwischen Normung und Standardisierung weiterführend wird in Deutschland zwischen den drei Regelarten Normen, Spezifikationen und Standards unterschieden. Normen werden in Gremien des DIN in Vollkonsensentscheidungen aller interessierten Kreise erarbeitet. Quelle: in Anlehung an Gaub (2009:36) Darst. 4: Abgrenzung von Normen, Spezifikationen und Standards Neben der konsensbasierten Normung werden DIN-Spezifikationen (DIN SPEC) in bereits existierenden Normenausschüssen oder in projektbezogenen Gremien erstellt. Dabei erfol- 26

27 gen die Arbeiten nicht zwingend unter Einbeziehung aller interessierten Kreise und führen daher schneller zu einem Ergebnis. Standards werden von einem Zusammenschluss von Firmen oder Verbänden ohne Beteiligung des DIN erarbeitet. Im englischen Sprachraum gibt es für die deutschen Begriffe Norm und Normung keine eigenen Bezeichnungen Inhalte der Normung und Standardisierung Normung und Standardisierung können als Prozesse verstanden werden, welche durch drei miteinander interagierende Aktionsstränge gekennzeichnet sind: Design (D), Sinnstiftung (S) und Verhandlung (Negotiation, N) (Fomin et al., 2003). Sie bestehen aus den Phasen Initiierung, Anforderungsdefinition, Ressourcenallokation, Entwicklung der technologischen Details und Implementierung des Regelwerks. Beim Design (D-Element) geht es um die Entwicklung technischer Alternativen sowie um die Evaluation ihrer möglichen Problemlösungsbeiträge. Gleichzeitig haben Normung und Standardisierung soziale Merkmale (N-Element) und bezwecken ein Verhandlungsergebnis zwischen den Akteuren. Zu berücksichtigen sind dabei Aktivitäten zur Identifikation und Gewinnung von Akteuren, Bedingungen, unter denen sie eine Einigung erreichen können, Interaktionen in Abhängigkeit von der jeweiligen Interessenkonstellation Einflüsse spezifischer Rahmenbedingungen sowie der Bedeutungsgrad, ein Ergebnis zu erzielen. Der Erfolg eines Verhandlungsergebnisses bedarf einer gemeinsamen Sinnstiftung. Dies wird durch das S-Element abgebildet. Zentrale Themenstellungen sind dabei der potentielle Nutzen sowie weitere zu erwartende Auswirkungen der Normung und Standardisierung. Normung und Standardisierung als Design-Aktivität Die Design-Aktivitäten umfassen die Generierung, Bewertung und Auswahl verschiedener Optionen in enger Interaktion mit den anderen beiden Prozesssträngen. Eine zielführende Teilnahme am Verhandlungsprozess setzt dabei voraus, dass die Akteure über geeignete Kriteriensets zur Evaluation der Designalternativen verfügen (vgl. Darst. 5). Normung und Standardisierung als Sinnstiftung Sinngebung meint im Normungs- und Standardisierungskontext, historische Entwicklungen und Erkenntnisse zu verstehen und mit der Technologie in einem neuen Kontext zusammenzuführen. Dabei geht es auch um ein Erkennen zu überwindender Barrieren. Die Sinnstiftung resultiert aus der Schaffung neuer Referenzrahmen und Zwecke. Die frühen Normungs- und Standardisierungsphasen bezwecken die Erarbeitung der neuen Sinnstiftung. Später machen Veränderungen im Umfeld, Verhandlungsverläufe, neue technologische Möglichkeiten, Nutzererfahrungen und wirtschaftliche Informationen eine kontinuierliche Weiterentwicklung und ggf. Erweiterung der Regelwerksinhalte erforderlich. 27

28 Phase Design Sinnstiftung Verhandlung Initiierung Definition von Zielen und Rahmenbedingungen Definition der Bedeutung eingebundener technologischer Komponenten Abstimmung des Normung- oder Standardisierungskonzepts mit den involvierten Parteien Anforderungsdefinition Ressourcenallokation Entwicklung der technologischen Details Implementierung des Regelwerks Verhandlung zwischen konkurrierenden technischen Lösungen, Gewinnung von Promotoren zur Verbreitungsunterstützung für das Regelwerk Entwicklung alternativer Implementierungspläne und Verhandlung von Implementierungsmöglichkeiten Entwicklung und Verhandlung von Business Cases für Anwender Technologieeinführung auf Basis des Regelwerks Definition der Anforderungen an das Regelwerk sowie funktioneller und technischer Merkmale Ressourcenplanung und -freigabe Gestaltung technologischer Spezifika für jede Funktionalität und jedes Merkmal des Regelwerks Erzeugung von Commitment zur Implementierung von Testversionen des Regelwerks Technologiedesign und Einführung mit dem Ziel, eine intensive Anwendung des Regelwerks zu erwirken Beschreibung der Ziele des Regelwerks, Definition seiner Merkmale und Funktionalitäten im möglichen Anwendungskontext Verinnerlichung generell erforderlicher Ressourcen, der implizierten Komplexität und der Ungewissheit Übereinkommen über technologische Alternativen und ihren Einfluss auf die Konstruktion der Teilprodukte Schaffung eines gemeinsamen Verständnisses über die Spezifikation und ihre Ziele bei den Implementierenden Schaffung eines produktbzw. dienstleistungsspezifischen Images des Regelwerks für die Anwender Quelle: in Anlehnung Fomin et al. (2003) Darst. 5: Allgemeine Normungs- und Standardisierungsphasen und Aktivitäten Abstimmung der Vorstellungen der Akteure über die Ziele der Norm, der Spezifikation oder des Standards Entwicklung von Szenarien zur Gewinn- und Ressourcenverteilung 3 Normung und Standardisierung als Verhandlung Im Rahmen der Verhandlungen werden spezifische Designs ausgewählt sowie relevante geistige Eigentumsrechte (Intellectual Property Rights) und geeignete Lösungsansätze identifiziert. Die Aktivitäten erfordern Voraussicht sowie Fähigkeiten zur Gestaltung von Rahmenbedingungen, die eine geeignete Anwendung des Regelwerks ermöglichen. In den einzelnen Prozessphasen sind die Aktivitätsbereiche durch unterschiedliche Aufgaben gekennzeichnet. Die Verhandlungsprozesse können durch strukturelle Mechanismen gefördert werden, z.b. durch Designmodularität oder eine geeignete -strukturierung (vgl. Benkler, 2001). Erfolgreiche Normungs- und Standardisierungsprozesse sind schließlich durch drei Merkmale gekennzeichnet: 3 entfällt i.d.r. bei der formellen Normung und Standardisierung 28

29 Es wurde ein Konzept entwickelt, welches normative Qualitätskriterien 4 erfüllt und in der Praxis angewendet werden kann Involvierte Akteure verstehen das Regelwerk und seine Auswirkungen auf ihre laufenden Aktivitäten und können es erfolgsfördernd einsetzen Das Einigungsergebnis fördert das mit dem Regelwerk verbundene technologische Netzwerk (vgl. Fomin et al., 2003). Im Rahmen dieses Handbuchs werden Empfehlungen für erfolgreiche Normungs- und Standardisierungsprozesse dargestellt Klassifikationen von Normen und Standards Die zuvor erörterte Unterscheidung von Normen, Spezifikationen und Standards stellt eine grundlegende Basis zur Abgrenzung der Regelwerke dar. In Kap. 3.4ff werden Normen und Spezifikationen im Detail erörtert. In der englischsprachigen Literatur wird für die deutschen Begriffe Normen und Standards ausschließlich der Begriff Standards verwendet wird, Spezifikationen werden i.d.r. nicht separat abgegrenzt. Zur geeigneten Wiedergabe der internationalen Literatur wird in diesem Kapitel mehrfach ausschließlich der Begriff Standard verwendet, worin die anderen beiden Regeltypen des deutschen Sprachraums eingeschlossen sind. Unter geografischer Perspektive werden nationale, europäische und internationale Regelwerke unterschieden. Sie werden in Kap. 3.4ff erörtert, wobei DIN-Normen und DIN SPECs gleichzeitig nationale Regelwerke abbilden. Eine Auswertung der aktuellen Literatur zeigt ferner, dass Normen, Spezifikationen und Standards anhand weiterer Faktoren klassifizierbar sind. Zwei ausgewählte Typologien werden nachstehend beschrieben. Alternative Klassifikationen bietet z.b. de Vries (1999). Klassifikation anhand ökonomischer Effekte David (1987) gliedert Normen, Spezifikationen und Standards entsprechend der ökonomischen Probleme, welche sie lösen. Er unterscheidet zwischen Kompatibilitäts-, Referenzund Qualitätsaspekten. Die ursprünglichen Kategorien werden später um die Informationsfunktion erweitert (vgl. Swann, 2000). Darst. 6 zeigt die Merkmale der einzelnen Kategorien. Die Zuordnung eines Regelwerks in mehrere Kategorien ist möglich (vgl. Grindley, 1995). Die einzelnen Regeln haben in Innovationsprozessen unterschiedliche Bedeutung. Gauch (2006) entwickelte daher ein Modell, welches ihnen die Prozessphasen zuordnet, in denen ihre jeweilige Einführung am bedeutsamsten ist, vgl. Darst Einen ausführlichen Überblick zu technischen Qualitätskriterien gibt Folmer (2012). 29

30 Aufgabe der Normen / Spezifikationen / Standards Kompatibilität und Interoperabilität Qualität und Sicherheit Variantenreduktion Bereitstellung von Informations- und Messgrößen Merkmale Beschreibung erforderlicher Produkteigenschaften für das Zusammenwirken in einem technischen System Begünstigung von Komponenteninnovationen Definition von Sollgrößen, z.b. für Funktionsstufen, Leistungsvarianz und Effizienz Reduktion von Transaktionskosten der Nachfrager Begrenzung der Merkmalsausprägungen eines Produkts / Systems, z.b. hinsichtlich Größe und Qualität Begünstigung von Economies-of-Scale Reduktion von Investitionsrisiken Bereitstellung von Informationen zur Beschreibung, Quantifizierung und Evaluierung von (Produkt-) Merkmalen Begünstigung der Senkung von Transaktionskosten zwischen Herstellern und Käufern Quelle: eigene Darstellung nach Tassey (1982, 2000) und Swann (2000) Darst. 6: Klassifikation von Normen, Spezifikationen und Standards anhand ökonomischer Effekte Eine ausführliche Erörterung der ökonomischen Vorteile der Normung und Standardisierung für Deutschland wird von Blind et al. (2011b) geboten. Klassifikation anhand des Entwicklungszeitpunkts Unter dem Blickwinkel des Entwicklungszeitpunkts erarbeitete Sherif (2001) eine weitere Typologie. Den Ausgangspunkt bildet der Einführungszeitpunkt des Regelwerks im Vergleich zum relevanten Technologielebenszyklus. Dabei werden drei Ausprägungsmerkmale unterschieden: anticipatory (im Voraus), participatory (gleichzeitig) und responsive (reagierend). Seine im Folgenden verwendete Begriffsverwendung Standard schließt im deutschen Sprachraum auch Normen und Spezifikationen ein. Antizipatorische Normen, Spezifikationen und Standards ermöglichen die Entwicklung neuer Märkte, wenn einzelne Firmen nicht über die erforderlichen Ressourcen verfügen oder durch Regularien gehindert werden. Partizipatorische Normen, Spezifikationen und Standards werden gemeinsam mit dem Prototypen eines neuen Produkts in der Implementierungs- und Testphase geschaffen und ermöglichen Kompatibilität. Responsive Regelwerke dienen dazu, ein erfolgreich vermarktetes Produkt oder einen Service offiziell zu einer Norm, einer Spezifikation oder einem Standard zu erklären (vgl. Sherif, 2001). Im Rahmen von InfraNorm sind v.a. antizipatorische und partizipatorische Spezifikationen und Normen relevant. 30

31 3.4. Merkmale und Erstellung von DIN-Normen Die Normungsarbeit im DIN beginnt entsprechend Darst. 7 mit der Einreichung eines Normungsantrags. Er muss begründet sein und sollte bereits einen konkreten Vorschlag enthalten. Anschließend klärt ein zuständiger Ausschuss des DIN, ob für die geplante Norm ein Bedarf besteht, ob eine nationale, europäische oder internationale Normung erfolgen soll und ob ausreichende Finanzmittel für die Erarbeitung zur Verfügung stehen. Falls möglich, ist eine internationale oder europäische Normerarbeitung vorzunehmen. Wird zu einem Thema auf europäischer Ebene bereits eine vergleichbare Norm erarbeitet, dürfen aufgrund der "Stillhalteverpflichtung" auf nationaler Ebene keine gleichartigen Arbeiten erfolgen. Die Öffentlichkeit wird über neue Normungsarbeiten informiert, kann hierzu Stellung nehmen und das Interesse an der Mitarbeit formulieren. Quelle: DIN e.v. Darst. 7: Entstehung einer DIN-Norm Beschließt ein zuständiger Ausschuss die Erarbeitung einer nationalen Norm und erhält die Zustimmung eines zuständigen Lenkungsgremiums, so kann er ein erstes Manuskript eines Norm-Entwurfs erarbeiten. Diesem können weitere folgen, bis nach dem Konsensprinzip beschlossen wird, einen Vorschlag für eine Norm öffentlich zur Diskussion zu stellen. Der DIN e.v. veröffentlicht den Vorschlag anschließend in einem Norm-Entwurf und bittet die Öffentlichkeit, innerhalb einer bestimmten Frist Stellungnahmen abzugeben. Im nächsten Schritt wird über die Stellungnahmen im zuständigen Ausschuss beraten bis Konsens über 31

32 den Inhalt der geplanten Norm erreicht wird 5. Anschließend wird das Manuskript für die Norm verabschiedet und die Norm veröffentlicht. Die Erarbeitung von DIN-Normen basiert entsprechend der DIN 820 und Darst. 8 auf zwölf Grundsätzen und wird nach dem Konsensverfahren durchgeführt. Für die Ergebnisse der konsensbasierten Normung wurden der Darstellung entsprechend sechs Qualitätskriterien definiert. Grundsätze der Normungsarbeit Qualitätsmerkmale der konsensbasierten Normung Freiwilligkeit Kartellrecht breite Beteiligung Verbraucherakzeptanz Konsens Legitimation Einheitlichkeit Produkthaftung Widerspruchsfreiheit Akzeptanz der KMU Sachbezogenheit Globale Akzeptanz Stand der Wissenschaft Stand der Technik Wirtschaftlichkeit allgemeiner Nutzen Internationalität Öffentlichkeit Quelle: in Anlehnung an Bahke (2002) 6 Darst. 8: Grundsätze und Qualitätsmerkmale der Normung Die Akzeptanz der DIN-Produkte basiert auf der Berücksichtigung des Standes der Technik, auf dem Einbezug aller interessierten Kreise sowie auf der Nutzung des Konsensverfahrens. Die speziellen Prozessschritte mit Einsprüchen, Schlichtungs- und Schiedsverfahren geben der konsensbasierten Normung eine besondere Legitimation. Des Weiteren können DIN- Normen zur Konkretisierung technischer Sachverhalte in Gesetzen und Verordnungen herangezogen werden und dienen damit auch der Produkthaftung. Deutsche Normen werden weltweit wertgeschätzt (vgl. DIN, 2012b) Merkmale und Erstellung von DIN SPECs Merkmale von DIN SPECs Eine DIN SPEC ist ein öffentlich zugängliches Dokument, das Festlegungen für Regelungsgegenstände materieller und immaterieller Art oder Erkenntnisse, Daten usw. aus Normungs- oder Forschungsvorhaben enthält und welches durch temporär zusammengestellte 5 Stellungnehmende, deren Einwänden nicht hinreichend gefolgt wird, haben innerhalb bestimmter Fristen das Recht, ein Schlichtungsverfahren zu beantragen (vgl. DIN, 2012a). 6 Bahke nennt als siebentes Qualitätsmerkmal der konsensbasierten Normung den Aspekt weltweite Verfügbarkeit. Dieses Merkmal ist auch weiter gegeben, wird aber nicht mehr gesondert herausgestellt. 32

33 Gremien unter Beratung des DIN und seiner Arbeitsgremien oder im Rahmen von CEN- Workshops ohne zwingende Einbeziehung aller interessierten Kreise entwickelt wird (Gaub, 2009:36). In Darst. 9 werden DIN-Normen und DIN-Spezifikationen voneinander abgegrenzt. DIN-Norm (DIN) DIN-Spezifikation (DIN SPEC) Hohe Akzeptanz Hoher volkswirtschaftlicher Nutzen Reflektiert den Stand der Technik Schnell verfügbar Effektive Diffusion von Innovationen Einstieg in die Normung Quelle: DIN e.v. Darst. 9: Abgrenzung von DIN-Normen und Spezifikationen Ein besonderer Vorteil einer DIN SPEC liegt laut Darst. 10 im erzielbaren Zeitgewinn. Im Gegensatz zu einer Norm kann sie bereits nach rund sechs Monaten Erarbeitungszeit genutzt werden. 2 Jahre [t] Deutsche Norm (DIN ) Zeitgewinn von ca. 75% Manuskript für Norm Norm-Entwurf 0,5 Jahre Manuskript für Normentwurf Veröffentlichung Norm-Vorlage Erstellung Antrag DIN SPEC-Erstellung Überprüfung der DIN SPEC i.d.r. nach 3 Jahren Normungsantrag Normerstellung Überprüfung der Norm bzgl. Ihrer Aktualität nach spätestens 5 Jahren 100% Konsensgrad Quelle: DIN e.v. Darst. 10: Zeitgewinn bei der DIN SPEC-Erstellung Aufgrund der verkürzten Erstellungsprozesse bietet die DIN SPEC eine spezielle Möglichkeit, um dem Wunsch nach schnellen Standardisierungsverfahren, der in einer Umfrage im Sicherheitsforschungsprogramm ermittelt wurde (vgl. InfraNorm, 2011) zu entsprechen. Es werden vier Formen von DIN SPECs unterschieden: DIN SPEC nach dem PAS-Verfahren, DIN SPECs nach dem CWA-Verfahren, DIN SPECs nach dem Verfahren einer Vornorm und DIN SPECs nach dem Verfahren eines Fachberichtes. Darst. 11 gibt einen Überblick. 33

34 Art der DIN SPEC Beschreibung Art der DIN SPEC Beschreibung DIN SPEC nach dem PAS-Verfahren öffentlich verfügbare Spezifikation (Publicly Available Specification, PAS), beschreibt Produkte, Systeme oder Dienstleistungen, indem sie Merkmale definiert und Anforderungen festlegt DIN SPEC nach dem Verfahren einer Vornorm Ergebnis der Normungsarbeit, das wegen bestimmter Vorbehalte zum Inhalt, Abweichungen im Erarbeitungsprozess oder mit Rücksicht auf die europäischen Rahmenbedingungen vom DIN nicht als Norm herausgegeben wird DIN SPEC nach dem CWA-Verfahren nationale Übernahme einer CEN/ CENELEC-Vereinbarung, die innerhalb offener CEN/CENELEC-Workshops entwickelt wird, spiegelt den Konsens zwischen den registrierten Personen und Organisationen wieder, die für den Inhalt verantwortlich sind 7 DIN SPEC nach dem Verfahren eines Fachberichtes Sachstandsbericht, der Erkenntnisse, Daten usw. aus Normungsvorhaben enthält, dient der Information über den Stand der Normung 8 und kann bei späteren Normungsarbeiten als Grundlage herangezogen werden Quelle: SPEC DIN (2012a) Darst. 11: Arten von DIN SPECs Im Rahmen des Projekts InfraNorm wurden DIN SPECs nach dem PAS-Verfahren entwickelt. Ihre Entwicklung wird vertieft in beschrieben. Für die Erstellung von DIN SPECs wendet das DIN entsprechend Darst. 12 Fünf goldene Wettbewerbsregeln der Standardisierung an. vor Einleitung einer Standardisierungsinitiative werden die Öffentlichkeit und die interessierten Kreise zur Beteiligung aufgefordert es wird ein offener, transparenter und diskriminierungsfreier Zugang zu den Gremien bzw. Arbeitstreffen, insbesondere für kleine und mittlere Unternehmen 9, gewährleistet die Teilnehmer verfügen über dieselben Informations- und Beteiligungsrechte oder zumindest über einen offenen, transparenten und diskriminierungsfreien Zugang zu unterschiedlichen Beteiligungsformen die Möglichkeit zur Entwicklung konkurrierender Spezifikationen bleibt offen die Nutzung der Ergebnisse erfolgt zu angemessenen und diskriminierungsfreien (Lizenz-) Bedingungen Quelle: in Anlehnung an SPEC DIN (2012a) Darst. 12: Goldene Wettbewerbsregeln der Standardisierung für DIN SPECs Die Einhaltung dieser Regeln wird durch das DIN sichergestellt (vgl. SPEC DIN, 2012b). Grundsätzlich gilt für alle DIN SPECs entsprechend Darst. 12 die Zulässigkeit eines gegenseitig im Widerspruch Stehens, wodurch alternative Lösungsansätze parallel in der Praxis erprobt werden können. Widersprüche zu Normen dürfen DIN SPEC jedoch nicht beinhalten (vgl. SPEC DIN, 2012a). 7 Vgl. weiterführend Kap Dies schließt auch den Stand anderer internationaler und regionaler Normungsorganisationen ein. 9 u.a. durch gestaffelte Mitgliedsbeiträge 34

35 Erstellung von DIN SPECs nach dem PAS-Verfahren In diesem Kapitel werden die Arbeitsschritte bei der Erstellung einer DIN SPEC nach dem PAS-Verfahren sowie die Aufgaben des Obmanns und des Standardisierungsgremiums beschrieben. Arbeitsschritte DIN SPECs nach dem PAS-Verfahren werden durch temporär zusammengestellte Gremien unter Beratung des DIN erarbeitet (SPEC DIN, 2012a). Ihre Entwicklung ist entsprechend Darst. 10 durch vier Phasen gekennzeichnet: Antragstellung, Erstellung, Veröffentlichung und Überprüfung (vgl. SPEC DIN, 2012c). Ausgangspunkt für die Erstellung einer DIN SPEC (PAS) ist eine Anfrage an den Bereich Innovation des DIN oder einen Normenausschuss den DIN (vgl. SPEC DIN, 2012a). Ein detailliert beschriebenes Konzept ist dabei noch nicht erforderlich. Dies wird vielmehr in Rahmen der Erarbeitung des Geschäftsplans mit Unterstützung des DIN konkretisiert. Mit der Normenrecherche wird sichergestellt, dass keine widersprüchlichen Normen zu diesem Thema existieren. Wurde das Thema des Vorhabens durch das DIN bestätigt, wird vom Initiator des Vorhabens ein Geschäftsplan erstellt, der insbesondere Informationen zu den Zielen und zur geplanten Durchführung enthält. Durch das DIN wurde hierfür eine Vorlage entwickelt, die über die Webseite sowie im Anhang dieses Handbuchs verfügbar ist. Das DIN steht bei der Erstellung des Geschäftsplans beratend zur Seite. Nach seiner Fertigstellung wird der Geschäftsplan für einen Monat kostenlos auf der Webseite des Beuth Verlags angeboten. Er muss dabei den Hinweis enthalten, dass der Erarbeitungsprozess der geplanten DIN SPEC (PAS) für alle offen steht und ein Teilnahmewunsch innerhalb einer angegebenen Veröffentlichungsfrist an mitgeteilt werden muss. Nach Ablauf der Veröffentlichungsfrist wird das Arbeitsgremium zusammengesetzt. Ein Vertrag regelt Urhebernutzungsrechtefragen und Finanzierung des Vorhabens. Die Erstellung der Spezifikation umfasst anschließend ein Kick-off-Meeting, die Manuskripterstellung, eine optionale Entwurfsveröffentlichung sowie die optionale Einarbeitung der Kommentare. Im Kick-off-Workshop wird der Geschäftsplan unter Berücksichtigung eventuell eingegangener Kommentare aus der Veröffentlichungsphase verabschiedet. Es ist möglich, bei diesem Treffen einen Obmann bzw. eine Obfrau zu wählen. Speziell bei größeren Gremien wird dies ausdrücklich empfohlen. Sowohl die Verabschiedung des Geschäftsplans als auch die Wahl der Obperson erfolgen durch Mehrheitsbeschluss. Die Manuskripterstellung stellt die Haupttätigkeit der Spezifikationsentwicklung dar. Die Phase endet, wenn im Gremium Einigkeit über die Inhalte der DIN SPEC erreicht ist. Optional kann das Manuskript zur öffentlichen Kommentierung für zwei Monate auf der Webseite des Beuth Verlags veröffentlicht werden. Dadurch können weitere Anregungen aufgenom- 35

36 men werden. Die Kommentare werden nach Ablauf der Frist im Gremium diskutiert und ggf. in das Manuskript eingearbeitet. Die Möglichkeit der Entwurfsveröffentlichung bietet den Vorteil, weitere Informationen und Feedback zu erhalten. Allerdings ist dies in der Regel mit einem längeren Erstellungsprozess verbunden. Im nächsten Schritt wird die DIN SPEC (PAS) im Gremium durch Mehrheitsbeschluss verabschiedet. Im Rahmen der Veröffentlichung wird die DIN SPEC offiziell über den Beuth Verlag nutzbar gemacht. Insofern noch nicht erfolgt, wird das Dokument in ein DIN SPEC-Template übertragen und anschließend der DIN-Prüfstelle übermittelt. Im Normalfall wird es anschließend an den Beuth Verlag zur Produktion und Veröffentlichung übergeben. In Darst. 13 werden die Erarbeitungsschritte von DIN SPECs zusammengefasst. Quelle: DIN e.v. Darst. 13: Prozessablauf bei der Erstellung einer DIN SPEC Die Überprüfung wird nach drei Jahren durch das DIN e.v. ausgelöst. Kommentare, die während der Laufzeit einer DIN SPEC (PAS) eingegangenen sind, werden dabei berücksichtigt. Die Überprüfung kann zu vier Ergebnissen führen: Überarbeitung der DIN SPEC, Rückzug, Beibehaltung sowie Erstellung eines Normungsantrags auf Grundlage der Spezifikation. Die Vorbereitung eines europäischen bzw. internationalen Dokuments ist ebenfalls möglich (vgl. SPEC DIN, 2012a). 36

37 Aufgaben Obmann Der Obmann einer Arbeitsgruppe wird i.d.r. auf dem Kick-off-Meeting des betreffenden Standardisierungsprojekts gewählt. Er hat bei der Erstellung des Dokuments insbesondere drei Aufgaben: die inhaltliche Leitung des Gremiums, die Sicherstellung der Konsensfindung sowie die Sicherstellung, dass der Geschäftsplan eingehalten wird (vgl. SPEC DIN, 2012d). Insofern die Überprüfung der DIN SPEC zur Neuausgabe eines anderen DIN-Produkts oder zur Vorbereitung eines europäischen bzw. internationalen Dokuments führt, sind die Aufgaben der Obmänner in der Richtlinie für Normenausschüsse im DIN Deutsches Institut für Normung e.v., Abschnitt 10.9 definiert. Standardisierungsgremium Das Standardisierungsgremium ist bei der Entwicklung von DIN SPECs entsprechend Darst. 14 grundsätzlich für sieben Aufgaben verantwortlich: Obmann und dessen Stellvertreter wählen als zentrale Aufgabe Spezifikationen erarbeiten und verabschieden bei der Bearbeitung von Zertifizierungsaufgaben mitwirken Spezifikationen des Zuständigkeitsbereichs, falls erforderlich, erläutern, überarbeiten, ergänzen oder ihre Zurückziehung beschließen Arbeitsprogramm einschließlich Prioritätensetzung und Zeitplanung aufstellen sicherstellen, dass die Spezifikationen im Einklang mit dem Stand der Wissenschaft / Technik und mit Deutschen Normen stehen Quelle: in Anlehnung an DIN e.v. Darst. 14: Aufgaben der Standardisierungsgremien bei der Erstellung einer DIN SPEC bei der Öffentlichkeitsarbeit unterstützen Falls die Überprüfung der DIN SPEC zur Neuausgabe eines anderen DIN-Produkts oder zur Vorbereitung eines europäischen bzw. internationalen Dokuments führt, sind die Aufgaben der Arbeitsausschüsse in der Richtlinie für Normenausschüsse im DIN e. V., Abschnitt 10.6 definiert. Dabei sind insbesondere die folgenden zusätzlichen Aufgaben zu berücksichtigen: sich rechtzeitig an der einschlägigen europäischen und internationalen Normungsarbeit aktiv beteiligen, insbesondere Vorschläge für die europäische und internationale Normungsarbeit entwickeln und bearbeiten sowie Delegierte zu Sitzungen der relevanten Arbeitsgremien bestimmen, deutsche Stellungnahmen zu europäischen und internationalen Norm-Entwürfen und gegebenenfalls zu entsprechenden normativen Dokumenten abgeben, über die Annahme oder Ablehnung Europäischer und internationaler Normen beschließen (Auszug aus der DIN, 2009b mit Relevanz für DIN SPECs). 37

38 Erstellung weiterer Formen von DIN SPECs Die nachstehend dargestellten Spezifikationen umfassen DIN SPECs nach dem CWA- Verfahren, nach Vornorm-Verfahrensregeln sowie Fachbericht-Verfahrensregeln: DIN SPEC nach dem CWA-Verfahren Ausgangspunkt für die Erstellung einer DIN SPEC nach dem CWA-Verfahren ist eine Anfrage an den Bereich Innovation des DIN (vgl. im Folgenden SPEC DIN, 2013). Im Anschluss wird dem Initiator ein Angebot in Abhängigkeit seiner Präferenzen erstellt. Bei der inhaltlichen Initiierung, Betreuung und Erarbeitung einer DIN SPEC (CWA) arbeitet das DIN eng mit CEN zusammen. Wurde der Antrag angenommen, erarbeitet der Initiator unter Nutzung einer von CEN bereitgestellten Vorlage den Geschäftsplan. Dieser wird auf der Webseite von CEN mindestens 60 Tage zur Kommentierung bereitgestellt. Im Anschluss organisiert CEN gemeinsam mit dem DIN einen Kick-off-Workshop. Der Geschäftsplan dient als Arbeitsgrundlage. Die Workshop-Teilnehmer entscheiden über die Berücksichtigung der eingegangenen Kommentare zum Geschäftsplan sowie über die Ernennung des Workshop-Leiters bzw. der Workshop-Leiterin (Chairperson). Anschließend beginnt die inhaltliche Arbeit. Diese kann sich auf einen Workshop beschränken, aber auch Folgeworkshops einschließen. Ergebnis der Arbeiten ist ein Manuskript für das CWA. Die Teilnehmer des Workshops haben die Möglichkeit, zeitlich variabel eine Kommentierungsphase festzulegen. Dabei wird das Manuskript den nationalen CEN-Mitgliedern sowie Besuchern der CEN-Webseite für mindestens 60 Tage zur Kommentierung zur Verfügung gestellt. Im Anschluss werden die eingegangenen Kommentare berücksichtigt bzw. begründet abgelehnt. Die Chairperson entscheidet nach der Kommentarbearbeitung und einer Beratung mit den Mitgliedern, wann Konsens erreicht ist und erwirkt auf dieser Grundlage eine Abstimmung zur Verabschiedung des CWA. Abschließend stellt es CEN seinen Mitgliedern zur Verfügung. Die Veröffentlichung als DIN SPEC (CWA) basiert auf der nationalen Publikationsmöglichkeit von CWAs. Eine kostenlose Veröffentlichung über die Webseite von CEN ist möglich. Spätestens nach drei Jahren veranlasst CEN eine Überprüfung. Als Ergebnis wird das CWA dabei beibehalten, überarbeitet, zurückgezogen oder in ein anderes normatives Regelwerk umgewandelt. DIN SPEC nach Vornorm-Verfahrensregeln Eine DIN SPEC (Vornorm) wird ebenso wie eine Norm auf Grundlage der DIN-Norm 820 erstellt, in welche die Grundsätze der Normungsarbeit im DIN ausführlich beschrieben werden. Ihr Unterscheidungsmerkmal jedoch, dass ihre Verabschiedung ausschließlich einen Konsens des betreffenden Arbeitsgremiums erfordert. Alle drei Jahre ist eine Überprüfung einer DIN SPEC (Vornorm) notwendig. Dabei wird entschieden, ob die Spezifikation in eine Norm überführt wird, ob sie zurückzuziehen ist, ob sie zu überarbeiten ist oder ob sie unverändert beibehalten wird. Falls sie unverändert beibehalten wird, ist diese Entscheidung jährlich zu überprüfen. 38

39 Fachbericht-Verfahrensregeln DIN SPECs (Fachbericht) dokumentieren Arbeitsergebnisse der Normungsarbeit, die nicht als Norm oder DIN SPEC (Vornorm) herausgegeben werden sollen. Sie werden nach den Regeln der DIN-Norm 820 erarbeitet. Über ihre Herausgabe entscheidet der zuständige Arbeitsausschuss des DIN. In den folgenden Teilkapiteln werden europäische und internationale Normen erörtert Merkmale und Erstellung europäischer Normen Das Augenmerk der Darstellung von Dokumentenarten der europäischen Normungsorganisationen CEN und CENELEC in diesem und dem folgenden Kapitel liegt auf Europäischen Normen, technischen Spezifikationen und CEN/CENELEC Workshop Agreements. Ihre Merkmale werden in Darst. 15 überblickartig dargestellt und anschließend beschrieben. Darüber hinaus veröffentlichen CEN und CENELEC Guides zur europäischen Normung sowie Technical Reports. Weitere Informationen hierzu sind z.b. unter Products/ verfügbar. Die Erarbeitung Europäischer Normen (EN) bildet den Tätigkeitsschwerpunkt von CEN und CENELEC. Eine Europäische Norm (EN) ist ein Standard, der von einer der beiden Organisationen oder auch von ETSI angenommen wurde. Er wird von allen Beteiligten durch ein transparentes, offenes und auf Konsens basierendes Verfahren hergestellt. Europäische Normen sind ein wesentlicher Bestandteil des europäischen Binnenmarktes. Die drei Normungsorganisationen kooperieren mit der Europäischen Kommission und der Europäischen Freihandelsassoziation und unterstützen die europäische Gesetzgebung seitens ihrer Gremien bei der Umsetzung europäischer Richtlinien. Zur Unterstützung ihrer Politik und Gesetzgebung fordert die Europäische Kommission europäische Normungsgremien zuweilen durch Normungsmandate auf, Normen zu entwickeln und anzunehmen. Europäische Normen, die als Reaktion auf ein Mandat entwickelt werden, werden als "harmonisierte Normen" bezeichnet. Europäische Standards werden mit globaler Perspektive erarbeitet. So hat CEN mit ISO das "Wiener Abkommen 10 unterzeichnet, welches die parallele Entwicklung europäischer und 10 Die Wiener Vereinbarung (englisch Vienna Agreement ) ist ein Übereinkommen zur technischen Zusammenarbeit zwischen der ISO und dem CEN. Darin geht es v.a. um die parallele Annahme der Arbeitsergebnisse der Normungsgremien, wobei die Bearbeitung eines konkreten Normungsthemas möglichst nur auf einer Ebene erfolgen soll. Ziel ist, die Normungsarbeit durch geeignete Abstimmungsverfahren gemeinschaftlich durchzuführen und die Ergebnisse gleichzeitig als internationale und als Europäische Normen anzuerkennen. Ein Transfer von Normprojekten bereits zu Beginn eines Vorhabens mit anschließender Parallelabstimmung bei ISO und CEN ist dabei ebenso möglich wie die Abstimmung über fertige Normungsdokumente der jeweils anderen Organisation (vgl. KAN, 2006). Ähnlich der Wiener Vereinbarung zwischen CEN und ISO regelt die Dresdner Vereinbarung zwischen CENELEC und IEC die gemeinsame Planung neuer Normungsvorhaben und Parallelabstimmungen im Laufe eines Normungsverfahrens. CENELEC hat sich dabei verpflichtet, möglichst alle neuen Vorhaben auf internationaler Ebene von der IEC durchführen zu lassen. Die Abstimmung in der IEC findet dabei immer auch parallel bei CENELEC statt, so dass internationale automatisch auch europäische Vorhaben sind. Nur wenn die IEC an einem Vorhaben nicht interessiert ist, wird die Arbeit ausschließlich durch CENELEC 39

40 internationaler Normen ermöglicht. Über 30% der ENs von CEN sind identisch mit ISO- Normen. Diese EN ISO-Normen haben den zweifachen Nutzen der automatischen und einheitlichen Umsetzung in allen CEN-Mitgliedsländern sowie der weltweiten Einsetzbarkeit. Regelwerk/ Merkmal Mögliche Grundlagen Europäische Norm (EN) Nationale Normen Internationale Normen Gemeinsame Erarbeitung mit einer internationalen Norm Initiierung Jede interessierte Partei I.d.R. Mitglieder der nationalen europäischen Normungsorganisationen Entwicklungbeschlusum Technisches Gremi- von CEN/ CENELEC Bei neuen Normungsgebieten ihre Technical Boards Technical Specification (TS) Keine unmittelbare Notwendigkeit oder nicht genügend Konsens für eine Europäische Norm Relevante Technik noch nicht ausgereift genug, noch in der Entwicklung Technisches Gremium von CEN/CENELEC Technisches Gremium von CEN/CENELEC CEN/CENELEC Workshop Agreement (CWA) Bedarf für ein konsensbasiertes Ergebnis und Validierung in einem offenen Prozess Mögliche Basis: Arbeitsergebnisse eines FuE-Projekts Jede interessierte Partei Alle Entscheidungsfreiheit bei den interessierten Parteien Prozess Vorgegebener Ablauf Vorgegebener Ablauf Keine vorgeschriebenen Schritte Veröffentlichungsbeschluss Gewichtete Abstimmung der nationalen CEN/CENELEC- Gewichtete Abstimmung der nationalen CEN/CENELEC- Interessierte Parteien Erarbeitungsdauer Nationale Einführung Mitglieder Mitglieder Richtwert 36 Monate 18 Monate (vgl. Ganesh, 2012) Möglichst unveränderte Einführung, Rückzug entgegenstehender nationaler Normen Keine Verpflichtung zur Übernahme als nationale Norm Keine Pflicht zum Rückzug entgegenstehender nationaler Normen Monate Quelle: in Anlehnung an CEN (2009) Darst. 15: Merkmale europäischer Normen, Spezifikationen und Workshop Agreements Keine Verpflichtung zur Übernahme als nationale Norm Keine Pflicht zum Rückzug entgegenstehender nationaler Normen Die Europäische Normungsarbeit beginnt entsprechend Darst. 16 mit einem Normungsvorschlag. Vorschlagsberechtigt sind Mitglieder der europäischen Normungsorganisationen CEN und CENELEC, wie z.b. das DIN, die Europäische Kommission sowie eine Reihe europäischer und internationaler Organisationen. Als Normungsgrundlage ausgeschlossen sind dabei Arbeitsergebnisse, die sich in einem experimentellen Stadium befinden. Hierfür stehen durchgeführt. Durch die einheitlichen Normen wird auch die Beseitigung technischer Handelshemmnisse auf dem globalen Markt gefördert (vgl. KAN, 2006). 40

41 stattdessen andere normative Instrumente von CEN und CENELEC, insbesondere Technische Spezifikationen und CEN/CENELEC Workshop Agreements zur Verfügung. Quelle: DIN e.v. Darst. 16: Entstehung einer europäischen Norm Bei Zustimmung der betreffenden europäischen Normungsorganisation, einer ausreichenden Mitwirkungsbereitschaft der nationalen Normungsorganisationen und einer Sicherstellung der erforderlichen finanziellen Mittel wird die Arbeit an ein bestehendes Technisches Komi- 41

42 tee vergeben oder falls erforderlichen, ein neues Arbeitsgremium eingerichtet. Mit der Sekretariatsführung wird jeweils eine beteiligte nationale Normungsorganisation betraut. Insofern keine internationale Norm vorliegt, die unverändert als Europäische Norm übernommen werden kann, erarbeitet ein zuständiges Arbeitsgremium ein erstes Manuskript für einen Europäischen Norm-Entwurf. Falls zum Normungsgegenstand bereits internationale oder nationale Normen veröffentlicht wurden, sind diese entsprechend zu berücksichtigen. Dem Entwurf können weitere folgen, bis konsensbasiert beschlossen wird, nationalen Normungsorganisationen einen Vorschlag zur öffentlichen Diskussion zur Verfügung zu stellen. Zu diesem Zweck wird mit der Veröffentlichung des Norm-Entwurfs (pren) eine öffentliche Umfrage eingeleitet. Die Veröffentlichung erfolgt in deutscher, englischer und französischer Sprache. Die nationalen Normungsorganisationen haben anschließend die Möglichkeit, innerhalb von fünf Monaten eine nationale Stellungnahme abzugeben. In Deutschland wird dabei eine deutsche Sprachfassung (Entwurf einer DIN-EN-Norm) zur Stellungnahme veröffentlicht, woraufhin jedermann innerhalb von zwei Monaten Beiträge einreichen kann. Anhand der Stellungnahmen erarbeitet der national zuständige Ausschuss (Spiegelausschuss) im DIN eine nationale Stellungnahme. Auf Grundlage der nationalen Stellungnahmen erstellt das europäische Arbeitsgremium einen Schlussentwurf, der erneut in den drei genannten Sprachen veröffentlicht wird. Anschließend entscheiden die nationalen Normungsorganisationen in einer zweimonatigen Schlussabstimmung über die Annahme als Europäische Norm. In dieser Phase kann der Entwurf nur noch angenommen oder begründet abgelehnt werden. Eine Europäische Norm gilt als angenommen, wenn hierfür mindestens 71% der gewichteten Stimmen 11 der CEN/CENELEC-Mitglieder abgegeben werden. Einen Monat nach einem positiven Abstimmungsergebnis wird eine Europäische Norm automatisch ratifiziert (vgl. DIN, 2012a). Die Entwicklung Europäischer Norm dauert i.d.r. maximal drei Jahre ab Beginn der technischen Arbeiten. Nach ihrer Zulassung werden Europäische Normen auf nationaler Ebene als gleichlautende nationale Normen implementiert und etwaige entgegenstehende nationale Normen zurückgezogen. Eine Europäische Norm ersetzt daher 32 nationale Normen (vgl. cencenelec.eu). 11 Jedem nationalen Teilnehmer der 32 Mitgliedsstaaten bei CEN und CENELEC steht bei Abstimmungen eine festgelegte Anzahl von Stimmen zur Verfügung. Als Bemessungsgrundlage für die Festlegung diente die Bevölkerungsanzahl unter Berücksichtigung einer Korrektur für bevölkerungsärmere Länder. Deutschland, Frankreich, Großbritannien und Italien sind mit je 29 Stimmen am stärksten vertreten, während Island und Malta ausschließlich eine Stimme nutzen können. Die Summe aller Stimmen beträgt 372. Vgl. hierzu =56265& languageid=de. 42

43 3.7. Merkmale und Erstellung europäischer Standards Einführung Entsprechend Darst. 15 umfassen Standards von CEN/CENELEC insbesondere Technische Spezifikationen (TS) und CEN/CENELEC Workshop Agreements (CWAs), die in CEN/CENELEC Workshops erstellt werden. Eine Technische Spezifikation (TS) kann entstehen, wenn keine unmittelbare Notwendigkeit oder nicht genügend Konsens für eine Europäische Norm besteht oder wenn eine Technik noch nicht ausgereift genug ist bzw. sich noch in der technischen Entwicklung befindet. Für die nationalen Normungsgremien implizieren diese Spezifikationen keine Verpflichtung zur Übernahme als nationale Norm (vgl. CEN, 2009). CEN/CENELEC Workshops gehen auf schnelle, relativ informelle, konsensbildende Gruppen zurück und stehen jeglichen Interessenten zur direkten Beteiligung offen (vgl. im Folgenden CEN, 2010a). Alle Marktteilnehmer (Industrie, KMU, Forschungsinstitute, Dienstleister, Verwaltungen, Nutzer und Verbraucher) sind ungeachtet ihrer geografischen Herkunft angesprochen. Ausdrücklich sind dabei auch Nicht-Europäer eingeschlossen. Das Workshop-Konzept bietet Akteuren mit einem Problemlösungsbedarf, welcher durch eine Standardisierung adressiert werden kann, die Möglichkeit, Kontakte zu Marktteilnehmern in einer ähnlichen Situation aufzunehmen und in einem offenen Rahmen ein validiertes, konsensbasiertes Ergebnis zu entwickeln. In besonderer Weise werden CEN/CENELEC Workshops zum Transfer von FuE-Projektergebnissen verwendet. Sie bilden daher den Schwerpunkt der folgenden Betrachtungen. Die in den Workshops erarbeiteten Dokumente werden als CEN oder CENELEC Workshop Agreements (CWA) veröffentlicht (vgl. CEN/CENELEC, o.d.: 5). Es handelt sich um technische Vereinbarungen, die den Konsens der registrierten, für seine Inhalte verantwortlichen Teilnehmer wiederspiegeln. Die Verfahren zur Etablierung und Durchführung der Workshops sind bewusst auf ein Minimum reduziert. Alle Entscheidungsbefugnisse liegen bei den Betroffenen selbst. CWAs erfüllen Bedürfnisse des Marktes nach einer flexibleren und zeitnahen Alternative zu den traditionellen europäischen Normen (EN). Die Organisation der Workshops erfolgt völlig getrennt von den herkömmlichen Technischen Komitees, die für die Entwicklung der CEN / CENELEC-Normen verantwortlich sind. Durch ihre Offenheit unterscheiden sich die Workshops ferner von Industriekonsortien mit beschränkter Teilnahme, die z.b. de facto- Standards entwickeln. Daher umgehen sie sowohl den Mangel an Offenheit von de-facto- Standards als auch die hohe Formalisierung bei Erstellung einer EN. Industriekonsortien können durch einen CEN Workshop eine breitere Marktakzeptanz ihrer Dokumente erreichen. Es ist möglich, CWAs, falls erforderlich, zu ENs weiterzuentwickeln. CWAs können sowohl mit europäischen Normen als auch untereinander konkurrieren. Bei der inhaltlichen Gestaltung ist dabei eine Einschränkung zu berücksichtigen: bei CENELEC ist es nicht möglich, CWAs zu Safety-Themen zu entwickeln. Vielmehr stellt hier die Erstellung von Normen den gewünschten Konsens aller interessierten Kreise sicher. 43

44 Im Folgenden werden die vier Phasen bei Erstellung eines CWA vertieft. Dabei handelt es sich um die Initiierung, die Entwicklung, eine optionale Kommentarphase sowie die Annahme und Veröffentlichung. Anschließend werden Informationen zur Lebensdauer von CWAs gegeben. Initiierung von CWAs Marktteilnehmer, die entsprechend Darst. 15 einen CEN/CENELEC Workshop starten möchten, sollten Erstkontakte zu einem nationalen CEN/CENELEC-Mitglied, z.b. dem DIN, oder zum CEN-CENELEC Management Centre (CCMC) als für die Workshops verantwortliche Einheit aufnehmen. Der Vorschlag, einen entsprechenden Workshop einzuleiten, wird in einem Businessplan anhand eines von CEN/CENELEC bereitgestellten Musterplans dokumentiert (vgl. hierzu sowie zu den folgenden Ausführungen CEN/CENELEC, 2012a). Der Businessplan wird in der Regel für mindestens 60 Tage zur öffentlichen Stellungnahme veröffentlicht. Er wird anschließend für vier Wochen zur Überprüfung an das Technical Board (BT) übergeben. Wenn keine Einwände von den BT-Mitgliedern erhoben werden, wird das Datum des Kick-off-Meetings bekannt gegeben und der Businessplan wird für 60 Tage auf der Website der Normungsorganisation veröffentlicht. Das Kick-off-Meeting hat das Ziel, einen Konsens über den Businessplan unter den Teilnehmern zu erreichen. Es findet mindestens 60 Tage nach der Veröffentlichung des Vorschlags statt. Die Stellungnahmen, die zwischenzeitlich eingingen, werden vom Sekretariat des Workshops und dem Antragsteller bearbeitet. Das Sekretariat kann durch das CCMC oder ein CEN/CENELEC-Mitglied bereitgestellt werden. Der Vorsitz des Kick-off-Meetings wird zwischen dem Antragsteller und dem CCMC vereinbart. Der angenommene Businessplan gilt für die Teilnehmer des Workshops als verbindlich. Die Teilnehmer des Meetings bestimmen zudem den Workshop-Vorsitzenden und autorisieren das Workshop-Sekretariat, welches entweder von einem CEN/CENELEC-Mitglied oder in Ausnahmefällen vom CCMC gestellt wird. Das CCMC erfasst die Organisationen, welche die Annahme des CWA unterstützen, im Vorwort des CWA. Dies ermöglicht es, seine Unterstützung durch konkrete Marktteilnehmer zu demonstrieren. Die Erarbeitung eines CWA kann auch durch eine virtuelle Projektgruppe vorgenommen werden. Entwicklung von CWAs Der Workshop-Vorsitzende ist verantwortlich für die Sicherstellung der Entwicklung des CWA im Einklang mit den Grundsätzen des verabschiedeten Businessplans und den formulierten Anforderungen an das Dokument. Der angenommene Businessplan definiert die Sprachen, in denen das CWA erstellt und veröffentlicht wird. Bei mindestens einer Sprache muss es sich dabei um eine der Amtssprachen von CEN/CENELEC handeln, d.h. um Englisch, Französisch oder Deutsch. Die Veröffentlichung in einer einzigen dieser Sprachen ist zulässig. 44

45 Zur Erstellung des Dokuments wurde ein Template entwickelt (Link: cenorm/workarea/downloads/downloads.asp). Es wird empfohlen, geleitet vom Sekretariat eine interne Umfrage durchzuführen, um Kommentare der Workshop-Teilnehmer aufzunehmen und zu verarbeiten. Die Entwurfsphase wird als abgeschlossen betrachtet, wenn der Vorsitzende feststellt, dass unter den Workshop-Teilnehmern über den Inhalt des CWA-Entwurfs Konsens erreicht wurde. Optionale Kommentarphase von CWAs Die Implementierung einer externen Kommentarphase wird empfohlen, um die Entwicklung des CWAs so transparent wie möglich zu gestalten. Der Beschluss zur Entwurfsveröffentlichung sollte bereits im Businessplan definiert werden. Ein späterer Beschluss ist jedoch auch möglich. Bei CWAs, die mit öffentlichen Mitteln entwickelt werden, wird die externe Umfrage als obligatorisch erachtet. In derartigen Fällen werden die CEN/CENELEC-Mitglieder über die Verfügbarkeit des Entwurfs auf der CEN/CENELEC-Webseite informiert. Die CEN/CENELEC-Mitglieder können anschließend weitere Maßnahmen vornehmen, um den Entwurf national verfügbar zu machen. Insofern CWAs des CEN Safety-Fragen adressieren, ist die externe Umfrage obligatorisch. Die Mindestdauer der Kommentarphase beträgt 60 Tage. Die Stellungnahmen sind dem Workshop-Sekretariat zu senden und von den Workshop-Teilnehmern (oder der Projektgruppe) zu überprüfen. In Abhängigkeit von dem Ergebnis der Überprüfung der Kommentare schließt sich eine Überarbeitung des CWA-Entwurfs an. Die Revision wird als abgeschlossen betrachtet, wenn der Vorsitzende unter den Workshop-Teilnehmern Konsens über den Inhalt des überarbeiteten Entwurfs feststellt. Annahme und Veröffentlichung von CWAs Wurde unter den Workshop-Teilnehmern Konsens über den Inhalt des Entwurfs erreicht, hat der Vorsitzende die Aufgabe, durch formelle Annahme des CWA eine Unterstützung aller Beteiligten zu erreichen. Dabei werden auch diejenigen Beteiligten einbezogen, die nicht an dem Workshop teilgenommen haben. Die Namen und Organisationen der Teilnehmer, welche die Annahme des CWA unterstützen, werden in seinem Vorwort aufgeführt. Das Dokument wird anschließend an das CCMC übermittelt, welches zur Publikation eine Dokumentennummer vergibt und formelle Ergänzungen vornimmt. Unter bestimmten Umständen können CWAs bei CEN/CENELEC-Mitgliedern und über die CEN/CENELEC-Webseiten unentgeltlich zur Verfügung gestellt werden. 45

46 Überprüfung von CWAs CWAs werden nach drei Jahren überprüft und können in die Entwicklung eines anderen Dokuments münden. Andernfalls kontaktiert das CCMC die ehemaligen Workshop-Teilnehmer nach Zeitablauf mit der Frage, ob eine Verlängerung für weitere drei Jahre gewünscht ist oder das CWA zurückgezogen werden soll Merkmale und Erstellung internationaler Normen und Standards In diesem Kapitel werden Normen und Standards der internationalen Normungsorganisation ISO betrachtet. Dabei werden fünf Dokumentengruppen unterschieden: ISO-Nomen ( Standards ), ISO/PAS (Publicly Available Specifications), ISO/TS (Technical Specifications) sowie IWAs (International Workshop Agreements). Ihre Merkmale werden in Darst. 17 überblickartig dargestellt und anschließend beschrieben. Eine ISO Norm ist ein normatives Dokument, das nach dem Konsensverfahren entwickelt wurde und von der ISO-Mitgliedschaft des zuständigen Ausschusses im Einklang mit Teil 1 der ISO/IEC-Richtlinien anerkannt wurde. Es wurde als Entwurf eines internationalen Standards (Draft International Standard) und/oder als dessen finale Entwurfsfassung (Final Draft International Standard) genehmigt und vom zentralen Sekretariat der ISO veröffentlicht. Den Beginn eines internationalen Normungsvorhabens legt entsprechend Darst. 18 ein Normungsvorschlag eines Mitglieds der ISO, wie z.b. vom DIN, vom Sekretariat eines Technischen Komitees oder Unterkomitees der ISO, von einer internationalen Fachorganisation mit Liaisonstatus, vom Technischen Lenkungsgremium der ISO oder von ihrem Generalsekretär (vgl. DIN, 2012a). Stimmen die auf dem betreffenden Gebiet aktiven nationalen Normungsorganisationen (P- Mitglieder 12 ) dem Vorschlag mit einfacher Mehrheit zu und zeigt eine ausreichende Zahl dieser Mitglieder Bereitschaft zur aktiven Mitwirkung, wird der Vorschlag in das Arbeitsprogramm eines zuständigen Komitees aufgenommen oder es wird, falls erforderlich, ein neues Komitee gegründet. Die Sekretariatsführung obliegt jeweils einem ISO-Mitglied. 12 Participant Members (P-Members/P-Mitglieder) sind aktiv an der Normungsarbeit beteiligt. Sie haben eine Verpflichtung, an den Sitzungen teilzunehmen und über alle formalen Fragen, Anfragen, Entwürfe und Final Draft International Standards abzustimmen. Observing Members (O-Mitglieder/O-Mitglieder) stimmen zu, der Arbeit des Komitees als Beobachter zu folgen und erhalten deshalb die Dokumente des Ausschusses. O-Mitglieder haben das Recht, Stellungnahmen abzugeben und an den Sitzungen teilzunehmen. Eine nationale Normungsorganisation kann beschließen, in einem Ausschuss weder einen P- noch einen O-Mitgliedsstatus einzunehmen. In diesem Fall stehen ihr weder die Rechte noch die Pflichten des betreffenden technischen Komitees (TCs) zu, aber sie behält das Recht, über Draft International Standard und Final International Drafts abzustimmen. Internationale Organisationen können in TCs als "Liaison Organisationen teilnehmen, aber es ist ihnen nicht gestattet, in der Abstimmung im Zusammenhang mit Weiterentwicklung der Norm-Entwürfe abzustimmen (vgl. Morikawa/Morrison, 2004). 46

47 Regelwerk/ Merkmal ISO-Norm Inhalt Konsens der ISO- Mitglieder zu einem normativen Dokument ISO/PAS (Publicly Available Specification) Konsens einer ISO- Arbeitsgruppe zu einem normativen ISO/TS Technical Specification Konsens eines ISO-Komitees zu einem normativen Dokument Dokument Initiierung ISO-Mitglied 13 ISO-Arbeitsgruppe Techn. Komitee / Subkomitee d. ISO P-Mitglied od. Organisation mit Liaison-Status der Kategorie A od. D Entwicklungsbeschluss (Mindestanforderungen) Einfache Mehrheit der P-Mitglieder Prozess 6 Stufen, zwei Möglichkeiten zur Verkürzung Veröffentlichungsbeschluss (Mindestanforderungen) Konsens oder 2/3- Mehrheit der P-Mitglieder Techn. Komitee oder Subkomitee (TC/SC) der ISO ISO/TR Technical Report Ergänzende Informationen zu einem normativen Dokument ISO-Arbeitsausschuss ISO-Arbeitsausschuss 2 Stufen 3 Stufen 2 Stufen: Informationssammlung, Veröffentlichung Einfache Mehrheit der P-Mitglieder Konsens innerhalb eines ISO- Komitees Siehe ISO/PAS Einfache Mehrheit der P-Mitglieder International Workshop Agreement (IWA) Normatives Dokument der ISO, welches in ein/ mehreren Sitzung(en) eines Workshops erstellt wird Interessierte Kreise Keine speziellen Anforderungen Entscheidung durch interessierte Kreise Kein technisches Ausschussverfahren oder vorgegebene Stufen Workshop-spezifische Festlegung Erarbeitungs-dauer Richtwert 36 Monate Richtwert 36 Monate, i.d.r. wenige Mo- <12 Monate möglich i.d.r. < 3 Jahre nate Nationale Einführung Keine Verpflichtung Keine Verpflichtung Keine Verpflichtung Darst. 17: Überblick der Produkte der ISO 13 z.b. nationale Normungsorganisationen, techn. (Sub-) Komitees der ISO, Organisation mit Liaisonstatus, das techn. Lenkungsgremium der ISO, ISO-Generalsekretär

48 Quelle: ISO (2012) Darst. 18: Erstellung von Regelwerken der ISO Anschließend erstellt die zuständige Arbeitsgruppe des Komitees einen Komitee-Entwurf (Committee Draft, CD) zur Übermittlung an die zuständigen Gremien der beteiligten nationalen Normungsorganisationen. Die nationalen Gremien nehmen hierzu innerhalb von drei Monaten schriftlich Stellung. Wird dabei Konsens erreicht, einen Vorschlag öffentlich zur Diskussion zu stellen, wird von der ISO ein Internationaler Norm-Entwurf (Draft International Standard, DIS) in englischer und französischer Sprache zur öffentlichen Umfrage bereitgestellt. Zur Erarbeitung einer nationalen Stellungnahme steht den ISO-Mitgliedern anschließend ein Zeitraum von fünf Monaten zur Verfügung. Ein endgültiger Dokumententext ist erarbeitet, wenn die Kommentare der Mitgliedsorgane im DIS berücksichtigt wurden. Dieser Text wird anschließend zur formellen Abstimmung als Final Draft International Standard (FDIS) veröffentlicht. Wenn der Inhalt von zwei Dritteln der P-Mitglieder bewilligt wird und nicht mehr als ein Viertel aller abgegebenen Stimmen negativ sind, wird der Text genehmigt und vom Zentralsekretariat als internationale Norm in englischer und französischer Sprache veröffentlicht. Die ISO-Mitglieder sind nicht verpflichtet, die internationale Norm in das nationale Normenwerk aufzunehmen. Es steht ihnen frei, die Norm vollständig, modifiziert oder gar nicht national zu übernehmen. Eine Ausnahme ist jedoch gegeben, wenn die Norm im Rahmen der Wiener Vereinbarung (vgl. Kap. 3.6) entstanden ist und durch parallele Abstimmungsverfah- 48

49 ren die gleichzeitige Anerkennung als Internationale und Europäische Norm erlangt hat. Abweichende nationale Normen sind dabei zurückzuziehen (vgl. DIN, 2012a). Als Richtwert sieht die ISO ein Erarbeitungszeitraum von 36 Monaten bis zur Veröffentlichung der Norm vor (vgl. ISO, 2011, DIN, 2012a). Bei Anwendung des s.g. Fast Track-Verfahrens werden die Schritte zur Erstellung einer ISO- Norm reduziert. Eine derartige Verkürzung ist möglich, wenn ein Dokument zu Beginn eines Normungsprojekts bereits einen hohen Reifegrad aufweist, z.b. aufgrund der Entwicklung in einer anderen Organisation. Dabei werden entweder die ersten drei Schritte übersprungen, wobei das Dokument als Draft International Standard (DIS) zur Genehmigung durch die ISO- Mitglieder eingereicht wird, oder es werden die ersten vier Schritte übersprungen, insofern das Dokument durch eine ISO-seitig anerkannte internationale Normungsorganisation entwickelt wurde. Im zweiten Fall wird das Dokument als Final Draft International Standard (FDIS) eingereicht (vgl. ISO, 2011). Eine ISO/PAS (Publicly Available Specification) ist ein normatives Dokument, das den Konsens innerhalb einer Arbeitsgruppe der ISO repräsentiert. Ihre Erstellung wird durch ein Technisches Komitee oder Subkomitee (TC/SC) beschlossen. Diese Entscheidung sollte zeitgleich mit der Zustimmung des entsprechenden New Work Item Proposals (NP, deutsch etwa Vorschlag eines neuen Standardisierungsprojekts ) getroffen werden. Der Text einer ISO/PAS wird durch eine Arbeitsgruppe in einer Vorbereitungsphase entwickelt. Am Ende dieser Phase ist das Dokument zwecks Anerkennung zur Veröffentlichung als PAS beim Technischen Komitee oder Subkomitee, unter dem die Arbeitsgruppe agiert, einzureichen. Die Annahme bedarf der Zustimmung der einfachen Mehrheit der P-Mitglieder. Konkurrierende PAS mit unterschiedlichen technischen Lösungen sind möglich, insofern sie nicht mit bestehenden internationalen Normen im Widerspruch stehen. Die Spezifikationen sollten mindestens alle drei Jahre überprüft werden, um die ISO/PAS für weitere drei Jahre zu bestätigen, Änderungen vorzunehmen, die PAS weiter aufzuarbeiten, eine technische Spezifikation oder eine internationale Norm zu erhalten oder die PAS zurückzuziehen. Nach sechs Jahren sollte eine PAS entweder in eine internationale Norm umgewandelt oder zurückgezogen werden. Bei einer ISO/TS Technical Specification handelt es sich um ein normatives Dokument, das den technischen Konsens innerhalb eines ISO-Komitees repräsentiert. Die Erarbeitung schließt im Unterschied zur PAS auch die Komiteestufe (Committee Stage) ein. In der Komiteestufe wird der Text für eine dreimonatige Abstimmungsphase an alle P-Mitglieder des Komitees zwecks Bestätigung als Technische Spezifikation versendet. Es gibt zwei weitere Entstehungsvarianten, die auf der Webseite der ISO erläutert werden. Konkurrierende technischen Spezifikationen mit unterschiedlichen technischen Lösungen sind möglich, sofern sie nicht im Widerspruch zu bestehenden internationalen Normen stehen. 49

50 Die Spezifikationen sollten vom technischen Komitee bzw. Subkomitee spätestens drei Jahre nach ihrer Veröffentlichung überprüfen werden. Ziel ist dabei, wenn möglich, die Veröffentlichung einer internationalen Norm. Der Begriff ISO/TR Technical Report steht für ein aussagefähiges Dokument, welches zusätzlich zu den möglichen Inhalten eines Regelwerks der ISO ergänzende Informationen enthält. Wenn ein Ausschuss Informationen zugunsten eines genehmigten Work Items oder mehrerer Work Items gesammelt hat, kann er mit einfacher Mehrheit der P-Mitglieder eine Veröffentlichung in Form eines technischen Berichts beschließen. Die Umsetzung erfordert die Zustimmung des Generalsekretärs der ISO, ggf. in Absprache mit dem technischen Vorstand. Ein IWA International Workshop Agreement ist ein ISO-Dokument, welches in ein oder mehreren Sitzung(en) eines Workshops, nicht durch das technische Ausschussverfahren hergestellt wird. Es dient der Adressierung eines sich rasch entwickelnden Marktbedarfs o- der einer anderen Anforderung von öffentlichem Interesse. Alle interessierten Kreise können ein IWA vorschlagen und an der Entwicklung teilnehmen. Ein ISO-Mitgliedsorgan wird angewiesen, die Workshop-Sitzung(en) zu organisieren und auszuführen. Die Teilnehmer wirken anschließend direkt an der Erstellung des Dokuments mit und müssen keine nationale Delegation durchlaufen. Ein IWA kann zu jedem Thema hergestellt werden. Es ist in weniger als zwölf Monaten entwickelbar und dient der Adressierung eines sich rasch entwickelnden Marktbedarfs oder einer anderen Anforderung von öffentlichem Interesse. IWAs können als Vorstufen für internationale Normen verwendet werden (vgl. ISO, 2011). 50

51 4. Die Interrelation zwischen Normung und Sicherheitsforschung 4.1. Technologiepolitische Zielsetzungen zur Verknüpfung von Normung und Sicherheitsforschung Eine wichtige Grundlage zur Bedeutungsbestimmung der Normung und Standardisierung für den Standort Deutschland bildet das im Jahr 2007 verabschiedete Normungspolitische Konzept der Bundesregierung. Normungs- und Standardisierungsmaßnahmen in der zivilen Sicherheitsforschung sind in diesem Konzept durch zweifache Zielsetzungen verankert: (Nutzung der) Normung und Standardisierung zur Unterstützung der Umsetzung und Verbreitung von Innovationen und Forschungsergebnissen und (Verstärktes Aufgreifen der) Normung zur Entlastung und Beschleunigung der Gesetzgebung (Die Bundesregierung, 2007). In Verbindung mit der zweitgenannten Zielsetzung sollen Normen die Durchsetzung von im besonderen öffentlichen Interesse liegenden Zielen unterstützen (Die Bundesregierung 2007). Die Sicherheit kritischer Infrastrukturen, ein Schwerpunktthema des Sicherheitsforschungsprogramms, ist eines von fünf Gebieten, dem dabei besondere Bedeutung zugeschrieben wird. Ein wichtiges weiteres Element des Normungspolitischen Konzepts ist die Umsetzung der Zielvorgaben durch Leitvorhaben in ausgewählten Themenfeldern. Leitvorhaben in der Sicherheitsforschung werden dabei ebenfalls gesondert erwähnt (vgl. Die Bundesregierung, 2007). Die Hightech-Strategie 2020 für Deutschland (BMBF, 2010) führt diese Bestrebungen weiter. In Kap. 2 wurden die entsprechenden Inhalte im Bereich der zivilen Sicherheit erörtert. Normen und Spezifikationen stellen eine wichtige Komponente bei der Umsetzung der Hightech- Strategie dar. Konkret heißt es dabei: Normung und Standardisierung werden in Deutschland zunehmend integraler Bestandteil des Forschungs- und Innovationsprozesses, denn frühzeitig eingeleitet fördern sie den Transfer von Forschungsergebnissen in marktfähige Produkte und Dienstleistungen und den schnellen Marktzugang von Innovationen. Eine aktive Beteiligung an Normungs- und Standardisierungsaktivitäten verschafft der deutschen Wirtschaft zudem globale Wettbewerbsvorteile (BMBF, 2010). Auf europäischer Ebene wurde die bedeutende Rolle von Standards in der Innovationsförderung u.a. in der COM(2008)113 Towards an increased contribution from standardisation to innovation in Europe unterstrichen, vgl. Europäische Kommission (2008). Auf die besondere Bedeutung von Security-Standards wies das Grünbuch der Europäischen Kommission über Detektionstechnologien (EG, 2006) bereits im Jahr 2006 hin, z.b. durch Betonung der Bedeutung von Detektionstechnologien zum Schutz kritischer Infrastrukturen: In sicherheitsrelevanten Bereichen besteht eine enorme Bandbreite an Einsatzmöglichkeiten für Detektionstechnologien und damit zusammenhängende Technologien. Mindeststandards sind daher erforderlich (EG, 2006:7). 51

52 In der Strategic Vision for European Standards der Europäischen Union, COM(2011)311, wird die Bedeutung von Sicherheitsstandards gesondert herausgestellt (vgl. EUR-Lex, 2011): It is especially vital that in areas where Europe is the driving innovation force in developing new types of tradable goods, services and technologies for example in areas such as electric vehicles, security, energy efficiency and smart grids that the creation of the European standard be carried out rapidly with the aim of asserting it as an international standard. This would maximise first mover advantage and increase the competitiveness of European industry (S.2f). The Commission will extend the strategic use of standardisation ( ) in the field of civil security and protection (S.12). Den Zitaten zufolge werden Normen und Standards insbesondere zur Realisierung von Marktvorteilen (Nutzung von Pioniervorteilen und Stärkung der Wettbewerbsfähigkeit) als bedeutsam erachtet. Auf S.10 und 12 des Dokuments wird auf die besondere Bedeutung von s.g. Fast Track Procedures hingewiesen: The Commission will demand that European standards for innovative products and services will be quickly elaborated and adopted, for example in the field of ( ), security and emobility (S.10). Accelerating standardisation is key in creating a European-wide market for security products and is already a priority for the Commission. In the security domain, speed is paramount to counter new and emerging threats, full use should therefore be made of fast track procedures for standardisation. DIN SPECs beruhen auf derartigen Verfahren. Spezielle Maßnahmen zur Verknüpfung von Normung und Forschung wurden auch auf europäischer Ebene implementiert und mit der Definition weiterer strategischer Ziele verbunden. So hob der Ausschuss für Binnenmarkt und Verbraucherschutz in seinem Bericht zur Zukunft der Europäischen Normung (2010/2051(INI)) die Notwendigkeit zur Verbesserung eines gemeinsamen Verständnisses und einer Kooperation zwischen Normern, Innovatoren, Wissenschaftlern und Forschungsgruppen hervor. Gleichzeitig sollten insbesondere staatlich geförderte Forschungs- und Innovationsvorhaben ihre Ergebnisse in Form von Normen veröffentlichen. Zur Adressierung dieser Aspekte wurde im Oktober 2008 die gemeinsame Arbeitsgruppe STandardization, Innovation and Research (STAIR) von CEN und CENELEC beschlossen. Ziel ist es, einen integrierten Ansatz ( Integrated Approach ) von Forschung, Innovation und Standardisierung durchzusetzen. Somit soll erreicht werden, dass die Normung und Standardisierung in allen Phasen eines Forschungs- oder Innovationsprojektes berücksichtigt wird (siehe Darst. 19). 52

53 FuE & Innovation Identifizieren neuer Bereiche Überprüfung bestehender Normen und Normungsbedarfe Programmentwürfe und -vorschläge Nutzung der Rolle von Normen als Auswahlkriterium Durchführung von Projekten Identifizieren des Normungspotenzials von Projektergebnissen Schutz, Verbreitung und Umsetzung von Projektergebnissen Normung Normen und Normung als Transferkanal Auswertung von Programmen und Projekten Normen und Normung als Bewertungskriterium für Ergebnisse Quelle: in Anlehnung an CEN CENELEC STAIR (2011:3) Darst. 19: Integrated Approach Normung zur Unterstützung von FuE und Innovation Zunächst sollten bei der Entwicklung von Projektvorschlägen bereits bestehende Normen identifiziert werden, um doppelten Aufwand zu vermeiden und in Konflikt stehende Ergebnisse zu verhindern. Weiterhin kann das Normungspotenzial ein zusätzliches Auswahlkriterium für Projektvorhaben darstellen. Bei der Umsetzung eines Vorhabens sollte sich Normung explizit in Arbeitspaketen und/oder Arbeitsergebnissen niederschlagen. Zudem können Normen als Instrument zur Verbreitung der Ergebnisse aus FuE- und Innovationsprojekten dienen und zu einem marktfähigen Produkt oder einer Dienstleistung führen. Schließlich eignen sich Normen und Normung als Kriterium für die Bewertung von Projektergebnissen aus FuE und Innovation (vgl. CEN CENELEC STAIR, 2011:3, Grafik sowie Darst. 19). Auf dem Integrated Approach basierend wurden eine Reihe operativer Schritte vorgeschlagen, um den Aspekt der Normung in den Gemeinsamen Strategischen Rahmen zur Förderung von EU-Forschung und Innovation einzubinden. Es wurden neun Vorschläge formuliert (vgl. CEN CENELEC STAIR, 2011:2-7): 1. Normungsprozesse, die FuE- und Innovationsprojekte begleiten, sind effektive Kanäle zum frühzeitigen Ergebnistransfer und sollten, falls angemessen, ausdrücklich förderungsfähig sein. 2. Die Normung sollte im Zuge der Ausgestaltung von Prioritätsbereichen zur Förderung von europäischen Forschungsaktivitäten und Innovationen berücksichtigt werden. 53

54 3. Vor dem Entwerfen eines derartigen Arbeitsprogramms sollten nicht nur wissenschaftliche Veröffentlichungen und Patente als Indikatoren für den neuesten Stand von Wissenschaft und Technik gesichtet werden, sondern auch bestehende Normen und Normungsprozesse als relevant für FuE und Innovation beachtet werden. 4. Zur Förderung der Verbindung zur Normung und Standardisierung als Verbreitungsund Transferkanal sollten Akteure der Normung und Standardisierung auf geeignete Weise in Forschungsberatungs- und -kontaktstellen integriert werden. 5. Evaluatoren, die mit der Bewertung von europäischen FuE-Projekten betraut werden, sollten auf dem Gebiet der Normung und Standardisierung trainiert werden. Des Weiteren sollten zusätzliche Gutachter mit einem speziellen Normungshintergrund als Evaluatoren gewonnen werden. Programmspezifische Informationen über die relevanten Normen und Standards sollten zur Unterstützung aller Gutachter zur Verfügung gestellt werden. 6. Die programmbezogenen Bewertungskriterien sollte spezielle Anforderungen an die Antragsteller enthalten, um die einschlägigen Normen und Normungsvorhaben für ihre Projektvorschläge zu screenen und gegebenenfalls Wege vorschlagen, um durch das Projekt zur Entwicklung von Normen und Spezifikationen beizutragen und/oder von Normen und Spezifikationen zu profitieren. 7. Die Forschungsprojekte sollten, insofern möglich, in regelmäßigen Kontakt zu Normungsakteuren treten. Um mögliche Doppelarbeit zu vermeiden und Zeit zu sparen, sollten sie so früh wie möglich in den Transfer von FuE-Ergebnissen in die Normung und Standardisierung einbezogen werden. 8. Die Normung und Standardisierung als ein effektiver Kanal für die Verbreitung und Nutzung von FuE-Ergebnissen sollte in die Verbreitungsaktivitäten integriert werden und finanziell gefördert werden. Für Fälle, in denen die Finanzierung nicht in der Planungsphase berücksichtigt wurde, sollte ein separates Budget für den Transfer von FuE-Ergebnissen mit Relevanz für die Standardisierung bereitgestellt werden. 9. Die Initiierung neuer Normungs- und Standardisierungsprozesse und die Veröffentlichung von Normen oder Spezifikationen sollten als Erfolgskriterien für künftige FuE- Aktivitäten einbezogen werden. Auf Grundlage der Vorschläge hat das Europäische Parlament ein Statement zu Horizon 2020 abgegeben, in dem Normung eine prominente Rolle spielt (vgl. CEN/CENELEC, 2012b). Horizon 2020 beschreibt das Rahmenprogramm für Forschung und Innovation zwischen 2014 und Es führt alle forschungs- und innovationsrelevanten Förderprogramme der Europäischen Kommission zusammen. Ein wichtiges europäisches Dokument zur Verknüpfung von Normung und Sicherheitsforschung ist das Security Standardisation Programming-Mandate der Europäischen Kommission für europäische Normungsorganisationen (M/487). Der Zweck des Mandates M/487 on Security besteht in der Entwicklung eines Arbeitsprogramms zur Definition europäischer Standards im Bereich Security sowie in der Umsetzung einer Security Standardisation Map. Zur Förderung der zivilen Sicherheit in Europa sollen dadurch sicherheitsbezogene Interoperabilitäten zwischen wichtigen europäischen Knoten und Zentren erzeugt werden. Dabei geht es sowohl um aktuelle als auch um künftige, bereits vorhersehbare Anforderungen. Zu den relevanten Bereichen gehören u.a. Security of the Citizens, Border Security, Security of infrastructures and utilities sowie Restoring securi- 54

55 ty and safety in case of crisis. Human Faktor- und Privacy-Fragen sollen dabei integriert berücksichtigt werden. Gründe für das Mandat sind insbesondere: Bedarf zur Sicherstellung einer effektiven Grenzsicherheit in der Europäischen Union Bedarf für einen speziellen normativen Rahmen zur Erfüllung politischer Ziele und zur Harmonisierung des internationalen Marktes Bedarf zur Koordination von FuE-Aktivitäten und einer klaren Beschaffungs- und Validierungsstrategie Erforderliche Gewährleistung der Stakeholder, insbesondere von KMU Bedarf, minimale Leistungsanforderungen für unterschiedliche Sicherheitsgebiete zu definieren sowie Die geplante Schaffung eines konsolidierten Europäischen Security-Marktes und einer besseren Kooperation zwischen den Stakeholdern. Zu den geplanten Ergebnissen des Mandats zählen: Die Steigerung der Harmonisierung des Europäischen Security-Marktes und die Reduktion von Fragmentierungen Die Förderung eines sicheren, interoperablen Kommunikations- und Datenmanagements Die Entwicklung gemeinsamer technischer Spezifikationen bezüglich Interoperabilität, Qualitäts- oder Safety-Niveaus sowie von Testmethoden und Zertifizierungsanforderungen Die Sicherstellung von Interoperabilität und Kompatibilität zur Begünstigung von Innovationen Die Entwicklung von Methoden für Security Vulnerability Assessments durch Systemoperatoren. Mehrere Programme werden auf der Basis des Mandats implementiert. CEN, CENELEC und ETSI entwickeln dabei sektorspezifische Leitlinien, um die Nutzer bei der Wahl geeigneter Technologien für Security-Applikationen zu unterstützen. Bei der Durchführung der mandatierten Aufgaben wird es als bedeutsam erachtet, relevante Europäische Forschungsprojekte und nationale Richtlinien für Security-Applikationen sowie nationale Organisationen und Behörden, die mit der Implementierung von zwei Europäischen Richtlinien betraut sind, einzubeziehen. Es handelt sich um: die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 über den Schutz von Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr und die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation). 55

56 Zu den relevanten Organisationen gehören u.a. der Europäische Datenschutzbeauftragte und die Article 29 Working Party, welche sich mit Grundrechten auf Basis der Universal Declaration of Human Rights (UDHR) der Vereinten Nationen befasst (vgl. Montiel-Sánchez, 2010). Die Regelwerke werden in Kap. 6 dargestellt. Konkrete Interrelationen zwischen Normung und Sicherheitsforschung und ihre Vorteile werden in den folgenden Unterkapiteln erörtert Interrelationen zwischen Normung und Forschung Die Wechselwirkung der Forschung und Normung wurde in besonderer Weise im europäischen Forschungsprojekt INTEREST ( INTEgrating REsearch and Standardisation ) erforscht. Die Ergebnisse basieren u.a. auf einer Befragung von mehr als 500 Forschern in der Europäischen Union. INTEREST zufolge stellt das Zusammenspiel von Forschung und Normung eine Spezialform des Wissens- und Technologietransfers dar. Forschungsergebnisse bieten dabei einen Input für Normen, Spezifikationen und Standards, während diese wiederum als Informationsquellen für neue Forschungsaktivitäten dienen (vgl. INTEREST, 2006). Mit einigen Ausnahmen, vor allem in Bereichen der vornormativen und normungssynchronen Forschung, werden Forschungsaktivitäten häufig ohne explizite Normungsziele durchgeführt. Dennoch können diese Projekte wichtige Normungspotentiale beinhalten, die den Forschern und ihren Organisationen oft nicht bewusst sind. In Kap. 4.3f werden wichtige Interrelationen zwischen Forschung und Normung aufgezeigt Allgemeine Vorteile der Normung und Standardisierung für forschende Organisationen Die Vorteile der Normung und Standardisierung für forschende Organisationen werden im Folgenden unter den beiden Gesichtspunkten breite generelle Mehrwerte sowie Vorteile der Normung und Standardisierung in der Forschung dargestellt. Breite generelle Mehrwerte Der jährliche volkswirtschaftliche Nutzen der Normung beträgt in Deutschland ca. 1% des Bruttoinlandsprodukts (vgl. DIN, 2000 und Blind et al., 2011b) 14. Konkret betrug ihr Beitrag zum deutschen Wirtschaftswachstum z.b. in der zuletzt analysierten Fünfjahresperiode 2002 bis ,77 Milliarden Euro. Akteure, die sich an Normungs- und Standardisierungsprozessen beteiligen, können zudem vielfältige individuelle Vorteile realisieren. Ausgewählte Mehrwerte werden in Darst. 20 zusammengefasst. 14 Weitere volkswirtschaftliche Berechnungen zum Beitrag der Normung und Standardisierung bieten z.b. Blind (2004) sowie Leech und Scott (2012). 56

57 Informationsvorsprünge über Kunden- und Betreiberanforderungen Chance, eigene Technologien am Markt durchzusetzen Monitoring der Entwicklungstrends anderer Marktteilnehmer Informationsvorsprünge über künftige technische Regeln Nutzung der Normungsgremien als Expertenforen Ermöglichung eines globalen Marktzugangs für Innovationen Quelle: in Anlehnung an Gaub (2009:141) Darst. 20: Ausgewählte Vorteile der Beteiligung an Normungs- und Standardisierungsprozessen Ergänzend nennt Updegrove (2007a) folgende Vorteile: Beeinflussung der Normung oder Standardisierung Informationsgewinnung über den Fokus der Normung oder Standardisierung Befähigung, neue kompatible Produkte einzuführen Zugang zu Software und Zertifizierungstests für konforme Produkte Zusammenarbeit bei der Inbetriebnahme und Analyse Zusammenarbeit im Marketing und in anderen Kooperationen Endsendung von Mitarbeitern zu Gremiensitzungen zu Schulungszwecken und um auf dem neuesten Stand der Technik zu bleiben Demonstration eines öffentlichen Bekenntnisses für bestimmte neue Märkte und Technologien Beeinflussung anderer Branchenteilnehmer Treffen anderer Akteure einer bestimmten Nische und Bildung von Partnerschaften. Die Vorteile der Normung und Standardisierung sind auch auf Organisationsebene direkt quantitativ darstellbar (vgl. Wakke und Blind, 2012). Dem Luftfahrtkonzern Airbus war es beispielsweise möglich, durch Einsatz europäischer Normen zur Harmonisierung und Typeneinschränkung beim Bau eines neuen Flugzeugtyps Einsparungen von 9,2 Millionen Euro bei der Lagerhaltung zu realisieren (vgl. DIN, 2000). Ein konkretes Beispiel für die Vorteile der Normung und Standardisierung im Kontext der zivilen Sicherheit bietet der Open Profiling Standard (OPS). Die Vermarktung von Lösungen im Bereich ecommerce war in den frühen 1990er Jahren entscheidend von Privacy- Regelungen im Internet abhängig, wofür der Open Profiling Standard einen entscheidenden Beitrag leistet. Er bildete eine signifikante Grundlage, um das Internet zu einem Massenmarkt für ecommerce zu entwickeln. Bereits kurz nach der Ankündigung der Standardisierungsaktivitäten prognostizieren Marktforscher für den neu entstehenden ecommerce-markt ein Volumen von mehreren Milliarden US-Dollar. Derzeit wird erstmalig ein deutsches Normungspanel erarbeitet, in dem die Auswirkungen der Normung auf unterschiedliche (Unternehmens-)Kennzahlen dargestellt werden. 57

58 Vorteile in der Forschung Generell werden der Implementierung von Normungs- und Standardisierungsmaßnahmen in Verbindung mit FuE-Projekten die folgenden Vorteile zugeschrieben: Reduktion des Time-to-Markets Kodifizierung des State-of-the-Art Steigerung des ökonomischen Werts des Forschungsprojekts Begünstigung der Verbreitung der FuE-Ergebnisse Begünstigung der Diffusion innovativer Produkte Schneller und einfacher Zugang zu Märkten Erzeugung von Kundenvertrauen Steigerung der Akzeptanz von Innovationen Möglichkeit zur Vernetzung Möglichkeit der Generierung von Lizenzeinnahmen aus Patenten Begünstigung des Zugangs zu öffentlichen Beschaffungsmärkten Interoperabilität (vgl. Blind, 2009, CEN/CENELEC, o.d.:6, CEN CENELEC STAIR, 2011). Ein besonderer Vorteil liegt, wie gezeigt, in der Unterstützung der aktiven Verbreitung von Forschungsergebnissen. Normen und Spezifikationen helfen sie dabei, vorhandenes Wissen zu strukturieren und es unter anderen teilnehmenden Organisationen zu verbreiten. Die Normung trägt daher sowohl zur Wissensaufnahme als auch zur Dissemination der Forschungsergebnisse bei. Aufgrund ihrer unterschiedlichen Ausrichtung profitieren die einzelnen Organisationsformen in unterschiedlicher Weise von der Normung und Standardisierung. Nachstehend werden spezielle Vorteile für Forschungsorganisationen, Hochschulen und Unternehmen zusammengefasst. Für Forschungsorganisationen und Hochschulen beinhalten die wichtigsten Vorteile aus einer Teilnahme an Normungs- und Standardisierungsprozessen (vgl. INTEREST, 2006): die Lösung von spezifischen technischen Problemen die verbesserte Zusammenarbeit und Stärkung der Beziehungen zu anderen Forschern und Entwicklern die verbesserte Verbreitung der Forschungsergebnisse die verbesserten Chancen für künftige Finanzierungen die Signalisierung von Wissen und Fähigkeiten gegenüber anderen Akteuren Möglichkeit der Generierung von Lizenzeinnahmen aus Patenten. Einer der wichtigsten allgemeinen Mehrwerte besteht in der größeren Anzahl und Vielfalt von Beziehungen zu anderen Organisationen 15. Die Erarbeitungsprozesse dienen gleichzeitig als Austauschforen für Wissenschaftler, die häufig eine interdisziplinäre und auch internationale Prägung aufweisen (vgl. Blind/Gauch, 2007b). Eine Umfrage des Projekts INTEREST (2006) 15 Die Vorteile, welche für die Teilnehmer des Sicherheitsforschungsprogramms relevant sind, werden separat dargestellt. 58

59 zeigte ferner, dass normungsinvolvierte Universitäten und private Forschungseinrichtungen durch überdurchschnittlich intensive Kooperationen mit Industriepartnern und Hochschulen gekennzeichnet sind. Der Beitrag der Standardisierung zur Förderung von Lizenzeinnahmen wird u.a. durch Blind (2009) am Beispiel der Lizenzeinnahmen des Fraunhofer Instituts IIS auf Grundlage des MP 3 -Standards verdeutlicht. Unternehmen profitieren durch Normung und Standardisierung vor allem durch neue Marktchancen, langfristige Gewinne und die Koordinationsfunktion. In dieser Hinsicht haben Normen eine positive Auswirkung auf: die Senkung der Produktionskosten, die Reduktion von Transaktionskosten, die unternehmensübergreifende Zusammenarbeit, die interne Kommunikation, die Diffusion von neuen Produkten und Dienstleistungen, die Vielfalt von Mehrkomponenten-Produkten und Systemen und die Exporterlöse. Darüber hinaus unterstützen Normung und Standardisierung die Erschaffung neuer Märkte sowie die effiziente Marktbearbeitung. Normungs- und Standardisierungsmaßnahmen sind nicht nur für Organisationen, sondern auch für Ihre Mitarbeiter vorteilhaft. In Rahmen der Umfrage InfraNorm (2011) stellten die Teilnehmer die Erhöhung der persönlichen Reputation als ein wichtiges Normungsmotiv dar. INTEREST (2006) gibt FuE-Managern die Empfehlung, auch Vorteile für die einzelnen Mitarbeiter zu identifizieren und Anreize für die Beteiligung an der Normungsarbeit zu bieten. Für die erfolgreiche Übertragung von Forschungsergebnissen in die Normung und Standardisierung haben die unterschiedlichen Arten von Normen und Spezifikationen in Abhängigkeit vom relevanten Forschungskontext unterschiedliche Bedeutung. Dabei wird von drei Ebenen ausgegangen: Grundlagenforschung, angewandte Forschung und experimentelle Entwicklung. In Darst. 21 werden diese Zusammenhänge verdeutlicht 16. Die entwicklungsbegleitende Normung und Standardisierung bietet in allen FuE-Phasen Chancen. In der Grundlagenforschung ist es wichtig, frühzeitig einheitliche internationale Terminologien zu definieren. Eng hiermit verbunden ist die Bedeutung einheitlicher Messund Prüfverfahren (vgl. Blind/Gauch, 2007b). In vielen Fällen kann die Normungsarbeit erstmalig überzeugende Tests für neue Prototypen, Produkte oder Geräte ermöglichen. Normen und Spezifikationen zur Beschreibung von Qualität, Sicherheit und Schnittstellen werden insbesondere in den marktnahen Entwicklungsphasen relevant. Die einzelnen Norm- und Spezifikationstypen haben entsprechend Darst. 22 für die verschiedenen Organisationformen unterschiedliche Bedeutung. 16 Die Grafik zeigt eine idealtypische Zuordnung, deren linearer Ablauf in der Praxis selten beobachtet werden kann. Dennoch bietet sie ein theoretisches Konzept, das für eine bessere Integration von Forschung und Standardisierung genutzt werden kann (vgl. Blind/Gauch, 2007b). 59

60 Quellen: Gauch (2006), Blind und Gauch (2009) Hinweis: es wird der englische Oberbegriff Standards verwendet Darst. 21: Technologietransfer mit Normen und Spezifikationen im Innovationsprozess Organisationsform Organisationen in der Grundlagenforschung Organisationen in der angewandten Forschung Organisationen in der experimentellen Entwicklung Beispiele Universitäten, Forschungseinrichtungen Forschungsinstitute, häufig z.b. Fraunhofer- Institute Unternehmen Vorrangige Einsatzbereiche der Normung und Standardisierung Terminologien, Messung und Prüfung, im IuK- Bereich häufig auch Regelwerke zur Gewährleistung von Kompatibilität Messung und Prüfung, Entwicklung von Schnittstellen, Zertifizierung Einsatz in neuen Produktund Dienstleistungsmärkten, v.a. in den Bereichen Qualität, Sicherheit und Kompatibilität Ausgewählte weitere Mehrwerte Begünstigung der Vernetzung mit Organisationen in nachgelagerten FuE-Feldern Förderung von Kontakten zur Industrie, industrieseitige Sensibilisierung, Verbreitung vielversprechender Forschungstrends. Die Beeinflussung von Normen und Spezifikationen ermöglicht klare Wettbewerbsvorteile gegenüber normungsfernen Mitbewerbern. Größte Vorteile jedoch durch nachgelagerte Zertifizierungsleistungen. Besondere Vorteile von Normungsakteuren von kompatibilitätserzeugenden Maßnahmen in Netzwerkbranchen. Quelle: in Anlehnung an INTEREST (2006) Darst. 22: Bedeutung von Normen und Spezifikationen nach Organisationform 60

61 Für die Teilnehmer des Sicherheitsforschungsprogramms sind insbesondere die Phasen der angewandten Forschung und der experimentellen Entwicklung von Interesse Allgemeine Vorteile der Normung und Standardisierung für Teilnehmer des Sicherheitsforschungsprogramms Im Rahmen der Umfrage InfraNorm (2011) wurden die Teilnehmer um eine Darstellung gebeten, welche Motive sie mit der Teilnahme an der Security-bezogenen Normung und Standardisierung verbinden. Dabei wurde dabei die Bedeutung von 16 Normungsmotiven gemessen. Als bedeutendstes Beteiligungsmotiv wurde die Durchsetzung der eigenen Inhalte identifiziert, gefolgt von der Beobachtung des technischen Wissens anderer Organisationen und der Erhöhung der persönlichen Reputation. Teilnehmer des Projekts InfraNorm verbinden Normungs- und Standardisierungsmaßnahmen ergänzend z.b. mit einer Akzeptanzförderung für eigene Produkte, mit dem Einbezug der entwickelten Regelwerke in öffentlichen Ausschreibungen sowie mit Kommunikationsmöglichkeiten zur Steigerung der öffentlichen Wahrnehmung. In Bezug auf die Vermarktung regelwerkskonformer Produkte stellte ein Teilnehmer dar, dass die positiven Auswirkungen für ihn mit den Mehrwerten eines Zertifikats vergleichbar sind Individuelle Vorteile der Normung und Standardisierung für Teilnehmer des Sicherheitsforschungsprogramms Individuelle Vorteile der Normung und Standardisierung werden nachstehend anhand eines Beispiels beschrieben. Ein Unternehmensvertreter im Sicherheitsforschungsprogramm, der im Rahmen von InfraNorm an der Entwicklung einer Kommunikationsschnittstelle beteiligt war, beschreibt seine Motivation zur Mitarbeit an diesem Standardisierungsvorhaben wie folgt: Ein erstes Anliegen im Rahmen der Gremienarbeit zur DIN SPEC war der direkte Kontakt zu anderen Unternehmen im gleichen Themenumfeld ( ). Über die offene Arbeit an einem gemeinsamen Ziel erlangten wir so einen Einblick in Denk- und Arbeitsweise anderer Unternehmen in einer Branche, die für unsere Kunden ( ) ein wichtiger Partner im Unternehmensalltag ist. Natürlich wollten wir in dem Prozess der Erarbeitung ( ) auch eigene Impulse geben, um die aus unserer Erfahrung wichtigen Themen unserer Kunden mit in die DIN SPEC einfließen zu lassen (Engelt/Hasenfuß, 2012). Den mittel- und langfristig erwarteten Nutzen aus dem Vorhaben stellt der Programmteilnehmer ebenfalls dar: Ein wichtiger Nutzen für (unser Unternehmen) entsteht durch eine vereinfachte eigene Entwicklung im Bereich Schnittstellen und Softwarelösungen. Natürlich unter der Voraussetzung, dass sich der Inhalt der Spezifikation am Markt durchsetzen sollte. Eine gemeinschaftliche Weiterentwicklung derartiger Schnittstellen, nicht nur unternehmensübergreifend, sondern auch branchenübergreifend, sehen wir als großen Mehrwert ( ) an. (Unser Unternehmen) kann dabei gegenüber seinen Kunden eine positive 61

62 Vorreiterrolle einnehmen und innovative Lösungen und Weiterentwicklungen anbieten. ( ) Nicht zuletzt erhoffen wir uns durch die Arbeit in diesem Standardisierungsprozess ein positives Marketing und dadurch die Steigerung unseres Bekanntheitsgrades, gerade in Branchen, in denen wir nicht aktiv vertreten sind (Engelt/Hasenfuß, 2012). Neben derartigen Erfahrungsberichten hat das DIN eine webbasierte Checkliste zur Bewertung des individuellen Nutzens existierender Normen erarbeitet. Unter bewertungstool/ ist das Tool abrufbar. Es richtet sich vordergründig an Unternehmen, ist jedoch auch durch andere Organisationsformen anwendbar. Das Tool bietet die Möglichkeit, den Nutzen unterschiedlicher Normen zu untersuchen. Im Kontext des Sicherheitsforschungsprogramms erscheinen insbesondere die Möglichkeiten zur Bewertung von sicherheitsbezogenen Schnittstellen relevant. Die Teilnehmer der Normungs- bzw. Standardisierungsprozesse können ihre Zielgruppen auf das Tool aufmerksam machen und ihnen dadurch Gelegenheit bieten, sich vom Nutzen der Norm bzw. der Spezifikation zu überzeugen. Dadurch kann die Verbreitung der Regelwerke gestärkt werden Allgemeine Barrieren für die Teilnahme an der Normung und Standardisierung und ihre Überwindung In den vorangegangenen Abschnitten wurde die Verbindung zwischen Forschung und Normung aufgezeigt. Zahlreiche Vorteile der Normung und Standardisierung wurden dargestellt. Bei der Umsetzung können jedoch Hindernisse auftreten, die den gewünschten Wissenstransfer erschweren. Im Allgemeinen können diese Hindernisse in drei Kategorien eingeteilt werden: mangelnde Ressourcen, prozessbezogene Probleme sowie mangelnde Bekanntheit und Sichtbarkeit von Normen und Normungsprozessen (vgl. Blind/Gauch, 2007a:14). Wahrgenommene prozessbezogene Barrieren sind dabei ebenfalls häufig mit Ressourcenaspekten verbunden, wobei konkret die Prozesslänge als Problem gesehen wird. Im Rahmen der Umfrage InfraNorm (2011) stellten Ressourcenprobleme (Zeit- und Kostenaufwand) zwei der drei bedeutendsten Normungsbarrieren dar. Mögliche kostenbezogene Barrieren werden von europäischen Forschern auch mit den Gebühren der Normungsteilnahme verbunden (vgl. INTEREST, 2006). Einige Normungsorganisationen haben jedoch bei der Gestaltung der Mitgliedschaftskonditionen Freiheitsgrade. In Deutschland erhebt das DIN von öffentlichen Forschungseinrichtungen und Universitäten keine Teilnahmegebühren. Kleinen und mittelgroßen Unternehmen (KMU) kommt ferner zugute, dass die Mitgliedsgebühren in Abhängigkeit von der Unternehmensgröße erhoben werden (vgl. DIN, 2011c am Beispiel der Gebühren des Jahres 2011). Ressourcenbezogene Probleme können zudem durch die Auswahl geeigneter Standardisierungsverfahren reduziert werden. Umsetzungschancen sind dabei insbesondere dann gegeben, wenn ressourcensparende Entwicklungsverfahren, wie z.b. PAS-Verfahren zur Bereitstellung von Spezifikationen, möglich erscheinen. In Kap. 2.5 wurde hierzu die Entwicklungsbegleitende Normung des DIN als spezieller Ansprechpartner für Forschungs- und Entwicklungsvorhaben vorgestellt. Ein weiteres Werkzeug zur Verbindung von Forschung und Normung auf europäischer Ebene stellen CEN-Workshops dar. Für europäische Vorhaben mittlerer Länge von etwa zwei bis drei Jahren bieten sie die Möglichkeit, innerhalb der 62

63 Projektlaufzeit CEN Workshop Agreements (CWAs) zu entwickeln (vgl. INTEREST, 2006:21). Da Normungsgremien gleichzeitig Wissenschaftsforen darstellen (vgl. Blind/Gauch, 2007b), können Forschungsorganisationen finanziell auch indirekt durch Normungs- und Standardisierungsaktivitäten profitieren. Die Gremienkontakte bieten Chancen zur Beteiligung an FuE- Projekten und an Kooperationen, wobei sich häufig insbesondere Kontakte zu Industriekonzernen als mehrwertig erweisen. Durch die zufließenden Mittel sind die zuvor entstandenen Normungskosten ausgleichbar. Im INTEREST-Projekt wurde eine Matrix entwickelt, die Beteiligungsprobleme von Wissenschaftlern in Bezug auf die Normung und Standardisierung sowie mögliche Lösungen gegenüberstellt. Die Matrix zeigt beispielsweise, dass den Normungs- und Standardisierungskosten spätere Kosteneinsparungen gegenüberstehen (vgl. INTEREST, 2006:12). Zum Zeitpunkt der Erstellung des vorliegenden Handbuchs bestand die Möglichkeit, Mittel aus der Fördermaßnahme "Transfer von Forschungs- und Entwicklungsergebnissen (FuE) durch Normung und Standardisierung" zu beantragen. Die Zuwendungen können im Wege der Projektförderung als nicht rückzahlbare Zuschüsse gewährt werden. Die Zuwendungshöhe pro Projekt liegt bei maximal EUR. Es wird eine Eigenbeteiligung von 30 % bzw. 50 % gefordert (vgl. DIN, 2010b). Durch das Programm sind auch europäische und internationale Vorhaben förderbar. Für den Wunsch nach derartigen Fördermöglichkeiten laut Frage 13 in InfraNorm (2011) wird dadurch ein attraktiver Lösungsansatz aufgezeigt. 63

64

65 5. Allgemeine Strategien für die sicherheitsbezogene Normung und Standardisierung 5.1. Strategische Verankerung der Normung und Standardisierung in der Sicherheitsforschung In der Studie InfraNorm (2011) verfügte die Mehrheit der Befragten über keine Erfahrungen in der Normung und Standardisierung. In Bezug auf die Security-Thematik galt dies in noch ausgeprägter Weise. Daher werden in diesem Kapitel allgemeine Empfehlungen für die Normung und Standardisierung gegeben. Die Mehrheit der Studienteilnehmer gab an, an einer Forschungseinrichtung oder in einem KMU tätig zu sein. Für die Normung und Standardisierung impliziert dies spezielle Rahmenbedingungen. Nachfolgend werden hierfür Empfehlungen gegeben. Dabei werden auch Lösungen für das Problem Initiierung eines Standardisierungsvorhabens aufgezeigt, welches in der Studie anhand der Frage 10 ermittelt wurde. In Großunternehmen werden häufig konkrete Ansprechpartner mit Normungsaufgaben betraut. Forschungsorganisationen und KMU hingegen verfolgen bei der Normung und Standardisierung oft einen projektbezogenen Ansatz, wobei die Tätigkeit eng mit kurzfristigen Projektaktivitäten verbunden ist. Im Rahmen des INTEREST-Projekts wurde dabei ermittelt, dass die Organisationen, deren Normungsengagement über projektbezogene Arbeiten hinausgeht, bessere Chancen haben, von den positiven Auswirkungen der Normungsarbeit zu profitieren. Maßnahmen zur Entwicklung einer Normungsstrategie und zur schrittweisen Etablierung einer internen "Normungskultur" bieten daher Mehrwerte. Zweckmäßige erste Maßnahmen zur Etablierung einer derartigen Kultur umfassen: eine geeignete interne Kommunikation zur Verdeutlichung des Wertes von Normung und Standardisierung zur Erfüllung spezifischer Organisationsziele die Bereitstellung von Anreizen zur Teilnahme an Normungs- und Standardisierungsprozessen die Dokumentation, welche Mitarbeiter und internen Bereiche ausgewählte Normen und Spezifikationen implementiert haben, sowie die Erstellung entsprechender Übersichten, die für alle Mitarbeiter verfügbar sind (vgl. INTEREST, 2006:14). Die Informationsbereitstellung über interne Normungsaktivitäten unterstützt den Austausch über Normen und Spezifikationen, fördert Synergien zwischen Forschungsabteilungen und kann vor allem die Implementierung der Regelwerke in Produkte oder Prototypen begünstigen (vgl. INTEREST, 2006:14). Im Folgenden werden vier Schritte zur Ausrichtung von Forschung und Entwicklung auf die Integration von Normung und Standardisierung sowie zur Organisation des resultierenden Normungsengagements vorgestellt. Einige Elemente können in bestimmten Fällen übersprungen werden. Je stärker die strategische Ausrichtung der Forschung und Entwicklung ist, desto wichtiger wird es jedoch im Allgemeinen, alle aufgezeigten Maßnahmen durchzuführen (vgl. INTEREST, 2006:15ff). 65

66 Schritt 1: Ermittlung der allgemeinen Rolle von Normen und Spezifikationen im Forschungsfeld Auf der Ebene des Forschungsfeldes besteht die wichtigste Aufgabe in der Beurteilung, welche Normen und Spezifikationen vorrangig auf dem relevanten Gebiet verwendet werden. Die Bewertung der allgemeinen Bedeutung von Normen und Spezifikationen im eigenen Forschungsfeld bezweckt dabei eine Entscheidungsunterstützung für oder wider eine Beteiligung an Normungs- oder Standardisierungsmaßnahmen. Im Rahmen von INTEREST wurden hierfür vier Fragen entwickelt (vgl. INTEREST, 2006:16): Wie relevant sind Normen und Spezifikationen in unserem Forschungsbereich? Wurden die Normen und Spezifikationen, die in diesem Forschungsbereich verwendet werden, von formalen Organisationen wie ETSI, CEN, CENELEC, ISO oder DIN etabliert? Sind bestimmte Aspekte in einem Forschungsfeld von formalen Normungsorganisationen abgedeckt, während andere Aspekte von Konsortien aufgegriffen werden? Konkurrieren Organisationen mit formellen und informellen Normungs- und Standardisierungsaktivitäten in bestimmten Bereichen des betrachteten Forschungsgebiets? Die Beantwortung der Fragen begünstigt die spätere Entscheidung, ob und auf welche Weise eigene Aktivitäten erstrebenswert sind. Schritt 2: Ermittlung der speziellen Rolle von Normen und Spezifikationen für die eigenen Aktivitäten Zusätzlich zu der eher allgemeinen Bewertung des Forschungsfeldes ist es wichtig, den Kontext der eigenen FuE-Tätigkeiten zu berücksichtigen. Geeignete Leitfragen für diese Aufgabe sind dabei laut INTEREST (2006:17): Werden in unserem Bereich die gängigsten, von vergleichbaren Organisationen verwendeten Normen und Spezifikationen genutzt? Welche Normen und Spezifikationen werden von vergleichbaren Organisationen in der Grundlagenforschung, der angewandten Forschung oder in der experimentellen Entwicklung eingesetzt? Planen wir eine engere Zusammenarbeit mit anderen Arten von Organisationen, die bestimmte Normen und Spezifikationen nutzen? Welche Personen könnten an der Normung beteiligt werden? Nach diesen Schritten liegt laut INTEREST (2006) erwartungsgemäß ein guter Überblick über die relevanten Regelwerke und Gremien auf dem betrachteten Forschungsgebiet vor. Es ist empfehlenswert, anschließend sowohl die ermittelten Gremien als auch die eigenen Mitarbeiter zu kontaktieren, bei denen eine Beteiligung an Normungs- und Standardisierungsaktivitäten vorstellbar erscheint. 66

67 Schritt 3: Sicherung der Mittelherkunft und internen Ressourcen Normungsaktivitäten erfordern Ressourcen. Wichtig ist es dabei, geeignete Teilnahmebedingungen der betreffenden Organisationen zu ermitteln 17 und die interne Mittelherkunft, insbesondere zum Ausgleich des Personal- und Reiseaufwands, sicherzustellen. Schritt 4: Ausrichten von Interessen und Engagement Bevor die geplanten Normungsaktivitäten beginnen können, sind aufgrund der Analyse in Schritt 2 geeignete Personen für das Vorhaben auszuwählen. Wichtig ist ferner, die Aktivitäten organisatorisch geeignet einzubetten und eine Realisierung ggf. vorgesehener Normungsanreize für die Mitarbeiter zu erwirken. Detaillierte Schritte für KMU Blind/Nowack (2008:41) haben auf Grundlage empirischen Untersuchungen spezielle Empfehlungen zur Normungs- oder Standardisierungsbeteiligung von KMU erarbeitet, welche zudem auf weitere Organisationen ohne bisherige derartige Aktivitäten übertragbar sind. Das Konzept beinhaltet auch konkrete Empfehlungen für den Normungsprozess im engeren Sinne. Die Grundlage des empfohlenen Vorgehens besteht in der systematischen Kenntnisnahme und ggf. Umsetzung vorhandener Normen. Anschließend werden zehn Schritte vorgeschlagen, die in Darst. 23 wiedergegeben werden. Schritte für KMU zur Beteiligung in Normungsprozessen 1 Eigene Normungsziele und -strategien festlegen 2 Geeignete Gremien, Arbeitsgruppen und Ansprechpartner identifizieren 3 Klären, inwieweit die eigenen Interessen durch Verbandsvertreter repräsentiert werden können 4 Frühzeitig relevante Eigentumsrechte (vor allem Patente) sichern 5 Schon vor der eigenen Beteiligung bereits involvierte Akteure kontaktieren 6 Motive, Strategien und Taktiken der beteiligten Akteure analysieren 7 Konsensbildung in den Normungs- und Standardisierungsprozessen beobachten 8 Kontakte zu anderen Akteuren nutzen, um Kooperationspartner oder Kunden (inkl. staatlicher Beschaffer und Regulierer) zu gewinnen 9 Implikationen eingereichter Vorschläge für alle Unternehmensbereiche analysieren 10 Eigene Stellungnahme zu Vorschlägen entwickeln und einbringen Quelle: in Anlehnung an Blind/Nowack (2008) Darst. 23 Schritte für KMU zur Beteiligung an Normungsprozessen Insofern ein Ergebnis eines Verbundprojekts genormt oder standardisiert werden soll, besteht ein Vorteil darin, dass durch das Forschungsvorhaben bereits potentielle Partner für die anvisierten Normungs- oder Standardisierungsmaßnahmen existieren. 17 Teilnahmebedingungen im DIN wurden im Kap. 4.6 dargestellt. 67

68 5.2. Empfehlungen zur Integration von Normungs- und Standardisierungsaktivitäten in FuE-Projekte Relevante Umsetzungszeitpunkte Sowohl auf deutscher als auch auf europäischer Ebene existieren Beispiele für Forschungsvorhaben, bei denen bereits im Antragsdokument die Entwicklung neuer Normen und Spezifikationen aufgrund der angestrebten Projektergebnisse vorgesehen war. Im deutschen Sicherheitsforschungsprogramm stellt u.a. das Projekt PreparedNet hierfür ein Beispiel dar. Viele Projekte, die später Normungsarbeiten einleiten, beginnen jedoch ohne eine derartige Zielsetzung. Die Forscher stellen dabei häufig fest, dass die weite Verbreitung und Akzeptanz ihrer Ergebnisse Normungs- oder Standardisierungsaktivitäten erfordert. Aufgrund der erforderlichen Ressourcen können die entsprechenden Aktivitäten ohne eine zuvor erfolgte Planung und Budgetierung eine große Herausforderung darstellen (vgl. Hatto, 2010). Eine frühzeitige Beschäftigung mit der Normungsthematik hilft, derartige Probleme zu umgehen. Hatto (2010) hat zu diesem Zweck fünf Meilensteine definiert und mit speziellen normungsbezogenen Empfehlungen verbunden: Meilenstein 1: Antragstellungsphase Es ist wichtig, mögliche Beiträge für Normen und Spezifikationen bereits bei der Planung eines Projekts zu berücksichtigen. Projekte, die mit der Intention starten, neue Normen und Spezifikationen zu entwickeln oder eine Änderung an bestehenden Normen und Spezifikationen vorzunehmen, planen für Normungsprojekte normalerweise mindestens sechs Mannmonate ein. Bei europäischen Projekten sind im Durchschnitt zwölf Mannmonate erforderlich, die sich der Regel über 18 bis 36 Projektmonate verteilen. Dies beinhaltet nicht die Forschungsarbeiten im Zusammenhang mit der Festlegung des Regelwerks, sondern ausschließlich das Management der Normungsprozesse innerhalb geeigneter Normungsgremien. Daher ist es wichtig, genügend Ressourcen in der Angebotsphase eines FuE-Projekts einzuplanen. Für die Entwicklung von Spezifikationen sind erwartungsgemäß weniger Ressourcen erforderlich. Meilenstein 2: Start des Projektes Zu Beginn eines Forschungsprojekts ist es empfehlenswert, unter den Partnern Verantwortliche für die Normung bzw. Standardisierung zu ernennen. Zunächst ist zu ermitteln, in welchem Normungsgremium das Projekt thematisch involviert ist. Mindestens ein Partner kann dann anschließend frühzeitig in diesem Gremium mitarbeiten. Gründe für diese frühzeitige Beteiligung liegen in der späteren Wichtigkeit, mit den Verfahren in dem jeweiligen Gremien vertraut zu sein, über Kontakte zu verfügen und zu wissen, welche Gremienmitglieder bei den gemeinsamen Arbeiten einflussreich sind. Neben dem Einbringen der FuE-Ergebnisse in bestehende Normungsgremien bietet das DIN, wie in Kap. 3 beschrieben, die Möglichkeit, DIN SPECs in einem neuen, für das geplante Vorhaben spezifische Gremium innerhalb der Entwicklungsbegleitenden Normung durchzuführen. Des Weiteren wurde in Kap. 3 die Möglichkeit erörtert, im CEN im Rahmen von CEN Workshops unabhängig von bestehenden CEN-Gremien CWAs zu erstellen. In 68

69 derartigen Fällen ist keine frühzeitige Beteiligung an bestehenden Normenausschüssen nicht notwendig. Wichtig ist jedoch, frühzeitig Kontakt zu den Normungsorganisationen in Bezug auf das Standardisierungsanliegen aufzunehmen. Meilenstein 3: Anforderungsdefinition Forschungsprojekte beginnen in der Regel mit der Konkretisierung der Anforderungen und Ausführungen der zu entwickelnden Technologien. Diese Anforderungen können die Grundlage für eine erste Überprüfung bieten, ob die Forschungsergebnisse Normungs- oder Standardisierungspotential bieten. Meilenstein 4: Verfügbare Ergebnisse zur Vorlage an Normungsgremien Die Umsetzungsmöglichkeiten eines konkreten Normungs- und Standardisierungsvorschlags hängen von den Technologien und ihrer Reife ab. Die Einreichung in einem Normungsgremium kann bereits in der FuE-Phase oder nach ersten Validierungen, z.b. mit Pilotanlagen oder Demonstratoren, erfolgen. Ein Einreichen fertiger Konzepte ist dabei noch nicht erforderlich. Beim DIN e.v. ist im ersten Schritt ausschließlich eine Idee vorzulegen. Das DIN bietet anschließend, z.b. im Rahmen von Workshops, Unterstützung, um den Standardisierungsbedarf bzw. entsprechende -potentiale zu ermitteln. Meilenstein 5: Projektabschluss Im Rahmen des Projektabschlusses ist es wichtig zu ermitteln, wie die Normung bzw. Standardisierung fortgesetzt wird. Im Allgemeinen gilt, dass frühzeitige Normungs- und Standardisierungsplanungen und -maßnahmen zu einer effektiveren Nutzung von Projektressourcen und zu einer größeren Wahrscheinlichkeit einer plangemäßen Erfüllung der Standardisierungsziele führen (vgl. Hatto, 2010) Hilfsmittel zur Umsetzung Zur Verbindung von Normung und Forschungsprojekten stehen verschiedene Hilfsmittel zur Verfügung, die nachfolgend dargestellt und bewertet werden: prozessübergreifender Leitfaden zur Verknüpfung von Forschung und Normung von CEN/CENELEC, technische Checkliste von Hatto (2010), erweiterte technische Checkliste von Hatto (2010), technologie- und ökonomiespezifische Checkliste von CEN/CENELEC Entscheidungsbaum nach Hatto (2010). Darüber hinaus ist es auch möglich, sich zwecks Hilfestellung an das DIN zu wenden. 69

70 Prozessübergreifender Leitfaden zur Verknüpfung von Forschung und Normung Der projektübergreifende Leitfaden von CEN und CENELEC definiert Interaktionen zwischen Forschungsprojekten und Normungsaktivitäten anhand individueller Empfehlungen für die einzelnen Projektphasen. Ein Projekt wird dafür in vier Abschnitte gegliedert: Entwicklung eines neuen Projektvorschlags (1), Projektplanung und -durchführung (2 und 3) sowie Schutz, Verbreitung und Nutzung der Projektergebnisse (4), vgl. Darst. 24. Entwicklung von Verbindungen zwischen Forschung und Normung FORSCHUNG und ENTWICKLUNG Entwicklung eines neuen Projektvorschlags Planung des Projekts Durchführung des Projekts Schutz, Verbreitung und Nutzung von Projektergebnissen NORMUNG und STANDARDISIERUNG Screening existierender Normen und Spezifikationen und Notwendigkeit für neue Normen und Spezifikationen Identifizierung, an welcher Stelle sich Normung und Standardisierung positiv auf das Projekt auswirkt Definition, wie an Normen und Spezifikationen während des Projektes gearbeitet werden soll Ermittlung möglicher Projektpartner für die Erarbeitung Identifizierung potentieller Normungs- und Standardisierungspotenziale von Projektergebnissen Erarbeitung mit den Partnern Beitrag zur Normung und Standardisierung Nutzung der Regelwerke als Verbreitungskanäle Quelle: in Anlehnung an CEN/CENELEC (o.d.: 9) Darst. 24: Prozessübergreifender Leitfaden zur Verknüpfung von Forschung und Normung Technische Checkliste zur Ermittlung des Normungs- und Standardisierungspotentials Die technische Checkliste ist insbesondere für Überlegungen zur Entwicklung von Kompatibilitäts- und Schnittstellenstandards relevant. Darst. 25 zeigt dabei technische Aspekte, bei deren Vorliegen Teilnehmer eines FuE-Projekts ein Normungs- oder Standardisierungsvorhaben erwägen sollten. Die Checkliste ist mit anderen Instrumenten in diesem Kapitel kombinierbar. Erweiterte technische Checkliste zur Identifikation des Normungspotentials Die erweiterte technische Checkliste von Hatto (2010) ist unter Verwendung eines geringfügig umfangreicheren Fragekatalogs von neun Fragen durch eine etwas stärkere marktbezogene Ausrichtung gekennzeichnet. Sowohl der Bezug zu bestehenden Normen und Spezifikationen (Frage 1 und 2 der technischen Checkliste) als auch die Beziehung zu anderen Technologien und Anbietern (Frage 3 bis 5 der technischen Checkliste) werden dabei konkreter betrachtet. Zur Identifikation des Normungspotentials eines Projekts und Nutzung der Checkliste sind zunächst die Ergebnisse aller Arbeitspakete zu identifizieren. Anschließend sind für jedes Entwicklungsergebnis die Fragen laut Darst. 26 zu beantworten. 70

71 Bezug zu anderen Technologien und Anbietern Bezug zu bestehenden Regelwerken Indikator Hinzufügen neuer Elemente in vorhandene Normen und Spezifikationen Nutzung bestehender Normen und Spezifikationen über die ursprünglichen Anwendungsfälle hinaus Integration unterschiedlicher Normen und Spezifikationen in ein gemeinsames System, z.b. in eine Plattform oder Architektur Bereitstellung von Technologien für Wertschöpfungssysteme, deren Stufen jeweils aus mehreren Anbieter mit geringen Marktanteilen bestehen Nutzung von Forschungsergebnissen als Grundlage einer neue Generation von Produkten oder Dienstleistungen Begründung Notwendigkeit, für die neuen Elemente Konsens zu erzielen Notwendigkeit, ursprüngliche Spezifikationen zu erweitern oder zu ändern Notwendigkeit von Änderungen an Normen oder Spezifikationen zur Vermeidung unzweckmäßiger Improvisationen Sicherstellung einer weiten Verbreitung der Projektergebnisse bei einer Vielzahl potentieller Kunden und Lieferanten Akteure aus der Industrie fordern bei der Einführung neuer Produkte und Technologien Normen und Spezifikationen zur Senkung von Investitionsrisiken Quelle: eigene Darstellung in Anlehnung an Hatto (2010) Darst. 25: Technische Checkliste zur Identifikation des Normungspotentials Technische Checkliste zur Identifikation des Normungspotentials 1. Baut das Entwicklungsergebnis auf einer bestehenden Norm auf? 2. Wird es von Unternehmen genutzt, die bereits Normen und Spezifikationen für ihre Produkte oder Dienstleistungen verwenden? 3. Müsste es geändert werden, wenn sich ein normatives Regelwerk ändern würde? 4. Dient es Unternehmen als Grundlage für neue Produkte oder Dienstleistungen? 5. Muss es konsequent von der Industrie verwendet werden, um den erwartenden Nutzend des Projekts zu entfalten? 6. Ist es darauf ausgerichtet, die Entwicklung vieler komplementärer Technologien und Produkte anzuregen? 7. Wird eine Nutzung in Produkten mehrerer Lieferanten erfolgen? 8. Leistet es einen wesentlichen Beitrag für die künftige Nutzung fortschrittlicher Technologien und Lösungen? 9. Wird es eine Lücke schließen oder ein Gebiet adressieren, welches nur teilweise durch bestehende Normen und Spezifikationen abgedeckt ist? Quelle: eigene Darstellung in Anlehnung an Hatto (2010) Darst. 26: Erweiterte technische Checkliste zur Identifikation des Normungspotentials Technologie- und ökonomiespezifische Checkliste zur Ermittlung des Normungspotentials Eine technologie- und ökonomiespezifische Checkliste wurde von CEN/CENELEC entwickelt, vgl. Darst. 27. Insofern drei der elf dargestellten Fragen bejaht werden, sollte dabei über Normungs- oder Standardisierungsmaßnahmen nachgedacht werden. Der Vorteil des Instruments besteht im Vergleich zur Checkliste in Darst. 26 darin, dass definiert wird, wie viele bejahende Antworten für die Einleitung eines Normungs- oder Standardisierungspro- 71

72 jekts erforderlich sind. Des Weiteren berücksichtigt sie wichtige Zusatzaspekte wie den Export und den Zugang zu öffentlichen Beschaffungsmärkten. In Bezug auf die Zielgruppe ist sie insbesondere auf relevante Fragestellungen von Unternehmen ausgerichtet. Technologie- und ökonomiespezifische Checkliste zur Ermittlung des Normungspotentials 1. Haben Sie innovative Produkte oder Dienstleistungen entwickelt oder sind Sie in hierauf ausgerichteten Vorhaben aktiv? 2. Hat Ihr Programm eine potentiell breite Marktanwendung? Ja Nein 3. Beabsichtigen Sie, Ihre innovativen Produkte und Technologien in andere Länder Europas zu exportieren oder international zu vermarkten? 4. Gibt es Elemente in Ihrem Projekt/Ihrer innovativen Entwicklung, die durch Regulierungen abgedeckt werden? 5. Existieren Normen oder Spezifikationen (national, europaweit oder international), die mit Ihrem Projekt zusammenhängen oder befinden sich derartige Regelwerke in der Entwicklung? 6. Sind Produkte, die aus Ihrem Projekt/Ihrer Entwicklung entstehen, von Interesse für die öffentliche Auftragsvergabe? 7. Ist es wahrscheinlich, dass in den kommenden drei Jahren marktreife Produkte entstehen? 8. Werden Sie in der Lage sein müssen, Verbrauchern und anderen Akteuren die Sicherheit Ihrer Innovationen zu bestätigen/versichern? 9. Müssen Sie neue Messgrößen einführen, um die Zuverlässigkeit und Vergleichbarkeit der Ergebnisse zu gewährleisten? 10. Muss Ihr Entwicklungsergebnis mit anderen Technologien kompatibel sein? 11. Müssen Sie die Produktqualität anhand eines Gütezeichens nachweisen? Quelle: in Anlehnung an CEN/CENELEC (o.d.: 7) Darst. 27: Technologie- und ökonomiespezifische Checkliste von CEN/CENELEC Entscheidungsbaum nach Hatto (2010) unter Berücksichtigung der tatsächlichen Umsetzbarkeit eines möglichen Normungsvorhabens Hattos (2010) Entscheidungsbaum beinhaltet ausgehend von den zuvor dargestellten Instrumenten wichtige zusätzliche Elemente. Neben der Betrachtung des technischen und marktbezogenen Kontexts wird hier entsprechend Darst. 28 noch konkreter die tatsächliche Umsetzbarkeit berücksichtigt. In einer definierten Prozessfolge werden dazu u.a. Fragen nach bestehenden Patenten und nach der Normungsbereitschaft von Projektpartnern aufgegriffen. Des Weiteren wird auf die Durchführung von Datenbankrecherchen hingewiesen, um den tatsächlichen Bedarf für das angestrebte normative Regelwerk zu ermitteln. 72

73 Quelle: in Anlehnung an Hatto (2010) Darst. 28: Entscheidungsbaum zur Bestimmung des Normungs- und Standardisierungspotentials Die Empfehlungen in Bezug auf Patente werden in Kap. 8 vertieft. Eine Anleitung zur Prüfung der relevanten Datenbanken wird in Kap. 5.3 gegeben Normen- und Patentrecherche Für mehrere Teilnehmer der Umfrage InfraNorm (2011) stellt die Unwissenheit über bestehende Normen ein Problem dar. Konkret wurde dies bei der Beantwortung von Frage 11 der Studie zum Ausdruck gebracht. Zur raschen Informationsbereitstellung und zur empfohlenen Prüfung einschlägiger Datenbanken laut Darst. 28 ist insbesondere die Nutzung der Datenbank Perinorm International von Bedeutung. Perinorm International beinhaltet in über einer Million Datensätzen die europa- und weltweit wichtigsten Fakten über Normen, technische Regelwerke und Rechtsvorschriften. Um das Einsehen von Normen vor Ort zu ermöglichen, hat das DIN zudem deutschlandweit Auslegestellen eingerichtet, vgl. Perinorm International umfasst Datenbanken aus 24 Ländern (Stand: Mai 2011), sowie die Daten der europäischen und internationalen Normeninstitute CEN, CENELEC, ETSI, ISO, IEC und ITU. Perinorm bietet beispielsweise Auskunft zu folgenden Fragen: 73

74 Welche Normen und Norm-Entwürfe sind vorhanden? Wann wurden diese herausgegeben oder zurückgezogen? Welche Technischen Regeln, Rechts- und Verwaltungsvorschriften mit technischem Bezug müssen in Deutschland beachtet werden? Welche EU-Richtlinien sind relevant? (vgl. Perinorm DIN/RUB, 2008). Ausgehend von den ermittelten Treffern sind im nächsten Schritt Konkretisierungen möglich hinsichtlich: Klassifikation (Art der Norm, Branche) Dokumentart (Normentwürfe, Normen etc.) Gültiger Datensätze Aktualisierung Ursprungsland sowie in Bezug auf Europäischer und internationaler Regelwerke. Über Perinorm besteht ferner ein Volltextzugriff auf das gesamte deutsche Regelwerk der DIN-Normen. Eine Anleitung zur Benutzung wird unter _de.pdf gegeben. Perinorm ist in den Bibliotheken vieler Hochschulen verfügbar. Für die aktuellen Arbeiten der Normungsorganisationen und zur Informationsgewinnung über bestehende Gremienstrukturen ist es ferner empfehlenswert, direkt auf den Webseiten der relevanten Organisationen zu recherchieren. Wichtige Links werden in Darst. 29 zusammengefasst. Neben der Analyse der Aktivitäten in Normungsorganisationen ist auch eine Prüfung der Aktivitäten von Standardisierungskonsortien ratsam. Informationen hierfür bieten insbesondere drei Webseiten: Hattos (2010) Entscheidungsbaum sieht im zweiten Schritt eine Prüfung vor, ob auf dem relevanten Gebiet Patente existieren. Für die Suche nach relevanten Patenten stehen mehrere Datenbanken zur Verfügung. Eine Möglichkeit bietet Espacenet: Espacenet bietet einen freien Zugang zu 70 Mio. Patentdokumenten weltweit. Hinweise zur Durchführung einer geeigneten Patentrecherche bietet EPO (2012) Beteiligte Gruppen der Normung und Standardisierung Zur Darstellung der beteiligten Gruppen der Normung und Standardisierung bestehen Klassifikationsmöglichkeiten entsprechend des erbrachten Einsatzes, der Organisationszugehörigkeit und des beruflichen Hintergrunds. Ergänzende Klassifikationen bietet Updegrove (2007a). 74

75 Gremium ISO IEC CEN CENELEC ETSI ITU Liste technischer Komitees standards_ /technical_ /list_of_iso_technical_ committees.htm 103:6:0 c.eu/dyn/www/f?p =104:6: Anmerkungen Maske für die Schlagwortsuche Anmerkungen Bietet eine Übersicht über mehr als 250 Komitees, Links zu den Homepages, Informationen zu publizierten Standards sowie zu aktuellen Arbeitsprogrammen search.htm Zeigt sowohl publizierte Standards als auch solche, die sich in der Entwicklung befinden Stand: August 2012 Darst. 29: Links wichtiger Normungsorganisationen Bietet eine Übersicht der Komitees mit Verlinkungen zu den Homepages, Informationen zu publizierten Standards sowie zu aktuellen Arbeitsprogrammen 103:99:0::::FSP_LANG_ID:25 Enthält einen Dashbord Finder (zeigt Komitees und Länder, die sich mit dem Suchbegriff befassen) sowie eine Schlagwortsuche zu Dokumenten und Arbeitsprogrammen ( Working Documents, Project Files and Work Programme ) und zu aktuellen Arbeiten ( Publications and Work in Progress ) Die Liste ist in die folgende Suchmaske integriert: eu/cen/sectors/techni calcommitteesworkshops/centechnical Committees/Pages/ default.aspx Nach Auswahl eines Gremiums können z.b. bereits publizierte Standards und aktuelle Arbeiten des jeweiligen Gremiums angezeigt werden Ermöglicht eine Suche nach publizierten Standards sowie zu aktuellen Arbeiten c.eu/dyn/www/f?p =104:103:0::::FSP _LANG_ID:25 Inhaltlich nahezu identisch mit der Suchmaske des IEC Die Liste ist in die folgende Suchmaske integriert: org/workprogram/ SimpleSearch/ QueryForm.asp org/workprogram /Expert/QueryFor m.asp Die Suchbegriffe können in der Zeile Simple Boolean Search eingetragen werden. Zur Konkretisierung der Suche existieren zahlreiche weitere Funktionen U-T/# Unter der Rubrik Standardization werden Study Groups, Focus Groups und Komitees angezeigt Informationen über anspruchsvolle kostenpflichtige Angebote unter n/publications/pag es/default.aspx, frei verfügbare Informationen werden unter c/t-rec/e geboten

76 Einsatzbezogene Klassifikation: Befürworter und Nutzer Normungsgremien bestehen gemäß Updegove (2007a) allgemein aus zwei Teilnehmergruppen: Befürworter der Normen und Spezifikationen und Nutzer. Befürworter hoffen, Vorteile aus der Entwicklung neuer Normen und Spezifikationen zu generieren, z.b. durch die Entwicklung neuer Märkte für Waren und Dienstleistungen oder die Verdrängung bisheriger Marktführer. Erwartungsgemäß sind die Befürworter die aktivere Gruppe und stellen in der Regel die Gründer neuer Gremien. Für die Nutzer bzw. Normanwender ist vielmehr relevant, ob und wie sie Regelwerke einsetzen können. Daher ist ein tendenziell geringes Engagement im Gremium kennzeichnend. Das Hauptaugenmerk liegt vielmehr auf einem frühen Zugang zu Informationen und Trainingsmöglichkeiten. Es ist möglich, dass ein Akteur gleichzeitig beiden Gruppen angehört. In derartigen Fällen ist eine tendenziell aktive Mitarbeit wahrscheinlich. Organisationsspezifische Klassifikation Organisationsbezogen werden in Anlehnung an Updegrove (2007a) fünf Teilnehmergruppen unterschieden: Hersteller und andere kommerzielle Einrichtungen Hersteller bilden erwartungsgemäß die einflussreichste Teilnehmergruppe in der Normung. Sie verfolgen i.d.r. spezielle strategische Interessen. Erzielbare Vorteile wurden in Kap. 4.3 dargestellt. Oft repräsentieren Hersteller auch die größte Teilnehmergruppe in den Gremien. In der FuE-basierten Normung und Standardisierung ist jedoch häufig auch eine große Beteiligung aus Forschungsinstituten und Universitäten zu verzeichnen. Universitäten und Forschungsinstitute Vorteile der Normung und Standardisierung für Universitäten und Forschungsinstitute wurden ebenfalls in Kap. 4.3 dargestellt. Während Hochschulvertreter oft keine direkten wirtschaftlichen Interessen mit einem Normungsergebnis verbinden, ist i.d.r. ein fachliches Interesse am Einsatz und an der Struktur einer Norm oder Spezifikation gegeben. Weiter mögliche Interessen umfassen z.b. den Wissenstransfer, Kontakte und die Steigerung der Reputation. Von Seiten der Forschungsinstitute werden die Vorteile der Normung und Standardisierung zunehmend erkannt, z.b. zur FuE-Ergebnisverwertung und um auf Basis der entsprechenden Regelwerke Lizenzen zu vergeben oder Zertifizierungsleistungen anzubieten. Daher ist ein steigendes Normungs- und Standardisierungsengagement zu beobachten (vgl. Kap. 4.3). Ähnlich einer wissenschaftlichen Publikation werden DIN SPECs unter Angabe ihrer Autoren herausgegeben. Auch dies ist für Forscher von Interesse. Regierungseinheiten Staatliche Stellen nehmen im Normungskontext eine besondere Rolle in. Neben der Beteiligung an Normungs- und Standardisierungsprozessen und der Anwendung der Regelwerke, 76

77 auch als Vorgabe in Ausschreibungen, agieren sie durch die Erarbeitung von Gesetzen und Verordnungen. Außerdem können sie in wechselseitigen Beziehungen zu Normungsgremien stehen, um Normen durch Referenzierung in verpflichtende Verordnungen zu übernehmen. Verbrauchergruppen und andere Non-Profit-Organisationen Normungsorganisationen messen der Verbrauchermeinung eine hohe Bedeutung bei, da die Verbraucher einen interessierten Kreis darstellen. Auf dieser Grundlage existiert z.b. ein Verbraucherrat im DIN. Dieser bündelt Experten aus Verbraucherorganisationen und holt deren Meinung zu speziellen Themen ein. Die Mitarbeiter des Verbraucherrates übermitteln diese Meinung in die Sitzungen der einzelnen Gremien. Klassifikation anhand des beruflichen Hintergrunds Die Klassifikation auf Grundlage des beruflichen Hintergrunds ist eng mit der organisationsbezogenen Klassifikation verwandt. Im Mittelpunkt stehen auch hier spezifische Verhaltensmuster im Normungsprozess. Pfetsch (2008) identifizierte dabei typische Merkmale von Ingenieuren, Ökonomen, politischen Entscheidungsträgern und Juristen, die zu unterschiedlichen Verhaltensweisen und Reaktionen führen. Darst. 30 gibt einen Überblick. Der Hintergrund der Akteure kann ihr Verhalten in Normungs- oder Standardisierungsprozessen entscheidend beeinflussen und aufgrund unterschiedlicher Werte und Verhandlungsstile auch zu Konflikten führen. Daher ist es wichtig, die gruppenspezifischen Unterschiede auf geeignete Weise in der Verhandlungsführung zu berücksichtigen. Vertiefende Informationen bietet Pfetsch (2008). Auch innerhalb derselben Gruppe ist es wichtig, bei der Normerarbeitung eine gemeinsame Verhandlungsbasis zu finden. So wurde beispielsweise von mehreren Ingenieuren, die an der Standardisierung eines Datenaustauschformats (vgl. Kap. 9.3) beteiligt waren, die Bedeutung beschrieben, in ihrer Arbeitsgruppe zunächst einen einheitlichen technischen Blickwinkel auf die Aufgabenstellung zu erarbeiten. 77

78 Betrachtungsbereich Kulturelle Werte Haben Respekt vor Kulturelle Perspektive Ingenieure Juristen Ökonomen physikalische Gesetze Technologien, Berechnungen, Materialien, Designs Vorschriften Autoritäten, Präsedenzfällen, Vertragsgeheimnissen, Regeln im Allgemeinen ökonomische Gesetze Theorien und statistischen Daten Akteure der Politik Gesetz des Fortbestehens Schirmherren, Parteien und Parteiloyalität Sehen sich selbst als Erbauer und Problemlöser Verteidiger des Rechts, Zelot Planer und politischer Berater Verteidiger öffentlicher Interessen, Mediator, ultimativer Entscheider Präsentieren sich selbst durch Zahlen und Arbeitsergebnisse Technische Begriffe und Dokumente Finanzielle Größen Genehmigungen und Richtlinien Verhandlungsstil Rolle im Team Leiter oder technischer Spezialist Leiter, Sprecher, technischer Berater oder nicht beteiligt Leiter oder finanzieller Berater Leiter Verhandlungsfokus Technische Spezifikationen Rechte und Pflichten der Parteien Kosten, Preise, Bezahlung Zufriedenstellung von Vorgesetzten, Vermeidung von Kritik Zukunftssorgen Projektimplementierung Auflösung von Konflikten Cash-flow- Risiken Fertigstellung des Projekts Kommunikationsstil Präzise und quantitativ Präzise u. logisch, aber evt. argumentativ Technisch und konservativ Vorsichtig und selbst-schützend Quelle: in Anlehnung an Pfetsch (2008) Darst. 30: Gliederung von Normungsteilnehmern und Verhandlungsstilen anhand des beruflichen Hintergrunds 5.5. Partnergewinnung und Gremienzusammensetzung Empfehlungen zur Gremienzusammensetzung bietet Riefler (2008), wobei Themen der Größe und Heterogenität einer Arbeitsgruppe in den Mittelpunkt gestellt werden. Der Autor unterscheidet dabei zwischen großen und kleinen Arbeitsgruppen anhand eines Schwellwerts von 15 Teilnehmern. Kleine Gruppen können meist effizienter arbeiten. In der Regel zeichnen sie sich im Vergleich zu größeren Gremien durch einen geringeren Organisationsaufwand und eine einfachere Konsenserzielung aus. Empirischen Studien zufolge korrelieren die Größe einer Arbeitsgruppe und der Koordinationsaufwand dabei mit der Durchführungsdauer der Projekte. Ein mögliches Problem ist jedoch die spätere Akzeptanzerzeugung in der Öffentlichkeit, da die Ergebnisse erwartungsgemäß vorrangig auf die speziellen Interessen 78

79 der kleinen Gruppe zurückzuführen sind. Große Gruppen erlangen tendenziell eine stärkere Akzeptanz, erfordern aber einen größeren Koordinationsaufwand. Als Aspekte der Heterogenität einer Arbeitsgruppe werden in Anlehnung an Riefler (2008) Organisationstypen, funktionale Anforderungen und Strategien betrachtet. Die Heterogenität der Organisationstypen in einem Gremium steigt die Adoptionswahrscheinlichkeit, insbesondere wenn alle relevanten Zielgruppen beteiligt sind. Eine Heterogenität der funktionalen Anforderungen begünstigt die Qualität des erarbeiteten Regelwerks. Strategische Positionen sind vorrangig von Abschätzungen abhängig, inwiefern das erwartete Ergebnis mit eigenen Interessen übereinstimmt. Eine strategiespezifische Heterogenität, gekennzeichnet durch Bestrebungen, unterschiedliche Ziele durchzusetzen, kann den Normungs- bzw. Standardsetzungserfolg beeinträchtigen. In besonderer Weise betrachtet Riefler (2008) anhand einer Heterogenität der Strategien und der Anforderungen kleine homogene und kleine heterogene Arbeitsgruppen. Kleine, homogene Arbeitsgruppen bestehen häufig aus Partnern gemeinsamer Projekte auf dem relevanten Fachgebiet. Oft liegen dabei rasch konkrete Vorstellungen über das beabsichtigte Normungs- oder Standardisierungsprojekt vor und der Bedarf, zusätzliche Informationen für das Vorhaben zu beschaffen, ist erwartungsgemäß verhältnismäßig gering. Die geringe Beteiligung reflektiert, dass das Projekt vor allem für die Interessen einer kleinen Gruppe relevant ist. Es kann sich auch um Aktivitäten handeln, durch welche ehemals proprietäre Lösungen zu Normen weiterentwickelt werden. Die homogenen Interessen in den Arbeitsgruppen reduzieren den Druck, hoch kompatible und flexible Regelwerke zu entwickeln (vgl. Li et al., 2001 in Riefler, 2008). Aus diesem Grund erfordern die Bedürfnisse der Zielgruppe ein besonderes Augenmerk. Sind die Positionen der Teilnehmer in ihren Wertschöpfungsketten heterogen, kann dies die zielgruppenseitige Akzeptanz des Regelwerks begünstigen. Daher sollte eine derartige Heterogenität, wenn möglich, bei der Zusammenstellung einer Arbeitsgruppe beachtet werden. Die Durchführungsdauer der Projekte ist im Vergleich zu anderen Teilnehmerkonstellationen kurz. Strategische Abstimmungen erfolgten in der Regel bereits vor Beginn der Arbeiten, wodurch die Entwicklung einer kollektiven Lösung erleichtert wird. Kleine, heterogene Arbeitsgruppen bestehen aus einer geringen Anzahl von Akteuren mit heterogenen Anforderungen und Strategien. Die Ausrichtung der Vorhaben ist auch hier für eine Beteiligung durch einen größeren Adressatenkreis nicht attraktiv. In der Regel existieren in derartigen Gremien Parteien mit rivalisierenden Vorschlägen. Daher erweist sich die Koordination als anspruchsvoller und die Normerarbeitung erfordert i.d.r. einen höheren Zeitaufwand. Die intensive Diskussion unterschiedlicher Bedürfnisse kann jedoch die Anwendbarkeit des erarbeiteten Regelwerks begünstigen. Für die Erstellung von Normen im DIN werden zur Erstellung von Normen konkrete Größenvorgaben für Arbeitsausschüsse in der Richtlinie für Normenausschüsse im DIN e.v. (DIN, 2009b) gegeben: 79

80 Ein Arbeitsausschuss sollte aus nicht mehr als 21 Mitarbeitern bestehen. Diese Anzahl sollte möglichst nicht ausgeschöpft werden. Überschreitungen bedürfen der Genehmigung ( ). Die vorübergehende Mitarbeit von Gästen an bestimmten Normungsvorhaben ist zusätzlich möglich. Über ihre Zulassung entscheidet der Obmann im Einvernehmen mit dem Geschäftsführer. Für die Erstellung von DIN SPECs empfiehlt das DIN kleinere Arbeitsgruppen Grundlegende technische Empfehlungen Für eine erfolgreiche Entwicklung von Normen und Spezifikationen hat Piersall (2003) entsprechend Darst. 31 zwölf allgemeine Anforderungen definiert. Spezielle Empfehlungen, insbesondere in Bezug auf marktspezifische Aspekte, gibt ETSI (2012). Marktbasiertheit Timing Umfassende Akzeptanz Entwicklung in Übereinstimmung mit neuen Technologien Gewährleistung der Herstellbarkeit Systembasiertes Management, Fokus auf Austauschbarkeit und Performance Nutzbarkeit Geeignete Konkretisierung bei produktbezogenen Normen und Spezifikationen Installierbarkeit Sichere Unterstützbarkeit Geeigneten Möglichkeiten zur Wartung Effiziente Einsetzbarkeit bei wettbewerbsfähigen Kosten Quelle: in Anlehnung an Piersall (2003) Darst. 31: Technische Empfehlungen für eine erfolgreiche Normung oder Standardisierung Marktaspekte haben bei der Normung und Standardisierung eine zentrale Bedeutung. Eingangs ist dabei zu definieren, welche Akteure den Markt darstellen. Mögliche Zielgruppen sind z.b. Hersteller, Systembetreiber und Endnutzer. In der Normung und Standardisierung sind alle Zielgruppen mit ihren teilweise heterogenen Erwartungen zu berücksichtigen (vgl. Kap. 5.6). Zur Identifikation der Markt- und Nutzeranforderungen steht eine Reihe von Möglichkeiten zur Verfügung. ETSI (2012) nennt hier beispielsweise Experimente, Beobachtungen, Heuristik, Focus Groups und Befragungen. Normungs- und Standardisierungsprojekte im Kontext des Sicherheitsforschungsprogramms bieten dabei Möglichkeiten, diesbezügliche Arbeiten im Rahmen der relevanten Forschungsprojekte zu erbringen. Ein Beispiel bietet das Vorhaben in Kap Die Nachfrage wird u.a. von zeitlichen Aspekten (Timing) beeinflusst. Eine technische Qualität ist im Hinblick auf den Normungs- bzw. Standardisierungserfolg nicht von einem hohen existierenden oder potentiellen Marktbedarf zu trennen. Im Normungsfall ist der Konsens der interessierten Kreise ein wichtiges weiteres Erfolgskriterium. Alle drei Aspekte stellen gleichzeitig wichtige Akzeptanzvoraussetzungen dar. Eine Übereinstimmung mit dem technischen Fortschritt stellt eine grundsätzliche Voraussetzung für die Normungsarbeit im DIN e.v. dar. Dohlmans (2002) verdeutlicht dabei die 80

81 Bedeutung fairer und offener Technologieauswahlverfahren. Objektive und nachprüfbare Kriterien haben in diesem Kontext hohe Bedeutung. Die Gesamtkosten der Technologienutzung beispielsweise stellen ein geeignetes Auswahlkriterium dar. Es ist sicherzustellen, dass die Auswahl nicht von der Herkunft eines technischen Ansatzes beeinflusst wird. Personen oder Organisationen, die kein unmittelbares Interesse an dem Auswahlergebnis haben, erweisen sich für die Durchführung derartiger Verfahren als besonders geeignet (vgl. Dolmans, 2002:33ff). Austauschbarkeit bedeutet beispielsweise die Vermeidung einer Abschottung. Dohlmans (2002) unterstreicht, dass Normen bzw. Spezifikationen die Verwendung alternativer Technologien ermöglichen müssen. Spezielle Aspekte der Austauschbarkeit im Kontext von Informations- und Kommunikationstechnologien werden später in diesem Kapitel vertieft. Eine geeignete technische Konkretisierung beinhaltet sowohl die Vermeidung einer Überals auch einer Unterstandardisierung. Um einen maximalen Wettbewerb auf Basis von Qualität und Produktdifferenzierung zu sichern, muss sich das Regelwerk auf unverzichtbare Elemente beschränken. Dies gilt insbesondere in Bezug auf Vorgaben für Produkt- oder Systemdesigns oder Technologieimplementierungen (vgl. Dohlmans, 2002). Die effiziente Umsetzbarkeit kann z.b. durch eine geeignete Technologieauswahl und einen geeigneten technischen Ansatz begünstigt werden, während Maßnahmen zur Gewährleistung von Herstellbarkeit und Nutzbarkeit unter den Ausführungen zum Dokumentenmanagement betrachtet werden. Zur Sicherstellung der Installierbarkeit beinhalten die Empfehlungen zum Dokumentenmanagement beispielsweise die Bereitstellung von Nutzerhandbüchern. Leitlinien zu (allgemeinen) Sicherheitsaspekten werden durch ETSI (2012) geboten. Spezifika zur Ermöglichung einer geeigneten Wartung sind dem Kontext entsprechend zu definieren. Zentrale Qualitätskriterien für IT-bezogene Normen und Spezifikationen umfassen die Interoperabilität bzw. Austauschbarkeit und die Interkonnektion/Kopplung (vgl. ETSI, 2012). Spezielle Hinweise zur Gewährleistung von Interoperabilität gibt Egyedi (2007). Entsprechend Darst. 32 identifizierte Egyedi (2007) zunächst eine Reihe möglicher Ursachen für Interoperabilitätsprobleme. Dabei handelt es sich insbesondere um eine hohe Komplexität, eine Mehrdeutigkeit der natürlichen Sprache sowie Unsicherheit im Umgang mit Wahloptionen. In Darst. 33 zeigt die Autorin Lösungsmöglichkeiten auf. Komplexität: Ein Interoperabilitätsrisiko kennzeichnet z.b. Regelwerke mit zu vielen Details. Ein geeigneter Detaillierungsgrad ist dabei von der relevanten Technologielebenszyklusphase abhängig. Wenn ein Regelwerk in einer frühen Phase zu viele Details enthält, besteht die Gefahr eine Fehlstandardisierung. Schlechte Strukturierung eines Regelwerks: Mögliche Fehlerursachen betreffen z.b. die Vollständigkeit, Eindeutigkeit, Lesbarkeit und die Strukturierung im engeren Sinne. 81

82 Inkompatibilitätsgründe Ursache* Fehler, Unklarheiten, Widersprüche NP/N Mehrdeutigkeit der natürlichen Sprache NP/N Fehlende Detailangaben, Monopol auf implizites Wissen N/IP Schlechte Strukturierung N Unklarheit, wie die Optionen zu behandeln sind N Unklare Kompatibilität von unverbindlichen Empfehlungen N Komplexität umfassender, ehrgeiziger Regelwerke K Zu viele Optionen und Parameter NP/N/IP Parallele Optionen mit überlappenden Funktionen NP/N/IP Unklarer Status eines Begleitbuchs N Einzelnes Unternehmen pusht Regelwerk; schwache Spezifikationen NP Überladung K/IP Abweichung vom Regelwerk oder nur teilweise Implementierung IP *K: Konzeptionelle Idee, NP: Normungs-/Standardisierungsprozess, N: Norm/Spezifikation, IP: Implementierungsprozess Quelle: in Anlehnung an Egyedi (2007) und Egyedi/Dahanayake (2003) Darst. 32: Inkompatibilitätsgründe und Ursachen Mehrdeutigkeit der natürlichen Sprache: Um der Mehrdeutigkeit der natürlichen Sprache gerecht zu werden, sind zur Entwicklung komplexer Protokollspezifikationen formale Spezifikationssprachen verfügbar. Egyedi (2007) nennt hier z.b. ASN1 (Abstract Syntax Notation 1). Einen grundsätzlichen Zusatznutzen bieten diese Spezifikationen dahingehend, dass ihre Verwendung die Prüfung der relevanten Protokolle erleichtern und einen Mehrwert bei der Entwicklung validierbarer Modelle bieten kann. Ihr tatsächlicher Nutzen ist vom individuellen Normungsvorhaben abhängig. Unsicherheit im Umgang mit Wahloptionen: Regelwerke mit einer engen Reichweite und wenigen Wahlmöglichkeiten werden tendenziell korrekt umgesetzt und führen zu relativ wenigen Kompatibilitätsproblemen. Die ermöglichte Produktvielfalt ist jedoch in der Regel gering. Vielfaltsfördernde Regelwerke bergen demgegenüber Interoperabilitätsrisiken. Eine Kompatibilität ist dabei auch bei standardkonformen Produkten nicht zwingend gegeben. Spezielle Probleme können in diesem Kontext durch Unklarheiten aufgrund einer ungeeigneten Konkretisierung der Wahlmöglichkeiten sowie durch fehlende Handlungsempfehlungen bei Nichtnutzung derartiger Optionen entstehen. Überlastung: Neben dem Problem einer Komplexität, die auf zu umfassenden Regelwerken beruht, kann ein Mangel an Interoperabilität auch aus einer Überlastung des Regelwerks resultieren. Die Autorin beschreibt dabei Probleme aufgrund der hohen Anzahl (>100) von Internetstandards für das Internet Protokoll Version 6 (IPv6). Fehlende Angaben, Monopol auf implizites Wissen: Arbeitsgruppen stehen der Notwendigkeit gegenüber, auf einem impliziten, gemeinsamen Verständnis über die Zielgruppe aufzubauen. Aus Zeit- und Ressourcengründen können dabei nur ausgewählte Informationen in ein normatives Regelwerk eingebracht werden. Auf der anderen Seite kann nicht grundsätzlich vorausgesetzt werden, dass jedes Gremienmitglied sein Wissen teilt. Fehler und fehlerhafte Angaben sind baldmöglichst zu beseitigen. 82

83 Eine Liste von Möglichkeiten zur Umgehung von Interoperabilitätsproblemen bietet wie beschrieben Darst. 33. Lösungen zum Umgang mit Fehlern, Widersprüchen und unklaren Formulierungen umfassen beispielsweise entsprechend Egyedi/Dahanayake (2003) Revisionen, Referenzimplementierungen, Interoperabilitätstest, Interoperabilitäts-Konformitäts- Statements und Reference-Guides. Unsicherheiten in Bezug auf die allgemeine Interoperabilität sind ebenfalls durch Interoperabilitätstests und Interoperabilitäts-Konformitäts- Statements reduzierbar. Probleme einer zu hohen Komplexität des Regelwerks können z.b. durch eine Prioritätensetzung vermieden werden. Maßnahmen zur Verringerung von Interoperabilitätsproblemen Erarbeitung von Normen und Spezifikationen Klärung der Art enthaltender Optionen (optional / obligatorisch, orthogonal / äquivalent) Festlegung des Umgangs mit den Optionen (z.b. Profile) Spezifizierung der Folgen einer (Nicht-) Umsetzung der Optionen Ergänzung des Regelwerks um einen Reference-Guide Vor der Umsetzung Validierung des Regelwerks vor der Implementierung in Produkte umgesetzt Entwicklung von Referenz- und Pre-Implementierungen Entwicklung einer Referenzumgebung Einbezug von Tests (zur Standardkonformität und Interoperabilität) Organisation von Interoperabilitätsveranstaltungen mit Produkten verschiedener Anbieter (z.b. Plug-Tests) Organisation von Veranstaltungen zum Dialog zwischen Entwicklern des Regelwerks und Implementierern Nach der Umsetzung Verbesserung der einheitlichen Regelwerksnutzung, z.b. mit Hilfe von Compliance-, Interoperabilitäts- und Konformitäts-Statements, Zertifizierungsprogrammen und Test-Suiten Quelle: in Anlehnung an Egyedi (2007) Darst. 33: Maßnahmen zur Verringerung von Interoperabilitätsproblemen Ein praktisches Beispiel für die Betrachtung derartiger Aspekte bei der Entwicklung von DIN SPECs wird in der Fallstudie Entwicklung eines Interoperabilitätsstandards für die zivile Gefahrenabwehr gegeben. Dabei geht es insbesondere um die Datensicherheit und die Ermöglichung einer Internationalisierung und einer späteren Erweiterung. Weitere technische Anforderungen, die im Rahmen dieser Schnittstellenentwicklung definiert wurden, umfassten: u.a. Fehlerfreiheit, Vollständigkeit, Redundanzfreiheit, Vermeidung von Zusatzaufwand für Bediener sowie Planbarkeit des Implementierungsaufwands. Des Weiteren wurde auch die Forderung berücksichtigt, keine wettbewerbsbeschränkenden Vorgaben vorzunehmen. Konkret wurde bewusst auf die Vorgabe einer konkreten Geosoftware verzichtet. Spezielle Anforderungen an weitere Norm- oder Standarddokumente werden in der Literatur nahezu nicht betrachtet. Konkrete Regelungen wurden jedoch in der Praxis definiert. Die Neutralität des DIN beugt Abschottungen vor. Kein Marktteilnehmer wird durch eine Aufführung in Normen bevorzugt. 83

84 5.7. Verhandlungsstrategien In Kap. 3.2 wurde gezeigt, dass Verhandlungen in der Normung und Standardisierung zentrale Aktivitäten darstellen. Grundsätzliche Empfehlungen für ihre erfolgreiche Umsetzung gibt Pfetsch (2008). In Anlehnung an das Harvard Negotiation Project hat er fünf Regeln für erfolgreiche (Normungs-)Verhandlungen abgeleitet: Persönliche und objektive Aspekte trennen Die Verhandlungen auf Interessen und nicht auf Positionen konzentrieren Sicherstellen, dass alle Beteiligten von den gewählten Optionen profitieren und gemeinsame Mehrwerte erlangen Objektive Entscheidungskriterien, wissenschaftliche oder professionelle Einschätzungen sowie faire Verfahren verwenden Im Falle, dass das Verhandlungsziel nicht erreicht werden kann, die beste Alternative umsetzen. Als Ergebnis von Frage 1 in InfraNorm (2011) wird der Entwicklung von security-bezogenen Schnittstellen im Vergleich zu anderen Normungs- und Spezifikationstypen von Teilnehmern des Forschungsprogramms die größte Bedeutung beigemessen. Bei der Schnittstellenentwicklung ist die Konsensfindung durch besondere Rahmenbedingungen gekennzeichnet. Die nachstehenden Verhandlungsstrategien von Schmidt/Werle (1998) wurden insbesondere für Akteure entwickelt, für die der Wert ihres Angebots von Kompatibilitätsnormen oder -spezifikationen beeinflusst wird. Die Entwicklung derartiger Regelwerke kann durch zwei Kontexte gekennzeichnet sein: die Existenz kompatibler Komplementäre und die Existenz kompatibler Substitute. Im ersten Fall sind zwei technische Komponenten y und z kompatibel und gemeinsam nutzbar. Sie erlangen erst durch das Zusammenwirken mit kompatiblen Technologien einen deutlichen Nutzen. Ihre Produzenten und Anwender haben daher ein großes Interesse Kompatibilität zu erwirken. Wenn jedoch nicht nur y sondern auch eine funktionell gleichwertige Komponente x mit z kompatibel ist, ist es aus Nutzer- und Herstellersicht unbedeutend, ob x oder y angewandt wird. Hinsichtlich einer Interoperabilität mit z sind beide Komponenten kompatible Substitute. Derartige Situationen implizieren Wettbewerb. Um Empfehlungen für beide Fälle zu geben, ist die Anwendung der Spieltheorie sinnvoll. Die Spieltheorie geht von der Annahme aus, dass individuelle Ergebnisse nicht nur von individuellen Entscheidungen abhängen, sondern auch von anderen Akteuren, wodurch ihre möglichen Schritte bei den eigenen Schritten zu berücksichtigen sind. Dabei gibt es keine unabhängig beste Lösung, die ein Akteur allein treffen kann. Schmidt/Werle (1998) unterscheiden bei der Betrachtung der Kompatibilitätskonstellationen vier Fälle: Pure Coordination Game, Battle of the Sexes, Nullsummenspiel und Gefangenendilemma: Pure Coordination Game Ist ein Regelwerk zur Gewährleistung von Kompatibilität ausschließlich für zwei Komponenten, y und z, zu entwickeln, eint die Akteure im Regelfall das gemeinsame Normungs- bzw. Standardisierungsziel. Bei dieser typischen Situation eines Pure Coordination Games gibt es erwartungsgemäß kaum Unterschiede zwischen der individuellen und der gemeinsamen 84

85 Ideallösung aller Parteien. Insofern verschiedene Optionen zur Wahl stehen, ist kaum Konfliktpotential zu erwarten, weil kein Beteiligter einen speziellen Vorteil von einer bestimmten Strategie erwartet. Die Lösungsfindung erfordert vor allem Koordination. Wenn das Regelwerk verabschiedet ist, kann von einer großen Umsetzungsbereitschaft der beteiligten Akteure ausgegangen werden. Battle of the Sexes Wenn der Nutzer/Produzent von y eine Lösung A präferiert, während für den Nutzer/ Produzenten von z B attraktiver erscheint, kann das Erreichen von Kompatibilität schwierig sein obwohl die Parteien wissen, dass sie den höchsten Nutzen bieten würde. In der Spieltheorie werden derartige Konflikte als Battle of the Sexes bezeichnet. Für die Einzelnen ist jede Umsetzungsalternative mit unterschiedlichen Gewinnkonstellationen verbunden, wobei eine Partei eine individuell suboptimale Lösung akzeptieren muss. Die Entscheidungsschwierigkeit, wessen Favorit realisiert werden soll, birgt die Gefahr, dass das Vorhaben scheitert. In der Praxis stellt diese Konstellation die wahrscheinlichere Alternative dar. Für beide zuvor dargestellten Konstellationen ist kennzeichnend, dass höhere gemeinsame Rückflüsse erreicht werden können, wenn eine Einigung für eine Lösung erzielt werden kann. Die Spieltheorie zeigt hier, dass die Lösungsfindung positiv beeinflussbar ist, wenn die Akteure relative Gewinne berechnen und von der Konzentration auf eigene isolierte Vorteile zu Gunsten eines gemeinsamen Gesamtnutzens abkehren. Nullsummenspiel Beim Nullsummenspiel wird von einer Substierbarkeit nicht-kompatibler technischer Alternativen ausgegangen. Dabei ist ein Scheitern der Verhandlungen sehr wahrscheinlich. Konkret umfasst der Verhandlungsprozess hier zusätzlich den Produzenten/Nutzer der funktionell zu y äquivalenten Komponente x. Insofern der Nutzen beider Komponenten eine Interoperabilität mit z erfordert, haben beide Anbieter großes Interesse an einer Realisierung. Wenn sie aus diesem Grund unterschiedliche Ausgestaltungen des Regelwerks, A und B, benötigen, besteht erwartungsgemäß Konfliktpotential. Für das generelle Funktionieren des technischen Systems ist es irrelevant, ob A oder B angewandt wird, aber für die Unterstützer von x bzw. y kann eine konkrete Entscheidung gleichzeitig einen totalen Erfolg oder totalen Verlust bedeuten. Diese Situation wird als Nullsummenspiel bezeichnet. Es wird erfahrungsgemäß keine Einigung erzielt. Gefangenendilemma Ein Gefangenendilemma kann entstehen, wenn die Produzenten/Nutzer von A und B in Form der Alternative C Kompromissmöglichkeiten sehen, diese jedoch aus Kostengründen als unattraktiv empfinden. Beide Parteien zögern, da die Alternative vom individuellen Optimum abweicht. Sie sind unsicher, ob die jeweilige Gegenpartei kooperieren wird, und zeigen sich daher auch selbst nicht kompromissbereit. Im Ergebnis wird kein Regelwerk realisiert, obwohl eine für alle Seiten günstigere Alternative realisierbar gewesen wäre. 85

86 Zur Vermeidung solch derartiger Ergebnisse hat ein lösungsorientiertes Projektmanagement hohe Bedeutung. Wichtig ist dabei ein gemeinsames Verständnis für mögliche Lösungen, die sich für alle Beteiligten attraktiver gestalten als die Abkehr von einem Übereinkommen. Hilfestellungen für die Lösung von Konflikten werden in Kap. 5.8 gegeben Konfliktlösungen im Normungsprozess Seine in Kap. 5.7 dargestellten Empfehlungen weiterführend, hat Pfetsch (2008) zum grundsätzlichen Umgang mit Konflikten in Normungsprozessen sieben Regeln definiert. Sie wurden aus allgemeinen Empfehlungen für Verhandlungen auf europäischer Ebene abgeleitet: Versuchen Sie herauszufinden, wie verhandlungswillig die Gegenseite ist und wo die Grenzen ihrer Verhandlungsbereitschaft liegen! Identifizieren Sie die wichtigsten Parteien, die direkt oder indirekt an dem Konflikt beteiligt sind. Versuchen Sie die Machtstruktur oder Machtbeziehungen zu verstehen und konzentrieren Sie sich auf die wichtigsten! Identifizieren Sie einbezogene Aspekte und Ihre Bedeutung, bewerten Sie sowohl eigene Prioritäten als auch die der Gegenseite! Entwickeln Sie Sensibilität für kompatible und nicht-kompatible Aspekte! Bewerten Sie die Glaubwürdigkeit und Vertrauenswürdigkeit Ihres Opponenten und bewerten Sie seine Begrenzungen; sichern Sie, dass er seine Verpflichtungen einhalten kann und will! Berücksichtigen Sie Umstände bezüglich Zeit und Raum, welche die Entscheidungen beeinflussen können und bewerten Sie ihre Bedeutung! Entwickeln Sie Strategien für den Fall, dass diese Regeln nicht eingehalten werden können! Sollte aufgrund dieser Regelungen keine Lösung erzielt werden, stehen die im folgenden Kapitel dargestellten Schichtungsmechanismen zur Verfügung Schlichtungsmechanismen im Normungsprozess Neben den in Kap. 5.9 dargestellten Lösungsansätzen werden weiterführende Lösungsschritte in der DIN beschrieben. Darin heißt es auszugsweise: Ist ein Stellungnehmender mit der Entscheidung des zuständigen Arbeitsausschusses über seine Stellungnahme nicht einverstanden, kann er sich innerhalb von 1 Monat nach Erhalt der Entscheidung an den Vorsitzenden des Normenausschusses wenden und Schlichtung beantragen. Wird innerhalb von 2 Monaten ( ) keine Einigung erzielt, kann innerhalb von 2 Monaten nach Versand des Berichtes über das Schlichtungsverfahren und der Mitteilung, in dem der Abschluss der Schlichtungsverhandlung ( ) festgestellt wird, bei der Geschäftsleitung des DIN Schlichtung beantragt werden. Gelingt es auch der Geschäftsleitung innerhalb von 2 Monaten nicht, eine Einigung zu erzielen, so kann innerhalb von 2 Monaten ( ) das Präsidium des DIN angerufen werden, das unverzüglich einen Schiedsausschuss zur endgültigen Entscheidung einsetzt. ( ) Der Schiedsausschuss sollte seine Entscheidung innerhalb von 3 Monaten gefällt 86

87 haben. Für das Schiedsverfahren gilt eine vom Präsidium erlassene Geschäftsordnung (Geschäftsordnung für das Schiedsverfahren des DIN) (vgl. DIN 820-4: Normungsarbeit Teil 4 Geschäftsgang). Bei einer DIN SPEC (PAS) existiert kein Schlichtungsverfahren aufgrund des nicht vollständig konsensbasierten Erstellungsprozesses Empfehlungen zur individuellen Nutzenmaximierung Im Rahmen der Umfrage in InfraNorm (2011) stellten die Teilnehmer bei Frage 7 eine Reihe von Motiven dar, die individuell für die Normung und Standardisierung Bedeutung haben. Die Förderung einer bestmöglichen Umsetzung dieser Motive hat dabei eine zentrale Bedeutung. Häufig ziehen Normungsteilnehmer laut Updegrove (2007b) keinen maximalen Nutzen aus ihrer Gremientätigkeit, wobei das Problem vielfältige Gründe haben kann. Der Autor nennt dabei insbesondere fünf Ursachen und Lösungen: Ein Problem besteht in einem Misslingen der Zieldefinition der Gremienarbeit. Eine teilnehmende Organisation benötigt eine klare Vorstellung darüber, welchen Nutzen sie aufgrund der Teilnahme anstrebt. Die Einnahme von Leitungssitzen und eine geeignete Entsendung von Gremienmitarbeitern begünstigen die Erreichung dieser Ziele in besonderer Weise. Die Einnahme der Gremienleitung bietet dabei die Möglichkeit, den größtmöglichen Einfluss auf einen Normungs- bzw. Standardsetzungsprozess auszuüben. Dies ist häufig auch einer der Hauptgründe, um Mitgründer oder ein frühes Mitglied einer Arbeitsgruppe zu werden. Ein weiteres Problem betrifft Missverständnisse über die zu erwartenden Mehrwerte der Gremientätigkeit. Informationen über die Arbeit konkreter Gremien sind jedoch i.d.r. einfach gewinnbar. Potential für Missverständnisse ist ferner aufgrund mangelnder Kontinuität gegeben, wenn Sitzungsteilnahmen unterbleiben oder sich Mitglieder auf andere Weise aus Kommunikationsprozessen ihres Gremiums ausschließen. Der kontinuierlichen Mitarbeit ist daher eine geeignete Priorität beizumessen. Probleme mangelnder Kontinuität können auch eine weitere Ursache haben. Bei einem Arbeitgeberwechsel von Mitarbeitern versäumen Organisationen häufig, die Weiterführung der Normungsaktivitäten sicher zu stellen (vgl. Updegrove, 2007b). Die Erforderlichkeit geeigneter Maßnahmen wird hierbei deutlich. In Kap. 9 wird ein konkretes Umsetzungsbeispiel gezeigt, in dem die Sicherstellung der Kontinuität von den betreffenden Organisationen explizit als wichtige Aufgabe definiert wurde. Die Relevanz einer Entsendung geeigneter Gremienmitglieder wurde zuvor erörtert. Dennoch entstehen die meisten Probleme in Arbeitsgruppen durch eine unsachgemäße Personalbesetzung: 87

88 Ernennung schwieriger Mitarbeiter als Repräsentanten: Ein Repräsentant sollte durch eine hohe soziale Kompetenz gekennzeichnet sein. Scheitern einer beständigen Beteiligung: Normungsprozesse erfordern die regelmäßige Teilnahme der involvierten Personen. In einigen Gremien des DIN ist es möglich, sich als Mitglied vertreten zu lassen, allerdings ohne Stimmberechtigung. Fehlschlagen von Abstimmungen: Sogar bei elektronischen Abstimmungen erweist es sich manchmal als schwierig, eine beschlussfähige Mindestbeteiligung zu erreichen. Eine gute Gremienbeteiligung erfordert daher die Ausübung der Stimmrechte. Gremienmitglieder mit zu geringer Entscheidungsautorität: Ein Gremienmitglied sollte nicht nur sachkundig, sondern auch hinreichend autorisiert sein, um für seine Organisation sprechen zu können und organisationsintern Unterstützung zu erhalten (vgl. Updegrove, 2007b). Eine geeignete Auswahl der Gremienmitglieder und ihr späteres Verhalten haben daher hohe Bedeutung. Weitere Probleme können entstehen, wenn relevante Informationen unzureichend an potentielle Interessenten in der eigenen Organisation kommuniziert werden. Empfehlungen zur Vermeidung dieses Problems wurden in Kap. 5.1 gegeben. Des Weiteren ist es hilfreich, gremienintern zu erwirken, dass Agenden, Arbeitsmaterialien sowie Ankündigungen über geplante Abstimmungen vor den Sitzungen versendet werden. Dies ermöglicht es den Teilnehmern, sich zuvor in ihren Organisationen abzustimmen und dadurch interne Interessen effektiver einzubringen. Ausgehend von den vielfältigen zuvor gezeigten Personalaspekten bestehen die wichtigsten Möglichkeiten zur individuellen Nutzenmaximierung in der Einnahme von Leitungssitzen und in einer geeigneten Entsendung von Gremienmitarbeitern Herausforderungen der transnationalen Normung und Standardisierung Wehnert (2006) verweist auf die Herausforderungen innerhalb internationalen Normungsund Standardisierungsgremien bedingt durch die kulturellen Unterschiede der Experten. Bei transnationalen Normungssitzungen ist daher ein Bewusstsein für diese Unterschiede wichtig. Forscher des internationalen Managements haben kulturelle Einflüsse auf internationale Verhandlungsführungen in vielfältiger Weise erforscht. Hofstede (2001, 2003) unterscheidet beispielsweise die Merkmale Machtdistanz, Individualismus, Unsicherheitsvermeidung, Maskulinität sowie langfristige/kurzfristige Orientierung. Auf dieser Grundlage wurden mehrere Indizes entwickelt. Der Individualismusindex (IDV) differenziert zwischen Individualismus und Kollektivismus. Das Interesse des Individuums wird dabei dem Interesse der Gruppe gegenübergestellt. Der Machtdistanzindex (MDI) bewertet die Beziehung zwischen Vorgesetzten und Mitarbeitern im Hinblick auf die Abhängigkeit von Machtfiguren. 88

89 Im Unsicherheitsvermeidungsindex (UVI) spiegelt sich die Bereitschaft wider, unbekannte Risiken einzugehen. Er beschreibt die Toleranz eines Kulturkreises für ungewisse und unbekannte Situationen. Maskulinität und Femininität werden im Maskulinitätsindex (MAS) voneinander abgrenzt. Sie beschreiben die Rollenverteilung und -ausprägung der Geschlechter. Maskuline Merkmale umfassen dabei Durchsetzungsvermögen, Materialismus/materiellen Erfolg, Egozentrik, Macht, Stärke und individuelle Leistungen. Als feminine Merkmale gelten hingegen Bescheidenheit und Fürsorglichkeit. Hofstedes Studien zeigten, dass sich die Werte von männlichen Mitgliedern der unterschiedlichen Kulturkreise wesentlich stärker unterscheiden als die der weiblichen Mitglieder und sich ihre Maskulinitätswerte auf einer Skala von sehr durchsetzungsfähig und wettbewerbsfähig bis hin zu sehr bescheiden und zuvorkommend bewegen. Eine maximale Durchsetzungsfähigkeit wird von Hofstede als Maskulinitätspol beschrieben, während maximale Bescheidenheit als Femininitätspol definiert wird. Die Langzeitorientierung (long term orientation, LTO) wurde erstmals in China beobachtet und kennzeichnet insbesondere Unterschiede in der Denkweise in asiatischen Ländern und westlichen Industriestaaten. Der Status einer Person hat bei einer hohen Langzeitorientierung im Hinblick auf die Gestaltung von Beziehungen hohe Bedeutung. Verhandlungsführungen nehmen in derartigen Kulturen in der Regel mehr Zeit in Anspruch als in Kulturen mit einer Kurzzeitorientierung, wie z.b. in Deutschland. Zur Bestimmung der Ausprägung der verschiedenen Dimensionen hat Hofstede IBM- Mitarbeiter in 83 Ländern befragt und für jede Dimension und jedes Land Indizes auf Skalen von 0 bis 120 errechnet. Anhand von Diagrammen mit jeweils zwei Kulturdimensionen wurden dabei spezielle Ländergruppen aufgezeigt. Die Ausprägung der einzelnen Dimensionen aufgrund der kulturellen Herkunft der Normungs- und Standardisierungspartner stellt eine besondere Rahmenbedingung in der normungsbezogenen Verhandlungsführung dar. Die nachfolgenden Betrachtungen in Darst. 34f beziehen sich dabei auf die 50 Länder mit den meisten Gremiensitzen bei der ISO. Als Grundlage der Länderauswahl dienten Informationen zu Gremienpartizipation mit Stand Oktober 2012, die im Internet unter htm?membertype=membertype_mb verfügbar sind. Die Liste wird angeführt durch die Länder Großbritannien (726 Sitze), Frankreich (724 Sitze), Deutschland (718 Sitze), Südkorea (711 Sitze), China (705) und Japan (687 Sitze). Auf den Plätzen 7 bis 12 folgen anschließend Rumänien, Italien, Polen, Spanien, die Russische Föderation und die Vereinigten Staaten. 89

90 Darst. 34: Machtdistanz- und Individualismuswerte in Anlehnung an Hofstede Basis: Hofstede (2001:72), 50 Länder mit der größten Anzahl von Gremiensitzen bei der ISO Darst. 34 zeigt die Positionen der 50 Länder bezüglich Machtdistanz und Individualismus. Bei einem niedrigen MDI-Wert ist ein hoher IDV-Wert und umgekehrt zu beobachten, d.h. es gibt Länder, in denen die Menschen von Wir-Gruppen und Machtfiguren abhängen und Länder, in denen das Interesse des Individuums im Vordergrund steht und unabhängiger von Machtfiguren verfolgt werden kann. Deutschland ist ebenso wie z.b. die Schweiz und Finnland durch einen hohen Individualismuswert und eine geringe Machtdistanz gekennzeichnet. In anderen sehr aktiven Normungsnationen wie z.b. Südkorea und China spielt die Machtdistanz hingegen eine große Rolle, während der Individualismusindex wesentlich geringer ausgeprägt ist. Engen Beziehungen wird stattdessen eine hohe Bedeutung beigemessen. Die Ausprägung der Machtdistanz kann sich z.b. in der Gestaltung der Beziehungen zwischen Obmännern und Gremienvertretern wiederspiegeln. Eine gemeinsame Betrachtung von UVI- und MAS-Werten verdeutlicht das Verhältnis zwischen der Bereitschaft unbekannte Risiken einzugehen und der Bedeutung sichtbare Ergebnisse zu erzielen. In Darst. 35 sind die Maskulinitäts- und Unsicherheitsvermeidungswerte der 50 Länder dargestellt. Der Unsicherheitsvermeidungsindex für Deutschland ist verhältnismäßig hoch. Dies spiegelt die allgemein starke Neigung wider, durch gezielte Planungen 90

91 Unsicherheiten zu vermeiden. In China und Indien beispielsweise ist der UVI wesentlich geringer ausgeprägt. Derartige Unterschiede werden beispielsweise in einem unterschiedlichen Planungsverständnis und -verhalten in Normungs- oder Standardisierungsprojekten sichtbar. Unterschiede im Maskulinitätsindex können sich im grundsätzlichen Verhandlungsverhalten und in einer möglichen Kompromissbereitschaft äußern. Darst. 35: Maskulinitäts- und Unsicherheitsvermeidungswerte in Anlehnung an Hofstede Basis: Hofstede (2001:175), 50 Länder mit der größten Anzahl von Gremiensitzen bei der ISO Weitere Probleme können z.b. aufgrund sprachlicher Unterschiede und unterschiedlicher länderspezifischer Rahmenbedingungen entstehen. So haben z.b. Gremienmitglieder aus mehreren Ländern bei der Entwicklung einer europäischen Sicherheitsnorm Formulierungspassagen des Regelwerks unterschiedlich verstanden, wodurch zusätzlicher Klärungsbedarf entstand 18. Die Bedeutung eines geeigneten Umgangs internationaler Arbeitsgruppen mit sprachlichen Aspekten im Dokumentenmanagement wird auch von Sherif et al. (2007) betont. Herausforderungen können auch in möglichen Nachteilen von Nicht-Muttersprachlern in englischsprachigen Verhandlungsprozessen insbesondere gegenüber Delegierten aus Großbritannien und den USA bestehen. Beide Länder zeichnen sich durch ein intensives internationales Normungsengagement aus und die Verhandlungsführung der Delegierten wird durch fehlende Sprachbarrieren erleichtert. 18 Die Buchautoren folgen der Bitte, den Titel dieser Norm nicht zu benennen. 91

92 Zwei Teilnehmer an der Entwicklung von IT-Security-Normen bei der ISO berichteten dabei in einem informellen Gespräch: Bei der Formulierung der Standards kommt es in hohem Maße auf Feinheiten an, wobei oft sogar um einzelne Worte gerungen wird, z.b. ob es shall oder should heißen soll. Teilweise gibt es dabei intensive Diskussionen zwischen US-amerikanischen, britischen und australischen Teilnehmern aufgrund feinster linguistischer Anwendungsunterschiede, denen Nicht-Muttersprachler schwer folgen können. Hatto (2013) hat in diesem Zusammenhang einige englischsprachige Begriffe zusammengestellt, deren korrekte Anwendung und Abgrenzung in der internationalen Normung und Standardisierung besonders wichtig ist: Shall bezeichnet eine Anforderung ( requirement ), should stellt hingegen eine Empfehlung ( recommendation ) dar, keine absolute Anforderung. May basiert auf einer Genehmigung ( permission ), während can eine Möglichkeit ( possiblity ) beschreibt. Des Weiteren weist Hatto darauf hin, dass einige Begriffe in der internationalen Normung nicht verwendet werden, um Irritierungen zu vermeiden. Auf dieser Grundlage ist anstelle des Worts must der Begriff shall und anstelle von may not die Begriffskombination shall not zu verwenden (vgl. Hatto, 2013:26). Weiterführend verweist der Autor auf linguistische Hinweise für die internationale Normung in den ISO/IEC Directives, Teil 2 (ISO/IEC DIR 2 Rules for the structure and drafting of International Standards), die unter members_experts/refdocs/iec/isoiec-dir2%7bed6.0%7den.pdf abgerufen werden können. Ein weiteres mögliches Problem besteht in Abwehrhaltungen, wenn die internationale Normung Veränderungen in den einzelnen Ländern impliziert, insbesondere in Fällen, in denen bereits nationale Regelwerke existieren. Zudem sind grundsätzliche Abwehrreaktionen möglich, wenn durch ein unzweckmäßiges Agieren ein Eindruck entsteht, dass durch ein europäisches oder internationales Normungs- oder Standardisierungsvorhaben Vorteile für die initiierende Nation erzielt werden sollen. Aufgrund des in Darst. 35 gezeigten hohen Maskulinitätsindexes Deutschlands, ist eine besondere Sensibilität bei der Verfolgung deutscher Interessen innerhalb der transnationalen Normung erforderlich. Die in Darst. 35 ebenfalls sichtbaren unterschiedlichen Werte des Unsicherheitsvermeidungsindexes und das mit ihnen verbundene regional unterschiedliche Sicherheitsempfinden können die Sicherheitsnormung und -standardisierung beeinflussen. Die Entwicklung europäischer und internationaler Normen und Standards ist im Security-Bereich zudem aufgrund länderspezifischer Regelwerke durch Besonderheiten gekennzeichnet. Im internationalen Kontext einer in Kap. 9 beschriebenen Spezifikation für die zivile Gefahrenabwehr sind z.b. unterschiedliche politische Rahmenbedingungen und Entscheidungsstrukturen bei der Gewährleistung der zivilen Sicherheit kennzeichnend. Für die Internationalisierung der DIN SPEC stellen sie gleichzeitig eine Barriere dar. Als ein weiteres Beispiel werden in Kap. 10 länderspezifische Unterschiede in der Alarmierungspraxis erörtert. 92

93 Im Hinblick auf Privacy-Aspekte ermöglicht beispielsweise Artikel 13 der Richtlinie 95/46/EG länderspezifische Modifizierungen für Belange der öffentlichen Sicherheit, vgl. Kap. 6. PRISE (2008a) erörtert in diesem Kontext security-relevante Regelwerke und privacy-aspekte in drei beispielhaft ausgewählten europäischen Ländern (Österreich, Großbritannien und Spanien). Als Beispiel für weitere Unterschiede in Europa werden in Kap. 7 Spezialaspekte im Bereich Verkehrsinfrastrukturen beschrieben. Darüber hinaus nennt der Report ISO TR 12859, ebenfalls im Privacy-Kontext, eine Reihe US-amerikanischer Regelwerke, auf die ggf. in der internationalen Normung und Standardisierung Bezug zu nehmen ist. Dabei handelt es sich z.b. um: Privacy Act von 1974 E-Government Act von 2002 Health Insurance Portability and Accountability Act (HIPAA) Privacy Richtlinie Title 38 USC 5705 (Confidentiality of medical quality-assurance records) Title 38 USC 7332 (Confidentiality of certain medical records) Freedom of Information Act von 1966 Computer Matching and Privacy Protection Act von 1988 Gramm-Leach-Bliley Act von 1999 (Disclosure of Nonpublic Personal Information) OMB Memo (Safeguarding Personally Identifiable Information) OMB Memo (Safeguarding Against and Responding to the Breach of Personally Identifiable Information) Privacy Act von 1974, 5 USC 552a, in der geltenden Fassung NIST Special Publication , An Introduction to Computer Security: The NIST Handbook, Über diese Beispiele hinausgehend diskutiert Lin (2006) Unterschiede zwischen Deutschland, Großbritannien und den Vereinigten Staaten hinsichtlich der politischen Rahmenbedingungen, Rechtsysteme sowie der an der Sicherheitsgewährleistung beteiligten Personen bei der Videoüberwachung. Württemberger (2012) zeigt ferner die Vielfalt nationaler Sichtweisen in Bezug auf die intelligente Videoüberwachung. Dabei betrachtet er u. a. die Länder USA, Südkorea, Japan, Frankreich, Großbritannien, China und Spanien. Die gezeigten Unterschiede verdeutlichen ebenfalls die Erforderlichkeit, politische und rechtliche Fragestellungen auf geeignete Weise in die security-bezogene Normung und Standardisierung zu integrieren. Auf Grundlage der dargestellten Beispiele wurden sieben Problembereiche identifiziert und Lösungsansätze erarbeitet. Sie beziehen sich auf sprachliche, kulturelle, politische, rechtliche, regelwerksbezogene, mobilitätsbezogene und verhandlungsstrategische Aspekte, vgl. Darst. 36. Sprachliche und kulturelle Barrieren erfordern insbesondere Sensibilität. Sherif et al. (2007) betonen dabei die Bedeutung geeigneter Formulierungen bei der Dokumentenerarbeitung. Auch Probleme, die mit den befürchteten Einschränkungen nationaler Normungsfreiheiten verbunden sind, regelwerksbezogene Barrieren, können durch Sensibilität adressiert werden. Sofern die Einführung transnationaler Regelwerke Wechselkosten auf nationaler Ebene 93

94 erzeugt, ist es besonders wichtig, die Vorteile transnationaler Normung darzustellen. Allgemein spielt dieser Aspekt auf neuen Normungsgebieten i.d.r. eine untergeordnete Rolle. Barrieren Mögliche Inhalte Mögliche Lösungen Sprachlich Kulturell Politisch Rechtlich Regelwerksbezogen Mobilitätsbezogen Verhandlungsstrategisch Missverständnisse in Bezug auf Formulierungen in Normentwürfen unterschiedliche kulturgeprägte Sichtweisen zum Einsatz von Technologien, z.b. im Bereich Überwachung unterschiedliche Sichtweisen bzgl. der Zulassung von Fehlalarmen nicht-identische Strukturen der Sicherheitskommunikation, verbunden mit unterschiedlichen Anforderungen an Sicherheitssysteme auch: spezielle Anforderungen aufgrund des Föderalismus in Deutschland in Europa unterschiedliche nationale Datenschutz- und Privacy- Regelungen auf Basis der Richtlinie 95/46 EG in Europa spezielle Datenschutz- und Privacy- Regelwerke in den USA befürchtete Abschaffung nationaler Regelwerke erforderlicher Zeitaufwand Reisemittel aufgrund sprachlicher Barrieren geringere Schlagkraft von Nicht- Muttersprachlern gegenüber Delegierten aus englischsprachigen Industrienationen Sensibilität, ausreichende Zeit zur Klärung einräumen Termini aus ISO/IEC DIR 2 ISO/IEC DIR 2 nutzen wo erforderlich, Freiheitsgrade bieten Sensibilität für kulturelle Unterschiede praktizieren ausreichende Zeit zur Klärung einräumen wo erforderlich, Freiheitsgrade definieren wo erforderlich, Freiheitsgrade bieten relevante ausländische Regelwerke vertiefen Sensibilität ausreichende Zeit zur Klärung einräumen (in neuen Normungsgebieten weniger häufiges Problem) ergänzend Videokonferenzen nutzen Aufgaben an kleinere Arbeitsgruppen übertragen deutsche Interessensgruppen zur Mittelbereitstellung gewinnen sprachliche Kompetenzen erweitern Sprachkenntnisse bei Auswahl von Delegierten berücksichtigen Quelle: eigene Analysen Darst. 36: Probleme und Lösungen in der internationalen Sicherheitsnormung und -standardisierung 19 Politische und rechtliche Barrieren wurden z.b. bei der Standardisierung eines Datenaustauschformats für die zivile Gefahrenabwehr sowie im ISO TR deutlich. Zum grundsätzlichen Umgang mit politischen und rechtlichen Unterschieden in der Sicherheitsnormung und -standardisierung wurde bei der Entwicklung der europäischen Norm für Sicherheits- 19 Die Autoren folgten der Bitte, die Projekte, in denen derartige Probleme auftraten, nicht als Beispiele zu benennen. 94

95 dienstleistungen explizit der Hinweis aufgegriffen, relevante ausländische Regelwerke auf geeignete Weise zu vertiefen (vgl. Kap. 10). Weitere grundsätzliche Lösung bestehen darin, wo nötig, in den Regelwerken allgemeine Formulierungen zu verwenden. Dies wurde beispielsweise in der Fallstudie über die Entwicklung der IEC (vgl. Kap. 10) empfohlen. Dabei ist es dem Beispiel der ISO/IEC entsprechend möglich, explizit Freiheitsgrade zu definieren, um Länder bei der Übernahme transnationaler Regelwerke in die Lage zu versetzen, ihren Umständen entsprechende Spezifika zu definieren (vgl. Kap. 7). Ausgehend von den unterschiedlichen Normenund Standardtypen ist es dabei allerdings möglich, dass die Kompatibilität der Regelwerke und der entsprechenden Produkte und Technologien beeinträchtigt wird. Zur Überbrückung mobilitätsbezogener Barrieren werden z.b. in Kap. 10 in der Fallstudie zur DIN EN Reihe Beispiele einiger Länder erörtert, in welchen Industrievereinigungen und Verbände zur (Co-)Finanzierung internationaler Normungs- und Standardisierungsaktivitäten gewonnen werden konnten. Darüber hinaus wurden in Kap. 4 Möglichkeiten zur Förderung projektbegleitender Normungs- und Standardisierungsaktivitäten sowie von entsprechenden Aktivitäten als FuE-Ergebnistransfer dargestellt. Verhandlungsstrategische Barrieren können durch sprachliche und interkulturelle Trainings sowie durch eine geeignete Auswahl der Delegierten adressiert werden. 95

96

97 6. Rechtliche Rahmenbedingungen mit Relevanz für die Entwicklung sicherheitsrelevanter Normen und Standards 6.1. Einführung Die Entwicklung von Normen und Standards im Sicherheitsbereich ist durch spezielle Rahmenbedingungen gekennzeichnet. Ethik, Privacy und Datenschutz stellen dabei wichtige Themen dar. Daher empfiehlt die Europäische Kommission (2011) im Security Standardization Mandate M/487, Privacy-Aspekte bei der Entwicklung von Security-Normen und Standards zu berücksichtigen. Die Bezugnahme auf die Richtlinien 95/46/EG und 2002/58/EG in dem Mandate ist ein weiterer Indikator, welche Bedeutung europäische Entscheidungsträger derartigen Aspekten bei der Entwicklung security-bezogener Regelwerke beimessen. Allgemein wurden auf europäischer Ebene sieben Dimensionen ethischer Risiken definiert, die in Forschungsvorhaben auftreten können (vgl. Cordis, 2011). Ein möglicher Bezug zu diesen Dimensionen betrifft im Sicherheitsforschungsprogramm die Punkte Privacy, Dual use und Informed Consent in den folgenden Bereichen: Privacy: processing of ( ) personal data (e.g. health, sexual lifestyle, ethnicity, political opinion, religious or philosophical conviction) und tracking the location or observation of people Dual Use: research having the potential for terrorist abuse Informed Consent: patients or persons not able to give consent, adult healthy volunteers oder Human data collection. Die ersten beiden Punkte können ein breites Themenspektrum des Sicherheitsforschungsprogramms adressieren. Aspekte im Bereich Informed Consent (Einverständniserklärung) können beispielsweise bei Projektergebnissen der Programmlinie Schutz und Rettung von Menschen relevant werden. Ausgehend von den nachfolgend beschriebenen Definitionen und Dimensionen ethischer Risiken wird in Kap gezeigt, dass Sicherheitstechnologien über die allgemeine Klassifikation der EU für Forschungsprojekte hinausgehend weitere spezifische Risiken bergen können Definitionen Entsprechend der in Kap. 6.1 dargestellten europäischen Klassifikation ethischer Risiken der Forschung sind die Themen Privacy und Datenverarbeitung eng miteinander verbunden. Privacy- und Datenschutz haben Gemeinsamkeiten, sind aber nicht deckungsgleich. Grundlegende Privacy-Definitionen gehen auf Warren/Brandeis (1890) zurück. Sie betonen das Recht auf Freiheit und auf Alleinsein bzw. Privatsphäre. Nagenborg (2011) thematisiert in diesem Zusammenhang das Recht auf Wahrung von Distanz. Des Weiteren machen Warren/Brandeis (1890) deutlich, dass technische Innovationen spezielle Maßnahmen zum Schutz dieser Rechte erfordern: Now the right to life has come to mean the right to enjoy life, -- the right to be let alone; the right to liberty secures the exercise of extensive civil privileges. ( ). Recent inventions and business methods call attention to the next step which must be taken for the protection of the person. (Warren/Brandeis, 1890:1f) 97

98 Konkret verweisen die Autoren auf eine Privacy-Definition des Richters Thomas M. Cooley 20 : (the) right to be left alone. Ergänzend betont Varian (1996) (the) right not to be annoyed. Eine Reihe von Privacy-Definitionen wurde von Wilkins/Christians (2008) mit Verweis auf namhafte Persönlichkeiten, welche die jeweiligen Definitionen prägten, zusammengestellt. Darin werden die physische Freiheit einer Person, die Kontrolle über persönliche Informationen sowie eine Kombination beider Aspekte berücksichtigt: Betonung der Kontrolle persönlicher Informationen: (Privacy is) the claim of individuals, groups, or institutions to determine for themselves when, how, and to what extent information about them is communicated to others (Westin, 1967, zitiert in Wilkins/Christians, 2008:277). Eine ausführliche Beschreibung dieses Privacy-Aspekts wurde ferner von der Normungsorganisation ITU erarbeitet: Privacy ( ) refers to the right to self-determination, that is, the right of individuals to know what is known about them, be aware of stored inform ation about them, control how that information is communicated and prevent its abuse. In other words, it refers to more than just confidentiality of information. Protection of personal information (or data protection) derives from the right to privacy via the associated right to selfdetermination. Every individual has the right to control his or her own data, whether private, public or professional. (ITU, 2012:1) Betonung der physischen Freiheit: (Privacy is) the maintenance of a personal life-space within which the individual has a chance to be an individual, to exercise and experience his own uniqueness (Levine, 1980 zitiert in Wilkins/Christians, 2008:277). Kombinierte Definitionen: The condition of being protected from unwanted access by others either physical access, personal information, or attention (Bok, 1982, zitiert in Wilkins/Christians, 2008:277). Privacy, in my view, is the rightful claim of the individual to determine the extent to which he wishes to share of himself with others and his control over time, place, and circumstances to communicate to others. It means his right to withdraw or to participate as he sees fit. It is also the individual s right to control dissemination of information about himself; it is his own personal possession (Breckenridge, 1980, zitiert in Wilkins/Christians, 2008:277). 20 Auf Thomas M. Cooley ( ) geht u.a. das Werk The General Principles of Constitutional Law in the United States of America zurück. Cooley äußerte ferner: The right to one s person may be said to be a right of complete immunity; to be let alone. (vgl. Solove, 2002). 98

99 Im Folgenden wird der letztgenannten Definition gefolgt. Beide kombinierte Definitionen nehmen eine Unterscheidung zwischen physischen und informationsbezogenen Privacy- Aspekten vor. Der Schutz der Informationen wird dabei vertiefend durch den Bereich Datenschutz adressiert. Ein wichtiger Hinweis für das deutsche Verständnis zur Definition des Begriffs Datenschutz wird im Datenschutzgesetz gegeben, dessen Ziel darin besteht, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird ( 1 Abs. 1 BDSG, vgl. BMJ, 2009). Die Definitionen von Breckenridge (1980) und des BDSG verdeutlichen, dass Datenschutz als eine Teilmenge von Privacy aufgefasst werden kann. Privacy umfasst dabei entsprechend Breckenridges zuvor dargestellter Definition: (the right) of the individual to determine the extent to which he wishes to share of himself with others ( ) sowie (the right) to control dissemination of information about himself ( ) (Breckenridge, 1980, zitiert in Wilkins/Christians, 2008). Dem zweiten Stichpunkt zufolge stellen die Kontrolle über persönliche Informationen und ihre Verbreitung nach Breckenridge (1980) ausschließlich einen Teil des Privacy-Schutzes dar. Für den Datenschutz bilden sie demgegenüber die zentralen Zielsetzungen. Konkret geht es dabei, wie zuvor zitiert, darum, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird ( 1 Abs. 1 BDSG, vgl. BMJ, 2009). Die beiden Begriffe Privacy und Datenschutz sind daher verwandt, aber nicht gleichbedeutend. In der deutschen Sprache ist kein etabliertes Wort für Privacy verfügbar. Einige verwandte Begriffe sind Privatheit, Privatsphäre und Schutz der Privatsphäre (vgl. Albers, 2011). Kontextbezogen sind modifizierte Definitionen möglich. So wird Privacy im Bereich Informatik analog der Definition von Westin (1967) vorrangig mit Datenschutz verbunden. In der ISO/IEC Information technology -- Vocabulary -- Part 8: Security wird daher die folgende Definition verwendet: Privacy freedom from intrusion into the private life or affairs of an individual when that intrusion results from undue or illegal gathering and use of data about an individual. Wichtige ergänzende europäische Definitionen im Bereich Datenschutz werden in der europäischen Richtlinie 2002/58/EG sowie im CWA Analysis of Privacy Protection Technologies, Privacy-Enhancing Technologies (PET), Privacy Management Systems (PMS) and Identity Management systems (IMS), the Drivers thereof and the need for standardization gegeben. Persönliche Daten beinhalten dabei alle Informationen über eine bestimmte oder bestimmbare natürliche Person ("Datensubjekt"), die ihre direkte oder indirekte Identifikation ermöglichen, insbesondere durch Zuordnung zu einer Kennnummer oder zu spezifischen Elementen, die ihre physische, physiologische, psychische, wirtschaftliche, kulturelle oder soziale Identität spezifizieren (vgl. CWA 15263, Cadzow, o.d.). 99

100 6.3. Ausgewählte europäische und internationale Regelwerke und Anwendungseinschränkungen im Bereich der zivilen Sicherheit Privacy ist ein europäisches und internationales Grundrecht. International ist es in Artikel 12 der Universal Declaration of Human Rights (UDHR) der Vereinten Nationen sowie auf europäischer Ebene in Artikel 8 der EU Convention for the Protection of Human Rights and Fundamental Freedoms (ECHR, Konvention zum Schutze der Menschenrechte und Grundfreiheiten, Menschenrechtskonvention) verankert: Artikel 12 UDHR: Niemand darf willkürlichen Eingriffen in sein Privatleben, seine Familie, sein Heim oder seinen Briefwechsel noch Angriffen auf seine Ehre und seinen Ruf ausgesetzt werden. Jeder hat das Recht auf Rechtschutz gegen derartige Eingriffe oder Anschläge. Artikel 8 ECHR: Recht auf Achtung des Privat- und Familienlebens, jeder hat das Recht auf Achtung seines Privat- und Familienlebens, seiner Wohnung und seines Briefverkehrs. Zum Schutz der nationalen Sicherheit sind Eingriffe in die Ausübung beider Rechte statthaft. In Artikel 29 (2) der UDHR heißt es dabei: In the exercise of his rights and freedoms, everyone shall be subject only to such limitations as are determined by law solely for the purpose of securing due recognition and respect for the rights and freedoms of others and of meeting the just requirements of morality, public order and the general welfare in a democratic society (UDHR, 1045). Einschränkungen in Bezug auf Artikel 8 ECHR sind möglich, wenn dies in Einklang mit dem Gesetz steht und dies in einer demokratischen Gesellschaft im Interesse der nationalen Sicherheit, der öffentlichen Sicherheit oder für das wirtschaftliche Wohlergehen des Landes für die Aufrechterhaltung der Ordnung und der Verbrechensverhütung ( ) notwendig sind (Dejure, 2012). Wichtige europäische und internationale Regelwerke zu den Themengebieten Privacy und Datenschutz werden in Darst. 37 zusammengefasst. Obwohl mehrere europäische Richtlinien wichtige Handlungsgrundlagen für diese Gebiete legten, existieren in den einzelnen europäischen Mitgliedsstaaten aber zahlreiche im Detail unterschiedliche Regelungen. Die gleichzeitige Anwendung deutscher und europäischer Regelwerke ist ebenfalls nicht grundsätzlich widerspruchslos. Auch in den USA ist der rechtliche Rahmen abweichend definiert (vgl. Kap. 5.11). Grundsätzlich wird die Verbindung der Bürgerrechte mit der Art, wie die entsprechenden Daten zu schützen sind, in Europa v.a. in zwei Regelwerken definiert: Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 über den Schutz von Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr Ergänzende Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation. 100

101 Regelwerk Council of Europe Convention 108: Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten Richtlinie 95/46/EG des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr Richtlinie 2002/58/EG des Europäischen Parlaments über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (geändert durch Richtlinie 2006/24/EG) Richtlinie 2006/24/EG des Europäischen Parlaments und des Rates vom 15. März 2006 über die Vorratsspeicherung von Daten, die bei der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste oder öffentlicher Kommunikationsnetze erzeugt oder verarbeitet werden, und zur Änderung der Richtlinie 2002/58/EG OECD Richtlinien über Datenschutz und grenzüberschreitende Ströme personenbezogener Daten ("Datenschutzrichtlinien") vom Ausgewählte Inhalte - Ziel: Schutz der Rechte und Grundfreiheiten bei der automatischen Verarbeitung personenbezogener Daten. - Art. 8 beschreibt einen umfangreichen Schutz für den Betroffenen: jedem muss es möglich sein, vorhandene Daten korrigieren oder löschen zu lassen, wenn sie wider die Verordnungen verarbeitet worden sind. - Ausnahmen hinsichtlich der Anwendung der Richtlinie sind entsprechend Art. 9 möglich, wenn diese z.b. für den Schutz der staatlichen oder öffentlichen Sicherheit oder zur Bekämpfung von Verbrechen erforderlich sind. - Ziel: Garantie des Schutzes der Grundrechte und -freiheiten, vor allem der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten. - Die Grundlage bilden die Erfordernis, die Übermittlung personenbezogener Daten von einem Mitgliedstaat in einen anderen Mitgliedstaat zu ermöglichen sowie das Bestreben, die persönlichen Grundrechte zu wahren. - Anliegen: keine Beschränkung bzw. kein Verbot des freien Verkehrs personenbezogener Daten zwischen Mitgliedstaaten aufgrund des garantierten Schutzes. - Ausnahmen für Tätigkeiten, die die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates oder die Tätigkeiten des Staates im Bereich des Strafrechts betreffen. - Ziel: Angleichen der Vorschriften der Mitgliedstaaten. - Detaillierung und Vervollständigung der Richtlinie 95/46/EG. - Verkehrsdaten müssen gelöscht oder anonymisiert werden, sobald sie nicht mehr für die Übertragung einer Nachricht oder für die Gebührenabrechnung benötigt werden. - Ausnahmen für Tätigkeiten, die für die Untersuchung von Straftaten oder zum Schutz der nationalen Sicherheit, zu Verteidigungszwecken und zum Schutz der öffentlichen Ordnung erforderlich sind. - Ziel: Angleichen der Vorschriften der Mitgliedstaaten zur Gewährleistung der Verfügbarkeit der Daten zur Ermittlung, Feststellung und Verfolgung von Straftaten. - Gilt für Verkehrs- und Standortdaten sowohl von juristischen als auch von natürlichen Personen sowie für alle damit verbundenen Daten. - Gilt nicht für den Inhalt elektronischer Nachrichtenübermittlungen inklusive der Informationen, die mittels eines elektronischen Kommunikationsnetzes erhoben werden. - Speicherung der Daten auf Vorrat: mindestens sechs Monate bis zu zwei Jahre ab dem Kommunikationszeitpunkt. - Deutschland behielt sich das Recht vor, die Anwendung dieser Richtlinie auf die Speicherung von Kommunikationsdaten betreffend Internetzugang, Internet-Telefonie und Internet- für einen Zeitraum von 18 Monaten ab dem in Artikel 15 Absatz 1 Satz 1 genannten Zeitpunkt zurückzustellen. - Betrifft personenbezogene Daten (im öffentlichen und privaten Bereich), durch die wegen der Art der Datenverarbeitung oder wegen der Art der Daten bzw. der Umstände, unter denen die Daten verwendet werden, eine Gefährdung der Privatsphäre und Freiheiten von Personen verursacht werden kann. - Jede Person hat Anspruch auf eine Bestätigung bezüglich des Vorhandenseins oder Nichtvorhandenseins sie selbst betreffender Daten und auf deren Anfechtung. Bei erfolgreicher Anfechtung besteht das Recht auf Entfernung, Korrektur, Vervollständigung oder Änderung. - Ausnahmen für Belange der hoheitlichen Gewalt, staatlichen Sicherheit und öffentlichen Ordnung. (wird fortgesetzt)

102 Rahmenbeschluss 2008/977/JI des Rates vom 27. November 2008 über den Schutz personenbezogener Daten, die im Rahmen der polizeilichen und justiziellen Zusammenarbeit in Strafsachen verarbeitet werden Eine Digitale Agenda für Europa COM (2010) 245 vom Stockholm Programme: Richtlinien für eine gemeinsame Innen- und Sicherheitspolitik der Mitgliedstaaten der Europäischen Union für 2010 bis Ziel ist, einen hohen Schutz der Grundrechte und Grundfreiheiten von Personen und vor allem ihres Rechts auf Privatsphäre bezüglich der Verarbeitung personenbezogener Daten bei dem polizeilichen und justiziellen Zusammenwirken in Strafsachen sowie ebenfalls ein hohes Maß an öffentlicher Sicherheit zu garantieren. - Betrifft die vollständig oder partiell automatisierte Verarbeitung, aber auch die nicht automatisierte Verarbeitung personenbezogener Daten, welche gespeichert sind oder gespeichert werden sollen. - Weitere Hinweise: Die Richtlinie 95/46/EG ( ) findet keine Anwendung auf die Verarbeitung personenbezogener Daten, die für die Ausübung von Tätigkeiten erfolgt, (welche) die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates und die Tätigkeiten des Staates im strafrechtlichen Bereich (betreffen). Ist die Bedrohung der öffentlichen Sicherheit eines Mitgliedstaats oder eines Drittstaats so akut, dass die vorherige Zustimmung nicht rechtzeitig eingeholt werden kann, so ist es im Interesse einer effizienten Zusammenarbeit bei der Strafverfolgung geboten, dass die zuständige Behörde die relevanten personenbezogenen Daten ohne vorherige Zustimmung an den betreffenden Drittstaat übermitteln können sollte. Dies könnte auch gelten, wenn andere wesentliche Interessen eines Mitgliedstaats von gleicher Bedeutung auf dem Spiel stehen, beispielsweise wenn die kritische Infrastruktur eines Mitgliedstaats unmittelbar und ernsthaft ( ) werden könnte. - Ziele: Verbesserung der IKT-Normung, Einleitung von Folgemaßnahmen zum Weißbuch Modernisierung der IKT-Normung in der EU und entsprechender öffentlichen Konsultation. - Hier relevant: Einführen eines nahtlosen elektronischen Auftragswesens und grenzübergreifender Aktivitäten für die elektronische Identität und Authentifizierung (mit beiderseitiger Anerkennung zugehöriger Sicherheitsniveaus) bei elektronischen Behördendiensten. - Erörtert in Kap. 2 die Förderung der Bürgerrechte in Europa. - Beschreibt in Kap. 4 Ziele zur inneren und öffentlichen Sicherheit in Europa: Strategie der inneren Sicherheit, Ausbau des Instrumentariums, wirksame Strategien, Schutz vor schwerer und organisierter Kriminalität, Terrorismus: umfassendes und effizientes Katastrophenmanagement der Union: Stärkung der Unionskapazitäten zur Prävention, Vorsorge und Abwehr von Katastrophen aller Art. - Die Strategie für das Informationsmanagement im Bereich der inneren Sicherheit beruht u.a. auf einem soliden Datenschutzregime, das mit dem Schutz personenbezogener Daten in Einklang steht; einer gezielten Datenerhebung, damit sowohl die Grundrechte der Bürger geschützt werden als auch eine Informationsüberflutung der zuständigen Behörden vermieden wird; Leitsätzen für eine Strategie des Datenaustauschs mit Drittstaaten für Strafverfolgungszwecke; Interoperabilität von IT-Systemen, wobei die vollständige Einhaltung der Datenschutzund Datensicherheitsgrundsätze bei der Entwicklung dieser Systeme zu gewährleisten ist. - Der Europäische Rat fordert die Kommission auf, eine Maßnahme der Union in Bezug auf Fluggastdatensätze für die Zwecke der Verhütung, Aufdeckung, Aufklärung und Verfolgung von terroristischen Straftaten und Straftaten der Schwerkriminalität vorzuschlagen, mit der ein hohes Datenschutzniveau gewährleistet wird. Quelle: IRIS (2006), CoE (2010), EUR-Lex (2010a,b,c,d,e), Europa (2010a,b), OECD (2010), Privacyrights (2010a,b), Schmid (2010) Darst. 37: Ausgewählte europäische und internationale Datenschutz-Vorschriften

103 Am Ende dieses Teilkapitels werden Maßnahmen zur Implementierung einer europäischen Datenschutzgrundverordnung erläutert. Die Relevanz der beiden Richtlinien 95/46/EG und 2002/58/EG für die Sicherheitsforschung wird durch die Europäische Kommission (2011) besonders betont. Auf Basis der beiden Regelwerke sind entsprechend Darst. 38 neun Prinzipien des Europäischen Privacy-Rechts ableitbar: 1. Intention and notification/intention und Anmeldung: Die Verarbeitung personenbezogener Daten muss im Voraus einer Datenschutzbehörde gemeldet werden. 4. Legitimate grounds of processing/legitime Grundlagen der Verarbeitung: Die Verarbeitung personenbezogener Daten muss auf gesetzlicher Grundlage basieren. 7. Processing by a processor/verarbeitung durch einen Prozessor: Bei der Übermittlung personenbezogener Daten an einen Prozessor müssen die Rechte der betroffenen Person unberührt bleiben. 2. Transparency/Transparenz: Die betroffene Person muss sehen können, wer die Verarbeitung ihrer Daten zu welchem Zweck durchführt. 5. Quality/Qualität: Personenbezogene Daten müssen so richtig und so genau wie möglich sein. 8. Security/Security: Ein Controller muss alle sinnvollen und möglichen Maßnahmen für den Schutz der persönlichen Daten übernehmen. 3. Finality principle/finality- Grundsatz: Personenbezogene Daten dürfen nur für eindeutig festgelegte und rechtmäßige Zwecke erhoben und verarbeitet werden. 6. Data subject s rights/ Rechte der Betroffenen: Die beteiligten Parteien haben das Recht auf Kenntnisnahme und Aktualisierung ihrer Daten und sind berechtigt, Einwände zu erheben. 9. Transfer of personal data outside the EU/Transfer personenbezogener Daten außerhalb der EU: Der Verkehr personenbezogener Daten ist nur zulässig, wenn das betreffende Land ausreichenden Schutz bietet. Quelle: eigene Darstellung in Anlehnung an Blarkom et al. (2003) sowie Albers (2011) Darst. 38: Prinzipien des Europäischen Privacy-Rechts Die Prinzipien sind Teil des CWA Analysis of Privacy Protection Technologies, Privacy- Enhancing Technologies (PET), Privacy Management Systems (PMS) and Identity Management systems (IMS), the Drivers thereof and the need for standardization, Kap. 4 Basic Privacy Protection Requirements. In ähnlicher Weise können die Grundsätze, die in der Richtlinie 95/46/EG, den OECD- Datenschutzrichlinien und der Convention 108 verankert sind, entsprechend PRISE (2008a:21) zu sechs Prinzipien zusammengefasst werden. Fünf der zuvor dargestellten Prinzipien werden dabei aufgegriffen. Die entsprechenden Verweisnummern werden nachstehend vermerkt. Nicht zusätzlich aufgegriffen werden die Prinzipien 1, 6, 7 und 9. Ein Grund ist beispielsweise, dass sich Punkt 9 auf den Datentransfer außerhalb der EU bezieht, während die OECD-Richtlinien nicht auf Europa beschränkt sind. Im weiteren Sinne wird der Aspekt unten stehend durch das Prinzip Security of the data aufgegriffen. 103

104 Legitimacy/Legitimität: Personenbezogene Daten dürfen nur auf rechtmäßige Weise verarbeitet werden und die Bearbeitung erfordert eine gesetzliche Grundlage oder die Einwilligung der betroffenen Person (entspricht teilweise Punkt (4) in Darst. 38). Purpose binding/zweck verbindlich: Die Daten müssen sachlich richtig und für den Zweck, für welchen sie verwendet werden sollen, relevant sein. Der Zweck wird vor der Datenerhebung spezifiziert. Die Daten werden in keiner Weise abweichend von diesen Zielen weiterverarbeitet (entspricht Punkt (3) in Darst. 38). Proportionality/Verhältnismäßigkeit: Die Datenverarbeitung muss notwendig und zur Erreichung des angegebenen Ziels angemessen sein (entspricht Punkt (3) in Darst. 38). Transparency/Transparenz: Die betroffene Person muss sich der Datenverarbeitung bewusst sein und wissen, welche Daten durch welche Partei verarbeitet werden (entspricht teilweise Punkt (2) in Darst. 38). Quality of the data/qualität der Daten: Die erhobenen personenbezogenen Daten müssen sachlich richtig und wenn nötig, aktuell gehalten werden. Ungenaue oder unvollständige Daten sollen berichtigt werden und Daten, die nicht mehr für den angegebenen Zweck notwendig sind, sollen gelöscht werden (entspricht Punkt (5) in Darst. 38). Security of the data/sicherheit der Daten: Personenbezogene Daten werden durch angemessene Vorkehrungen gegen unbeabsichtigte oder unrechtmäßige Zerstörung, zufälligen Verlust, Veränderung und unbefugte Bekanntgabe geschützt (entspricht Punkt (8) in Darst. 38). In ähnlicher Weise beschreibt die spätere Madrid Resolution (2009) sieben Grundprinzipien für die Nutzung von Personendaten: lawfulness, fairness, proportionality, purpose specification, data quality, openness und accountability. In Bezug auf Fragen der öffentlichen Sicherheit gilt die Datenschutzrichtlinie 95/46/EG modifiziert. Konkret heißt es dabei im Abschnitt Grundlagen, Punkt 13: ( ) Tätigkeiten, die die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates oder die Tätigkeiten des Staates im Bereich des Strafrechts betreffen, fallen unbeschadet der Verpflichtungen der Mitgliedstaaten ( ) nicht in den Anwendungsbereich des Gemeinschaftsrechts. Die Verarbeitung personenbezogener Daten, die zum Schutz des wirtschaftlichen Wohls des Staates erforderlich ist, fällt nicht unter diese Richtlinie, wenn sie mit Fragen der Sicherheit des Staates zusammenhängt (EUR-Lex, 2010g). In Artikel 3 wird der Anwendungsbereich wie folgt definiert: (2) Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten, die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, ( ) und auf keinen Fall auf Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates 104

105 (einschließlich seines wirtschaftlichen Wohls, wenn die Verarbeitung die Sicherheit des Staates berührt) ( ). Ferner heißt es im Abschnitt VI Ausnahmen und Einschränkungen, Artikel 13: Die Mitgliedstaaten können Rechtsvorschriften erlassen, die die (privacy-bezogenen) Pflichten und Rechte ( ) beschränken, sofern (dies) notwendig ist für a) die Sicherheit des Staates; b) die Landesverteidigung; c) die öffentliche Sicherheit ( ). Die Richtlinie besagt dabei nicht, dass der Datenschutz beim Schutz der öffentlichen Sicherheit vernachlässigt werden kann. Der Paragraph 13 weist vielmehr darauf hin, dass die entsprechenden Inhalte nicht unter die Richtlinie fallen und dass Mitgliedstaaten spezielle Rechtsvorschriften zum Schutz der öffentlichen Sicherheit erlassen können. Die Richtlinie 2002/58/EG lehnt sich an die Einschränkungen aus Richtlinie 95/46/EG an. Entsprechend 11 sind auch hier die öffentliche Sicherheit und alle oben genannten Bereiche von der Anwendung der Richtlinie ausgenommen. Die Convention 108 enthält konkretisierende Vorgehensleitlinien in Bezug auf die Gewährleistung der öffentlichen Sicherheit. Abweichungen von Privacy-Grundsätzen sind dabei zulässig, wenn sie in einer demokratischen Gesellschaft zum Schutz der Sicherheit des Staates, der öffentlichen Sicherheit sowie der Währungsinteressen des Staates oder zur Bekämpfung von Straftaten oder zum Schutz des Betroffenen oder der Rechte und Freiheiten Dritter dienen (CoE, 1981). Derartige Ausnahmen spiegeln sich auch in den OECD-Datenschutzrichtlinien wieder. Dabei heißt es: Ausnahmen (...), einschließlich Belangen der hoheitlichen Gewalt, staatlichen Sicherheit und öffentlichen Ordnung ("ordre public"), sollten: a. so gering wie möglich an der Zahl b. und allgemein bekannt sein (OECD, 2002). Anhaltspunkte zum Umgang mit diesen einschränkenden Regelungen werden in Kap. 6.7 gegeben. In Deutschland gelten im Kontext der öffentlichen Sicherheit in Bezug auf die Transparenz und die Benachrichtigung der betroffenen Personen entsprechend den Paragraphen 19a und 33 BDSG ebenfalls besondere Bedingungen. Eine Analyse der Projekte im Sicherheitsforschungsprogramm ergab, dass in einigen Vorhaben auch RFIDs eine Rolle spielen. In diesem Bereich wurde im Jahr 2008 das europäische 105

106 Mandate M/436 erlassen, welches u.a. Normungsmaßnahmen in den Bereichen Datenschutz, Privacy und Informationssicherheit im Kontext RFID adressiert. Auf dieser Grundlage haben europäische Normungsorganisationen spezielle Maßnahmen implementiert. Ausgewählte Regelwerke werden in Kap dargestellt. Möglichkeiten zur Sicherung der Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Diensten bieten u.a. Privacy Enhancing Technologies. Eine rechtliche Grundlage für ihren Einsatz wurde durch die Communication from the Commission to the European Parliament and the Council on Promoting Data Protection by Privacy Enhancing Technologies (PETs) geschaffen (vgl. COM, 2007 sowie Cadzow, o.d. und Kap. 7.5). In der Mitteilung wird u.a. die Forderung dokumentiert, die Verarbeitung personenbezogener Daten zu minimieren und wo möglich, anonymisierte und pseudonymisierte Daten zu nutzen. Bei der Gewährleistung der zivilen Sicherheit sind dabei ebenfalls Anwendungseinschränkungen möglich. Konkret heißt es: Der rechtliche Rahmen zum Datenschutz sieht Einschränkungen ( ) zur Verwirklichung wichtiger öffentlicher Interessen wie der öffentlichen Sicherheit, der Verbrechensbekämpfung oder der öffentlichen Gesundheit sowie Eingriffe in die Rechte des Einzelnen vor 21. ( ) Derartige Eingriffe müssen gesetzlich vorgesehen, verhältnismäßig und in einer demokratischen Gesellschaft erforderlich sein, um rechtmäßigen öffentlichen Zwecken zu dienen. Durch den Einsatz von Technologien zum Schutz der Privatsphäre dürfen Strafverfolgungsbehörden oder andere zuständige Behörden nicht bei der Ausübung ihrer in einem wichtigen öffentlichen Interesse erfüllten Aufgaben wie der Bekämpfung von Internetkriminalität, des Terrorismus oder der Verhinderung der Ausbreitung ansteckender Krankheiten behindert werden. Um diesen Aufgaben nachzukommen, müssen die zuständigen Behörden in Übereinstimmung mit den gesetzlich festgelegten Verfahren, Voraussetzungen und Garantien erforderlichenfalls Zugriff auf personenbezogene Daten nehmen können (EUR-Lex, 2012, Europäische Union). Neben privaten Sicherheitsmaßnahmen, für welche die Datenschutzrichtlinie 95/46/EG uneingeschränkt gilt, und öffentlichen, d.h. staatlichen und polizeilichen, Maßnahmen impliziert der Schutz so genannter halböffentlicher Bereiche spezielle privacy-spezifische Fragestellungen. Derartige Bereiche umfassen u.a. Flughäfen, Bahnhöfe, U-Bahnstationen und Parkhäuser (vgl. Württemberger, 2012). Gegenwärtig werden sie in der Richtlinie 95/46 EG und in mit ihr verbundenen Regelwerken nicht gesondert betrachtet. Aktuelle Entwicklungen Derzeit befindet sich die EU-Datenschutz-Grundverordnung in der Entwicklung. Der aktuelle Stand ist in der COM(2012) 11 als Proposal dokumentiert. Im Gegensatz zur Richtlinie 95/46 EG, welche durch die Verordnung abgelöst wird, stellt sie ein verpflichtendes Regelwerk dar. Durch den geplanten Ersatz nationaler Datenschutzregelungen wird mit ihrer Einführung eine größere Vereinheitlichung des Datenschutzes innerhalb der EU beabsichtigt. Art. 23 der 21 Die Bedingungen für diese Einschränkungen sind in Artikel 13 der Datenschutzrichtlinie und in Artikel 15 der Datenschutzrichtlinie für elektronische Kommunikation festgelegt. Sie entsprechen denen von Artikel 8 der Europäischen Menschenrechtskonvention (ECHR). 106

107 Grundverordnung (Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen) wird die Grundsätze des Privacy by design 22 bzw. Privacy by default definieren (vgl. Europäische Kommission, 2012). Dennoch ist die Verordnung technikneutral formuliert. Die Fertigstellung der Verordnung ist bis Ende 2013 vorgesehen. Experten gehen davon aus, dass sie nicht vor 2015 in Kraft treten wird (vgl. Ehmann, 2012) Ausgewählte europäische und internationale Regelwerke im Bereich des Schutzes von Verkehrsinfrastrukturen Neben den zuvor erörterten Regelwerken existieren spezielle Dokumente, die den Schutz von Verkehrsinfrastrukturen adressieren. Nachstehend werden drei ausgewählte Regelungen für Luftverkehrsinfrastrukturen sowie je eine Richtlinie für Straßen- und Seeverkehrsinfrastrukturen dargestellt. Die Verordnung (EU) Nr. 73/ zur Festlegung der qualitativen Anforderungen an Luftfahrtdaten und Luftfahrtinformationen für den einheitlichen europäischen Luftraum definiert folgende Datenschutzanforderungen (Auszug): Alle elektronisch übermittelten Daten sind durch Anwendung (eines im Anhang des Dokuments genannten) Algorithmus CRC32Q 24 vor Verlust oder Veränderung zu schützen. Luftfahrtdaten und Luftfahrtinformationen erhalten bei der Speicherung und beim Austausch zwischen den ( ) Beteiligten einen angemessenen Schutz in Bezug auf die Gefahrenabwehr, um zu gewährleisten, dass sie zu keinem Zeitpunkt unabsichtlich verändert oder für unbefugten Zugang und/oder unbefugte Veränderung zugänglich werden. Die Speicherung und Übertragung von Luftfahrtdaten und Luftfahrtinformationen ist durch ein geeignetes Authentisierungsverfahren zu schützen, mit dem der Empfänger bestätigen kann, dass die Daten oder Informationen durch eine zugelassene Quelle übertragen wurden. In der Richtlinie 2003/42/EG 25 über die Meldung von Ereignissen in der Zivilluftfahrt werden in Artikel 8 zwei konkrete Angaben zum Datenschutz gegeben: Die Mitgliedstaaten ergreifen nach ihren nationalen Rechtsvorschriften die erforderlichen Maßnahmen, um eine geeignete Vertraulichkeit der ihnen ( ) zugegangenen Informationen zu gewährleisten. Sie verwenden diese Informationen nur für die Zwecke dieser Richtlinie. 22 In Kap. 7 wird eine detaillierte Betrachtung des Privacy by Design-Konzepts vorgenommen. 23 Verordnung (EU) Nr. 73/ der Kommission vom 26. Januar 2010 zur Festlegung der qualitativen Anforderungen an Luftfahrtdaten und Luftfahrtinformationen für den einheitlichen europäischen Luftraum 24 CRC = zyklische Redundanzprüfung 25 Richtlinie 2003/42/EG vom 13. Juni 2003 über die Meldung von Ereignissen in der Zivilluftfahrt 107

108 Ungeachtet der Art oder Klassifizierung von Ereignissen und Unfällen oder schweren Störungen werden Namen oder Anschriften von Einzelpersonen niemals in der Datenbank nach Artikel 5 Absatz 2 gespeichert (Artikel 5 Absatz 2 bezieht sich auf Datenbanken, in denen zuständige Behörden die erfassten Meldungen speichern). Ein weiteres Anwendungsbeispiel für den Umgang mit Vertraulichkeit in Verkehrsinfrastrukturen bietet die Verordnung (EG) Nr. 1321/ über die Zusammenführung der gemäß der Richtlinie 2003/42/EG ausgetauschter Informationen über Ereignisse in der Zivilluftfahrt in einem Zentralspeicher. Wichtige Regelungen zum Umgang mit vertraulichen Informationen werden dabei in Artikel 2 Zentralspeicher gegeben. Darin heißt es: (3) ( ) alle Stellen, die für die Sicherheitsaufsicht in der Zivilluftfahrt oder die Untersuchung von Unfällen und Störungen in der Zivilluftfahrt innerhalb der Gemeinschaft zuständig sind, erhalten online Zugang zu allen im Zentralspeicher enthaltenen Informationen über Ereignisse, außer zu den Angaben, aus denen die Identität der Betreiber oder Luftfahrzeuge, die Gegenstand der gemeldeten Ereignisse sind, hervorgeht. (4) Solche Angaben, die vertraulich bleiben können, sind der Name, die Kennung, das Rufzeichen oder die Flugnummer des Betreibers und das Eintragungszeichen oder die Serien- bzw. Werknummer des Luftfahrzeugs (Eur-Lex, 2007). Zwei weitere relevante Regelwerke wurden durch die Richtlinie 2010/40 EU und 98/41/EG geschaffen. Die Richtlinie 2010/40/EU zum Rahmen für die Einführung intelligenter Verkehrssysteme im Straßenverkehr und für deren Schnittstellen zu anderen Verkehrsträgern 27 dient dem Einsatz von Informations- und Kommunikationstechnologien im Straßenverkehrssektor und an dessen Schnittstellen zu anderen Verkehrsträgern, u.a. zur Verbesserung der öffentlichen Sicherheit und der Mobilität von Personen und Gütern (vgl. EUR-Lex, 2010g). In Artikel 10 Vorschriften über Vertraulichkeit, Sicherheit und Weiterverwendung von Informationen heißt es dabei: Die Mitgliedstaaten stellen sicher, dass bei der Verarbeitung personenbezogener Daten im Zusammenhang mit der Anwendung von IVS 28 -Anwendungen und -Diensten die Unionsvorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere die Bestimmungen der Richtlinie 95/46/EG und der Richtlinie 2002/58/EG, eingehalten werden (EUR-Lex, 2010g). Auf dieser Grundlage gelten gleichzeitig die Einschränkungen der Richtlinien 95/46/EG und 2002/58/EG, falls Ausnahmen zur Gewährleistung der zivilen Sicherheit notwendig werden. 26 Verordnung (EG) Nr. 1321/2007 der Kommission vom 12. November 2007 zur Festlegung von Durchführungsbestimmungen für die Zusammenführung der gemäß der Richtlinie 2003/42/EG des Europäischen Parlaments und des Rates ausgetauschten Informationen über Ereignisse in der Zivilluftfahrt in einem Zentralspeicher 27 Langform: Richtlinie 2010/40/EU des Europäischen Parlaments und des Rates vom 7. Juli 2010 zum Rahmen für die Einführung intelligenter Verkehrssysteme im Straßenverkehr und für deren Schnittstellen zu anderen Verkehrsträgern 28 Intelligente Verkehrssysteme 108

109 In der Richtlinie 98/41/EG über die Registrierung der an Bord von Fahrgastschiffen im Verkehr nach oder von einem Hafen eines Mitgliedstaates der Gemeinschaft befindlichen Personen 29 heißt es: Die Daten der einzelnen Personen müssen nach den in der Richtlinie 95/46/EG (1) verankerten Datenschutzgrundsätzen erfasst und verarbeitet werden. Insbesondere sollten die einzelnen Personen zum Zeitpunkt der Erfassung vollständig über die Zwecke, für die die Daten benötigt werden, unterrichtet und die Daten nur kurze Zeit, auf keinen Fall aber länger als für die Zwecke dieser Richtlinie erforderlich, aufbewahrt werden. Der Bezug auf die Richtlinie 95/46/EG definiert gleichzeitig konkrete Anhaltspunkte, falls Ausnahmen zum Schutz der zivilen Sicherheit (vgl. Kap. 6.3) notwendig werden Ausgewählte nationale Regelwerke und Anwendungseinschränkungen im Bereich der zivilen Sicherheit In Deutschland basieren die beiden Schutzbereiche Privacy und Datenschutz insbesondere auf dem Recht auf informationelle Selbstbestimmung (vgl. Albers, 2011). Das Recht auf Datenschutz ist ein deutsches Grundrecht. Entsprechend dem Bundesverfassungsgericht (BVerfG) ist Datenschutz ein Gewährleistungsgrundrecht auf Integrität und Vertraulichkeit informationstechnischer Systeme. Der Staat hat dabei zu gewährleisten, dass Bürger das Grundrecht wahrnehmen können (vgl. Rost, 2009). Die wichtigste Grundlage für Datenschutzfragen bildet das Bundesdatenschutzgesetz (BDSG). Das Gesetz gilt entsprechend der Paragraphen 1 und 2 sowohl für die Datennutzung durch öffentliche Stellen des Bundes und der Länder als auch durch nicht-öffentliche Stellen, wie z.b. juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts. Ausgenommen ist ausschließlich die Datennutzung für persönliche oder familiäre Zwecke. Bedeutsam für InfraNorm erscheinen insbesondere fünf Paragraphen: 6b Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen 13 Datenerhebung 14 Datenspeicherung, -veränderung und -nutzung 15 Datenübermittlung an öffentliche Stellen 16 Datenübermittlung an nicht öffentliche Stellen (BMJ, 2009). Die Paragraphen 6b, 13 und 14 werden in Darst. 39 auszugsweise wiedergegeben. Einschränkungen der Anwendung des Paragraphen 6b im Kontext der öffentlichen Sicherheit werden in den Paragraphen 19a und 33 beschrieben. Darin heißt es: 29 Langform: Richtlinie 98/41/EU des Rates vom 18. Juni 1998 über die Registrierung der an Bord von Fahrgastschiffen im Verkehr nach oder von einem Hafen eines Mitgliedstaates der Gemeinschaft befindlichen Personen 109

110 19a Benachrichtigung: Eine Pflicht zur Benachrichtigung besteht u.a. nicht, wenn die Speicherung oder Übermittlung der personenbezogenen Daten durch Gesetz ausdrücklich vorgesehen ist. 33 Benachrichtigung des Betroffenen: Eine Pflicht zur Benachrichtigung besteht u.a. nicht, wenn die zuständige öffentliche Stelle gegenüber der verantwortlichen Stelle festgestellt hat, dass das Bekanntwerden der Daten die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde. 6b Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (1) Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit sie 1. zur Aufgabenerfüllung öffentlicher Stellen, 2. zur Wahrnehmung des Hausrechts oder 3. zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. (2) Der Umstand der Beobachtung und die verantwortliche Stelle sind durch geeignete Maßnahmen erkennbar zu machen. (3) Die Verarbeitung oder Nutzung von nach Absatz 1 erhobenen Daten ist zulässig, wenn dies zur Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten erforderlich ist. (4) Werden durch Videoüberwachung erhobene Daten einer bestimmten Person zugeordnet, ist diese über eine Verarbeitung oder Nutzung entsprechend den 19a und zu benachrichtigen. (5) Die Daten sind unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen. 13 Datenerhebung (1) Das Erheben personenbezogener Daten ist zulässig, wenn ihre Kenntnis zur Erfüllung der Aufgaben der verantwortlichen Stelle erforderlich ist. ( ) (2) Das Erheben besonderer Arten personenbezogener Daten ( 3 Abs. 9) ist nur zulässig, soweit 5. dies zur Abwehr einer erheblichen Gefahr für die öffentliche Sicherheit erforderlich ist. 14 Datenspeicherung, -veränderung und -nutzung (1) Das Speichern, Verändern oder Nutzen personenbezogener Daten ist zulässig, wenn es zur Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegenden Aufgaben erforderlich ist und es für die Zwecke erfolgt, für die die Daten erhoben worden sind. Ist keine Erhebung vorausgegangen, dürfen die Daten nur für die Zwecke geändert oder genutzt werden, für die sie gespeichert worden sind. (2) Das Speichern, Verändern oder Nutzen für andere Zwecke ist nur zulässig, wenn es zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer Gefahr für die öffentliche Sicherheit oder zur Wahrung erheblicher Belange des Gemeinwohls erforderlich ist. Quelle: BMJ (2009) Darst. 39: Auszüge aus dem Bundesdatenschutzgesetz 30 Ausnahmen entsprechend dieser Paragraphen werden im anschließenden Textabsatz dargestellt. 110

111 Sicherheitsbezogene Ausnahmen des Grundrechts auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme sind nur zulässig, wenn tatsächliche Anhaltspunkte einer konkreten Gefahr für ein überragend wichtiges Rechtsgut bestehen (BVerfG, 2008). Als überragend wichtig gelten dabei Leib, Leben und Freiheit der Person oder solche Güter der Allgemeinheit, deren Bedrohung die Grundlagen oder den Bestand des Staates oder die Grundlagen der Existenz der Menschen berührt (BVerfG, 2008). Grundsätzlich erfordern derartige Maßnahmen eine richterliche Genehmigung (vgl. weiterführend BVerfG, 2008). In ähnlicher Weise ist das Erheben besonderer Arten personenbezogener Daten im Security-Kontext zulässig, wenn dies zur Abwehr einer erheblichen Gefahr für die öffentliche Sicherheit erforderlich ist (vgl. 13 (2) 5 des BDSG sowie Darst. 39) und das Speichern, Verändern oder Nutzen personenbezogener Daten in diesem Rahmen nur zulässig, wenn dies zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer Gefahr für die öffentliche Sicherheit oder zur Wahrung erheblicher Belange des Gemeinwohls erforderlich ist (vgl. 14 (2) 6 des BDSG sowie Darst. 39). Das Gesetz zur Regelung des Zugangs zu Informationen des Bundes (Informationsfreiheitsgesetz IFG) vom 5. September 2005 (BGBl. I S. 2722) stellt ein weiteres hier relevantes Regelwerk dar. Bedeutend sind dabei v.a. die Paragraphen 1 und 3: 1 Grundsatz (1) Jeder hat nach Maßgabe dieses Gesetzes gegenüber den Behörden des Bundes einen Anspruch auf Zugang zu amtlichen Informationen. ( ) 3 Schutz von besonderen öffentlichen Belangen: Der Anspruch auf Informationszugang besteht nicht, 1. wenn das Bekanntwerden der Information nachteilige Auswirkungen haben kann auf a) internationale Beziehungen, b) militärische und sonstige sicherheitsempfindliche Belange der Bundeswehr, c) Belange der inneren oder äußeren Sicherheit ( ). 2. wenn das Bekanntwerden der Information die öffentliche Sicherheit gefährden kann (vgl. BMJ, 2005). Deutlich wird, dass auch bei den hier beschriebenen Rechten Ausnahmen gelten, wenn diese zur Gewährleistung der öffentlichen Sicherheit notwendig sind. Dennoch werden auch hier halböffentliche Bereiche nicht gesondert betrachtet Datenschutz-Schutzziele Zur Umsetzung der Datenschutzanforderungen sind entsprechend Rost (2009) Schutzziele definierbar, die mit konkreten Maßnahmen verknüpft werden können. Unter Einbezug bereits beschriebener Datenschutzaspekte haben Rost/Pfitzmann (2009) dabei zwölf Schutzziele definiert, wobei sie zwischen elementaren und abgeleiteten Zielen unterscheiden: 111

112 Elementare Schutzziele Vertraulichkeit: Gesicherter Nichtzugriff auf eine Information. Kontingenz: die Information ist gesichert nicht sicher echt (Berücksichtigung, dass etwas anders sein kann, als es scheint). Integrität: die Information ist gesichert echt. Verfügbarkeit: Gesicherter Zugriff auf Information innerhalb einer festgelegten Zeit. Transparenz: Transparenz eines Systemteils S bezeichnet seine Durchsichtigkeit für Entität E mit dem Zweck, S für E beobachtbar bzw. erkennbar zu machen. Nichtverkettbarkeit (von Daten und Entitäten): Die Unmöglichkeit der Verkettung von Daten und Entitäten untereinander und miteinander. Abgeleitete Schutzziele Verbindlichkeit/Erreichbarkeit: Verfügbarkeit der Kommunikationsumstände Anonymität: Vertraulichkeit der Identität einer Entität Zurechenbarkeit: Integrität der Kommunikationsumstände und Überprüfbarkeit Abstreitbarkeit: Kontingenz der Kommunikationsumstände Ermittelbarkeit: Verfügbarkeit einer Entität, d.h. gesicherter Zugriff auf eine Entität innerhalb einer festgelegten Zeit. Unbeobachtbarkeit: Unentdeckbarkeit für alle an der Kommunikation Unbeteiligten und Anonymität gegenüber anderen an der Kommunikation Beteiligten. Vertraulichkeit, Integrität und Kontingenz sowie die Elemente der Unbeobachtbarkeit können ggf. auf eine festgelegte Zeit beschränkt werden (vgl. Rost, 2009). Wie zuvor beschrieben, umfassen die elementaren Schutzziele Vertraulichkeit, Kontingenz, Integrität, Verfügbarkeit, Transparenz und Nichtverkettbarkeit. Verfügbarkeit im Sinne einer Zugreifbarkeit und Vertraulichkeit im Sinne eine Nichtzugreifbarkeit der Informationen stehen dabei konkurrierend zueinander. Dies kann bei der Umsetzung beider Ziele zu Problemen führen. Ein ähnliches Problem ist für die Ziele Integrität und Kontingenz kennzeichnend. Das Kontingenz-Ziel soll dabei als ein Schutzziel gegen Einengungen durch Technik fungieren. Die Autoren grenzen die Ziele daher wie folgt voneinander ab: Während die Sicherung der Integrität von Daten und Umständen darauf hinausläuft zu bestätigen, dass etwas so ist, wie es ist, erlaubt das Schutzziel Kontingenz die Feststellung, dass etwas anders sein könnte, als es scheint. Im Rahmen von security-bezogenen Maßnahmen können derartige Möglichkeiten wichtig werden, um verdeckte, auf einen Schaden ausgerichtete Aktivitäten aufzugdecken. Über die Definition von Rost hinausgehend werden im Technischen Report ISO/TR die folgenden Merkmale von Integrität genannt: accuracy, context, consistency, comparability, continuity, completeness and relevance. 112

113 Erste Überlegungen zur Umsetzung des Schutzziels Kontingenz implizieren eine abgewogene Reduktion von Integritätssicherungsmaßnahmen, die auf eine maximale Erfüllung des gesamten Zielbündels ausgerichtet ist. In Bezug auf die Transparenz weisen die Autoren auf ihre Skalierbarkeit bis hin zur intransparenten Opazität hin. Opazität definieren sie dabei als Bezeichnung, die der Skalierbarkeit von Undurchsichtigkeit vorbehalten ist. Bei der Nutzung von Technologien zum Schutz der zivilen Sicherheit ist es wichtig, die Möglichkeiten dieser Skalierbarkeit auf geeignete Weise auszunutzen. Wesentliche Instrumente zur Sicherung der Nichtverkettbarkeit sind Regelungen zur Erheben und Speicherung, zum Verändern und Nutzen, zur Übermittlung und zum Löschen von Daten (vgl. Rost/Pfitzmann, 2009). Mit einem speziellen Technologiebezug hat Weichert (2010) in ähnlicher Weise sieben Aspekte datenschutzfreundlicher (Sicherheits-) Technik definiert: Datensparsamkeit/Datenvermeidung (Anonymität, Pseudonymität, contra Massenverarbeitung, contra hohe Eingriffstiefen) Strenge Erforderlichkeitsprüfung Zugriffs- und Nutzungskontrollen Unverknüpfbarkeit (Pseudonymität, Verschlüsselung) Individuelle und gesellschaftliche Transparenz Anwendungsfreundlichkeit (Mensch-Maschine-Schnittstelle) Geeigneter Umgang mit Fehlern. Eng verbunden mit dem Thema Datenschutz sind Aspekte der Datensicherheit. Eine Abgrenzung bietet Rost (2009). Obgleich Überschneidungen existieren, besteht der größte Unterschied darin, dass die Datensicherheit dem Interesse der datenverarbeitenden Stelle dient, während der Datenschutz dem Betroffenen gilt. In Kap. 7.2 werden ausgewählte Normen und Standards für beide Gebiete erörtert Umsetzung ausgewählter Regelwerke in der Sicherheitsforschung In Kap. 6.3 wurden zahlreiche europäische Regelwerke sowie Einschränkungen ihrer Anwendung bei der Sicherstellung der öffentlichen Sicherheit dargestellt. Ein wichtiges grundlegendes Dokument ist dabei die Datenschutzrichtlinie 95/46/EG. PRISE (2008b) betont, dass die Adressaten der Richtlinie entsprechend Artikel 2 v.a. Verantwortliche für Datenverarbeitungsprozesse und ihre Auftragsverarbeiter sind. Dies gilt für eine Reihe weiterer europäischer und internationaler Regelwerke in ähnlicher Weise. Wenn Sicherheitsforscher in ihren Projekten Daten verarbeiten, sind sie entsprechend der Richtlinie bzw. dem auf ihr aufbauenden nationalen Recht zum Privacy-Schutz verpflichtet. Andernfalls bezieht sich die Richtlinie, so PRISE (2008b), nicht direkt auf Entwickler von Technologien und Systemen, die später durch Verantwortliche für Datenverarbeitungsprozesse und ihre Auftragsverarbeiter genutzt werden. Dem gegenüber betont die Europäische Kommission 113

114 (2006) jedoch die Bedeutung der Einhaltung der für potentielle Kunden relevanten Privacy- Aspekte, um eine Vermarktungsfähigkeit der Lösungen sicherzustellen: Die Entwicklung guter, effizienter und brauchbarer Lösungen und Produkte setzt voraus, dass die Hersteller über ausreichende Informationen darüber verfügen, welcher Bedarf bei den Endnutzern tatsächlich besteht (Europäische Kommission, 2006:9). Für die Regelungen des BDSG ist dieses Prinzip übertragbar. Im folgenden Kapitel werden darüber hinaus Normen und Standards erörtert, die konkrete privacy-bezogene Anforderungen an Produkte und Technologien beschreiben. Modifikationen zur Anwendung der Datenschutzrichtlinie 95/46/EG für die Sicherstellung der öffentlichen Sicherheit wurden, wie in Kap 6.3 unter Verweis auf dieses Teilkapitel dargestellt, in der Richtlinie insbesondere durch zwei Passagen formuliert: ( ) Tätigkeiten, die die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates oder die Tätigkeiten des Staates im Bereich des Strafrechts betreffen, fallen unbeschadet der Verpflichtungen der Mitgliedstaaten ( ) nicht in den Anwendungsbereich des Gemeinschaftsrechts. Die Verarbeitung personenbezogener Daten, die zum Schutz des wirtschaftlichen Wohls des Staates erforderlich ist, fällt nicht unter diese Richtlinie, wenn sie mit Fragen der Sicherheit des Staates zusammenhängt (Datenschutzrichtlinie 95/46/EG, Grundlagen, Punkt 13, EUR-Lex, 2010f). Die Mitgliedstaaten können Rechtsvorschriften erlassen, die die (privacy-bezogenen) Pflichten und Rechte ( ) beschränken, sofern eine solche Beschränkung notwendig ist für a) die Sicherheit des Staates; b) die Landesverteidigung; c) die öffentliche Sicherheit ( ) (Datenschutzrichtlinie 95/46/EG, Abschnitt VI Ausnahmen und Einschränkungen, Artikel 13, EUR-Lex, 2010f). PRISE (2008b) bietet eine Reihe von Empfehlungen zur integrierten Verfolgung von Security- und Privacy-Zielen unter Berücksichtigung von Artikel 13 der Richtlinie 95/46/EG. Sie werden nachstehend frei wiedergegeben. Die Empfehlungen sind größtenteils auf die Einschränkungen in den anderen zuvor dargestellten Richtlinien übertragbar. Im Proposal der EU-Datenschutz-Grundverordnung, die Ende 2013 veröffentlicht werden soll, werden darüber hinaus Datenschutz durch Technik, datenschutzfreundliche Voreinstellungen sowie Privacy by design gefordert (vgl. Kap 6.3). Das Design der Sicherheitstechnologie muss den relevanten Bestimmungen über ihre technischen Eigenschaften entsprechen, insbesondere hinsichtlich der Datensicherheit und Datensparsamkeit. Dies bedeutet, dass ein angemessener technischer Schutz für alle Formen der Datenverarbeitung (Sammlung, Weitergabe, Speicherung und Angleichung) implementiert werden muss. Vorgaben zur Datensicherheit gelten dabei uneingeschränkt auch für spezielle Maßnahmen zur Gewährleistung der öffentlichen Sicherheit durch staatliche und polizeiliche Stellen. Darüber hinaus muss der Fokus bei der Ausgestaltung einer technischen Lösung darauf gelegt werden, so wenig Daten von so wenigen Personen wie möglich zu erheben und so kurz wie möglich zu speichern (Datensparsamkeit). Wenn möglich, sollte 114

115 ein beabsichtigtes Untersuchungsergebnis zunächst unter Wahrung der Anonymität erzielt werden, welche zum Schutz unverdächtiger Datensubjekte nur aufgehoben wird, wenn ein Treffer auftritt. Handlungen zur Gewährleistung der öffentlichen Sicherheit unter Nutzung verdeckt arbeitender Technologien implizieren einen Widerspruch zum Transparenz-Grundsatz. Daher erfordern die meisten verdeckten Ermittlungsmethoden eine richterliche Anordnung. (Ähnlich lautende spezielle deutsche Regelungen wurden in Kap. 6.5 dargestellt.) Wenn ein gleichwertiges Untersuchungsergebnis mit weniger kritischen technischen Mitteln bewirkt werden kann, müssen diese bevorzugt verwendet werden (vgl. PRISE, 2008a). Der Grundsatz der Verhältnismäßigkeit ist entsprechend PRISE (2008a) auch unter einer Einschränkung der Privatsphäre für die Gewährleistung der inneren Sicherheit erfüllt, wenn dadurch umfangreichere, staatliche Interventionen, die diese Grundrechte tangieren würden, verhindert werden können. Die aktuell auf Grundlage der Richtlinie 95/48/EG möglichen Schutzmaßnahmen für halböffentliche Bereiche entsprechen weitestgehend denen privater Bereiche ohne die Aspekte der öffentlichen Nutzbarkeit derartiger Räume zu berücksichtigen (vgl. Württemberger, 2012 sowie Kap. 6.4). Spezifische Regelungen fehlen derzeit. Im Rahmen der Umfrage InfraNorm (2012) wurde daher ein Wunsch nach klärenden Gesetzeswerken zum Ausdruck gebracht. Obgleich InfraNorm sich ausschließlich mit der Entwicklung von Normen und Spezifikationen befasst, bieten die Studienergebnisse Möglichkeiten, gezielt auf den entsprechenden Lösungsbedarf hinzuweisen. Darüber hinaus betont Württemberger (2012) bezugnehmend auf ausgewählte Technologien, insbesondere zur intelligenten Videoüberwachung, auch hinsichtlich des Schutzes der öffentlichen Sicherheit einen Handlungsbedarf zur Neu- oder Weiterentwicklung rechtlicher Rahmenbedingungen Regularien aus verwandten Bereichen zur sicheren Datenerfassung, -nutzung und -speicherung Die Themen des Sicherheitsforschungsprogramms adressieren mehrere konkrete Szenarien der zivilen Sicherheit, z.b. den Schutz von Verkehrs- und Energieinfrastrukturen, in denen die Erfassung und der Austausch von Daten eine wichtige Rolle spielen. Zur Ermittlung eventueller Übertragungsmöglichkeiten wurden daher ausgewählte öffentliche Regelungen im Bereich Datensicherheit analysiert. Konkret wird das Gesetz über Personalausweise und den elektronischen Identitätsnachweis sowie zur Änderung weiterer Vorschriften (BMI, 2009) betrachtet. Die Paragraphen 12 und 18 beschäftigen sich dabei mit der Form und den Verfahren der Datenerfassung, -prüfung und -übermittlung sowie mit einem elektronischen Identitätsnachweis. Auf beiden Gebieten sind dem jeweiligen Stand der Technik entsprechende Maßnahmen zur Sicherstellung von Datenschutz und Datensicherheit zu treffen, die insbesondere die Vertraulichkeit und Unversehrtheit der Daten sowie die Feststellbarkeit der übermittelnden Stelle gewährleisten. 115

116 In 24 wird die Verwendung der im Personalausweisregister gespeicherten Daten beschrieben. Dabei heißt es u.a.: (1) Die Personalausweisbehörden dürfen personenbezogene Daten nur nach Maßgabe dieses Gesetzes, anderer Gesetze oder Rechtsverordnungen erheben oder verwenden. (2) Die Personalausweisbehörden dürfen anderen Behörden auf deren Ersuchen Daten aus dem Personalausweisregister übermitteln, wenn die ersuchende Behörde aufgrund von Gesetzen oder Rechtsverordnungen berechtigt ist, solche Daten zu erhalten ( ). (3) ( ) Ein Ersuchen nach Absatz 2 darf nur von Bediensteten gestellt werden, die vom Behördenleiter dazu besonders ermächtigt sind. Die ersuchende Behörde hat den Anlass des Ersuchens und die Herkunft der übermittelten Daten und Unterlagen zu dokumentieren. Wird die Personalausweisbehörde vom Bundesamt für Verfassungsschutz, den Landesbehörden für Verfassungsschutz, dem Militärischen Abschirmdienst, dem Bundesnachrichtendienst, dem Bundeskriminalamt oder dem Generalbundesanwalt oder der Generalbundesanwältin um die Übermittlung von Daten ersucht, so hat die ersuchende Behörde den Familiennamen, die Vornamen und die Anschrift des Betroffenen unter Hinweis auf den Anlass der Übermittlung aufzuzeichnen. Die Aufzeichnungen sind gesondert aufzubewahren, durch technische und organisatorische Maßnahmen zu sichern und am Ende des Kalenderjahres, das dem Jahr der Übermittlung folgt, zu vernichten. Damit wurden konkrete Vorgaben geschaffen, die für die Nutzung von Daten im Kontext des Schutzes der zivilen Sicherheit Möglichkeiten für eine modifizierte Übertragung bieten Regularien aus verwandten Bereichen zur sicheren Übertragung von Daten Neben der Datenerfassung und -speicherung spielt auch die sichere Datenübertragung in Security-Szenarien der öffentlichen Sicherheit eine Rolle. In Kap. 6.8 wurde das Gesetz über Personalausweise und den elektronischen Identitätsnachweis sowie zur Änderung weiterer Vorschriften dargestellt. Wie beschrieben, sind bei der Datenübertragung entsprechend 12 dem jeweiligen Stand der Technik entsprechende Maßnahmen zur Sicherstellung von Datenschutz und Datensicherheit zu treffen, die insbesondere die Vertraulichkeit und Unversehrtheit der Daten sowie die Feststellbarkeit der übermittelnden Stelle gewährleisten. In 12 wird dabei ergänzt: im Falle der Nutzung allgemein zugänglicher Netze sind Verschlüsselungsverfahren anzuwenden, die dem jeweiligen Stand der Technik entsprechen. 116

117 Richtlinien für sichere Datenübertragungen mit konkreten technischen Anforderungen wurden ferner z.b. durch die Personalausweisverordnung (PauswV), die Erste Bundesmeldedatenübermittlungsverordnung (1. BMeldDÜV) sowie die Passdatenerfassungs- und Übermittlungsverordnung (PassDEÜV) geschaffen Ausgewählte rechtliche Probleme von Sicherheitstechnologien In Kap. 6.3 wurden neun Prinzipien des Europäischen Privacy-Rechts sowie entsprechend den OECD-Guidelines, der Convention 108 und der Datenschutzrichtlinie sechs internationale Mindestgrundsätze des Privacy-Schutzes definiert. Sicherheitslösungen können in unterschiedlicher Weise mit diesen Zielen im Konflikt stehen. In Bezug auf Überwachungstechnologien verweist Artikel-29-DSG (2007) dabei auf einen Hinweis des Abschlusskommuniques der 28. Internationalen Konferenz der Datenschutzbeauftragten im Jahr 2006: Überwachungsaktivitäten können gut gemeint und nützlich sein. ( ) Unkontrollierte oder übermäßige Überwachungsaktivitäten können jedoch unbemerkt zu Risiken führen, die wesentlich mehr als nur eine Beeinträchtigung der Privatsphäre nach sich ziehen. Sie können ein Klima voller Misstrauen hervorrufen und Vertrauen untergraben. Die Erfassung und Verwendung umfangreicher Personendaten durch öffentliche und private Organisationen führt zu Entscheidungen, die einen direkten Einfluss auf das Leben der Menschen haben. Entsprechend PRISE (2008a), ICO (2010), Nagenborg (2011) sowie Württemberger (2012) weisen z.b. Technologien in den folgenden Bereichen ein Potential für Privacy-Verletzungen auf: Smart Cards, Radio Frequency Identification (RFID), Biometrie, Lokalisierungstechnologien (inklusive Technologien zur Handyortung, Applikationen von GPS-Systemen und intelligente Transportsysteme), visuelle Überwachung, digitale Bild- und Videoaufzeichnung, weitere Sensortechnologien, Data Mining / Analyse und Entscheidungsfindung, Profiling, Body-/Körperscanner, Kommunikationstechnologien, Sonstige Speichertechnologien sowie Kombination von Security-Technologien incl. intelligenter Videoüberwachung. Nachstehend werden Ethik- und Privacy-Risiken ausgewählter Technologien und Lösungen diskutiert. Dabei wird auch Risiken kombinierter technologischer Lösungen und technischer Systeme erörtert. Derartige Systemlösungen haben im Sicherheitsforschungsprogramm u.a. in Projekten der Szenarienorientierten Sicherheitsforschung Relevanz. 117

118 Sensortechnologien incl. Technologien zur Videoüberwachung Sensoren sind in unterschiedlichen Größen verfügbar. Miniaturisierte Produkte implizieren dabei die Möglichkeit der Nicht-Sichtbarkeit. Darüber hinaus bergen auch leicht sichtbare Sensoren, wie z.b. bei der Videoüberwachung, Privacy-Risiken. Häufig besteht dabei Intransparenz über die Datenerhebung als solche sowie darüber, auf welche Daten die Aufnahme, Übertragung und Speicherung ausgerichtet ist. Einige Messdaten können zudem intime Informationen, wie z.b. zur ethnischen Herkunft, und damit sensible Daten enthalten, die besondere Aufmerksamkeit erfordern. Ein weiteres Problem besteht darin, dass viele Sensoren Daten aus einer beliebigen Eigenschaft von allen Objekten oder Personen innerhalb ihres Messbereichs erheben. Da hierbei keine Unterscheidung zwischen potentiell verdächtigen nicht verdächtigen Personen vorgenommen wird, ist daher auch ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit möglich (vgl. PRISE, 2008a). RFID-Technologien Zahlreiche Privacy-Probleme sind mit RFID-Technologien verbunden. Der Technische Report ETSI TR V (ETSI, 2011) bietet einen Überblick über RFID-Funktionen, die Auswirkungen auf den Daten- und Privacy-Schutz haben können. In Kap. C.2.1 beschreibt er konkrete privacy- und datenschutzbezogene Risiken derartiger technischer Lösungen, vgl. Darst. 40: Identify theft Profiling Data linkability Tracking Exclusion of the data subject from the data processing process due to disabling of RFID tag Procedures/instructions not followed leading to tags being used past end of purpose Large-scale and/or inappropriate data mining and/ or surveillance Non-compliance with data protection legislation Quelle: in Anlehnung an ETSI TR Darst. 40: Privacy- und datenschutzbezogene Risiken im Bereich RFID RFIDs können zum Tracking ungesehen sowie ohne das Wissen oder die Zustimmung der Betroffenen eingesetzt werden. Darüber hinaus übersteigt die Lebensdauer von RFID-Tags datenschutzrechtlich legitime Zeitspannen. Standardisierte Privacy-Features (z.b. zur Verschlüsselung von Daten auf Etiketten und zur Datenzugriffsauthentifizierung) fehlen zudem. Auf dieser Grundlage entstehen 31 Ausführlicher Name: ETSI TR V Radio Frequency Identification (RFID) - Coordinated ESO response to Phase 1 of EU Mandate M

119 Risiken in Bezug auf nahezu alle zuvor beschrieben Privacy-Grundsätze, insbesondere im Hinblick auf die Transparenz und die Datensicherheit. Kommunikationstechnologien Kommunikationstechnologien sind durch vielfältige Einflüsse auf die Privatsphäre gekennzeichnet. Die Kommunikation bzw. die Übertragung von Daten kann unbeobachtet und daher ohne eine erforderliche Transparenz stattfinden. Weitere Risiken beziehen sich auf Abhörungen und unbefugte Zugriffe. RFID-Tags zum Beispiel kommunizieren in der Regel mit jedem Lesegerät in ihrer Reichweite. Der Schutz der Übertragung kann sowohl eine Authentifizierung und Verschlüsselung als auch die Implementierung eines Berechtigungskonzeptes und eine Zugriffsprotokollierung erfordern (vgl. PRISE, 2008a). Speichertechnologien incl. Speicherung der Videoüberwachung Privacy-Aspekte bei der Datenspeicherung betreffen das Risiko eines unbefugten Zugriffs und Datenverlusts, die Umsetzung der gesetzlich vorgeschriebenen Aufbewahrungsfristen durch Löschverfahren sowie die Überprüfung der Korrektheit und Rechtmäßigkeit der Datenerhebung und des -zugangs. Darüber hinaus birgt die Verknüpfbarkeit von gespeicherten Personendaten in verschiedenen Datenbanken Privacy-Risiken, da durch die Verknüpfung zusätzliche Informationen gewonnen werden können, die nicht aus den separaten Quellen abgeleitet werden können (vgl. PRISE, 2008a). Analyse und Entscheidungsfindung Analyse- und Entscheidungsverfahren laufen für die Betroffenen intransparent ab, da sie keine Benachrichtigung darüber erhalten, welche Datenquellen verknüpft werden und wann ein Data Mining stattfindet. Je nachdem, wie konkret ein Verdacht auf eine bestimmte geplante oder begangene Straftat besteht, birgt das Mining großer Datenmengen über viele Personen und aus verschiedenen Quellen zudem das Risiko einer fehlenden Verhältnismäßigkeit (vgl. PRISE, 2008a). Konkrete Probleme werden von Artikel-29-DSG (2007) in Klassifikationen und der Erstellung von Profilen gesehen. Durch eine automatische oder willkürliche Klassifizierung und Profilerstellung können Menschen auf eine Art und Weise stigmatisiert werden, die Gefahren für den Einzelnen mit sich bringen und deren Zugriffsmöglichkeiten auf Dienstleistungen beeinträchtigen. Insbesondere wird das Risiko einer sozialen Ausgrenzung immer größer. Darst. 41 fasst die Privacy-Risiken der dargestellten Technologien und Anwendungen zusammen. Im Kontext der öffentlichen Sicherheit gelten einzelne dieser Anforderungen modifiziert. Dies betrifft z.b. die Verhältnismäßigkeit, vgl. Kap Uneingeschränkt gelten jedoch auch dort insbesondere die Anforderungen an die Qualität der Daten und die Datensicherheit. 119

120 Sensortechnologien incl. Videoüberwachung Legitimität Qualität der Daten Zweckverbindlichkeit Verhältnismäßigkeit Transparenz Datensicherheit RFID-Technologien Kommunikationstechnologien Speichertechnologien, incl. Speicherung der Videoüberwachung Analyse und Entscheidungsfindung Mögliches Problem Bekannte Privacy-Bedrohung Quelle: PRISE (2008a) sowie eigene Erarbeitungen Darst. 41: Ausgewählte Privacy-Risiken von Sicherheitstechnologien und -anwendungen Kombination von Security-Technologien incl. intelligenter Videoüberwachung Durch Kombination unterschiedlicher Basistechnologien können spezifische Privacy-Risiken entstehen. Als Beispiel erörtern die Autoren dabei drahtlose Sensornetzwerke. Sie bestehen im Allgemeinen aus einem Datenerfassungs- und einem Datenverteilungsnetz und können zu einem Verhaltensmonitoring verwendet werden. Drahtlose Sensornetzwerke kombinieren z.b. multifunktionale Sensor-Knoten, die eine Datenerfassung und -verarbeitung ermöglichen, sowie Kommunikationskomponenten für die drahtlose Kommunikation. Die Sensoren übertragen die Daten der erfassten Phänomene zu zentralen Knoten, an denen Berechnungen durchgeführt und die Daten fusioniert werden. Sensorknoten haben selbstorganisierende Fähigkeiten und können sich an Veränderungen der physikalischen Bedingungen anzupassen. Derartige Lösungen können in einem hohen Maße in Privacy-Bereiche eindringen (vgl. PRISE, 2008a). Als ein weiteres Beispiel erörtert Württemberger (2012) Probleme im Bereich der intelligenten Videoüberwachung. Im Vergleich zu herkömmlichen Formen der Videoüberwachung ist dabei eine Spezifizierung der Überwachung kennzeichnend: Während mit herkömmlichen Systemen alle Ereignisse eines Überwachungszeitraums aufgezeichnet werden, dokumentiert die intelligente Videoüberwachung nur erfasste Ereignisse, die vom Normalverhalten abweichen (vgl. Württemberger, 2012). Auf dieser Grundlage basiert die intelligente Videoüberwachung auf einer Kombination aus Videoelementen, der Anwendung datenanalytischer Verfahren und der Datenspeicherung. Resultierende Probleme umfassen dem Autor zufolge v.a. Missbrauch- und Diskriminierungsrisiken sowie mögliche Einschüchterungseffekte. Body-, Körperscanner Moderne, hier betrachtete, Körperscanner basieren auf Terahertz(THz)-, Millimeter(mm)- oder Röntgenstrahlung. Dabei handelt es sich um distanzlose Technologie(n), mit (denen) unmittelbar an der Körperoberfläche Daten erhoben werden (Nagenborg, 2011:239). Konk- 120

121 ret messen sie die Strahlung in einem bestimmten Abschnitt des elektromagnetischen Spektrums, der von festen, z.b. metallischen, Objekten sowie vom menschlichen Körper bzw. der Hautoberfläche reflektiert wird, wobei die Kleidung durchdrungen wird (vgl. Nagenborg, 2011). Rasch wurden dabei ethische Risiken einer Nacktdarstellung von Personen erkannt und alternative Lösungsansätze entwickelt. Dennoch blieben Privacy-Risiken bestehen. Der Verzicht auf Nackt-Bilder mildert ( ) die Verletzung des Anspruchs auf Privatheit. Jedoch darf nicht übersehen werden, dass (dieser Anspruch) sich auch als Forderung nach Wahrung von Distanz erklären lässt (Nagenborg, 2011:239). Ethische Risiken liegen aufgrund der Körpernähe insbesondere in einer möglichen Diskriminierung von Menschen mit verdeckten Behinderungen: (Sie ist z.b.) in Hinblick auf Menschen mit verdeckten Behinderungen sowie andere Personengruppen, die mit gutem Grund etwas unter ihrer Kleidung verbergen, problematisch. Dieses Etwas kann (aber z.b.) eine Prothese sein (Nagenborg, 2011:239). Als Beispiele für weitere Gebiete, die unmittelbar am menschlichen Körper ansetzen nennt Nagenborg (2011) z.b. die Biometrie und die Auswertung genetischer Informationen. Zusätzliche Risiken betreffen v.a. die Qualität und die Sicherheit der erhobenen Daten. Da ihr Einsatz in Deutschland derzeit nicht vorgesehen ist, werden Body-/Körperscanner in dieser Studie ausschließlich ergänzend diskutiert, z.b. in Kap Wahrgenommene Ethik- und Privacy-Risiken der in vielfältigen sicherheits- und gesellschaftsbezogenen Bereichen agierenden Teilnehmer des Sicherheitsforschungsprogramms wurden ausführlich in InfraNorm (2012) beschrieben. Alle zuvor genannten Themen wurden dabei aufgegriffen, z.b. Privacy-Risiken der Videoüberwachung, biometrischer Systeme, Risiken von Sensoren sowie Risiken der Datenerfassung und -verarbeitung. Teilweise wurden zur Problemerörterung synonyme Begriffe verwendet. So wurden beispielsweise nicht speziell Smart Cards thematisiert, sondern generelle Privacy-Aspekte der Zugangskontrolle und anstelle spezieller RFID-Betrachtungen wurden übergreifende Probleme von Trackingtechnologien erörtert, die auch bei RFIDs auftreten können. In der Studie wird eine detaillierte Priorisierung zur Lösung der Ethik- und Privacy-Risiken vorgenommen. Im folgenden Kapitel werden anhand der Integration ethik-bezogener Anforderungen in sicherheitsspezifische Normen und Spezifikationen Lösungsansätze aufgezeigt. 121

122

123 7. Integration ethik-bezogener Anforderungen in sicherheitsspezifische Normen und Standards 7.1. Einführung Es ist empfehlenswert, in der Normung und Standardisierung wann immer möglich auf bestehenden normativen Regelwerken aufzubauen. Das vorliegende Handbuch bezweckt diesbezüglich sowohl eine Sensibilisierung für entsprechende Maßnahmen als auch eine konkrete Umsetzungsunterstützung. Aufgrund der Vielfältigkeit des Sicherheitsforschungsprogramms ist dabei nur eine Betrachtung ausgewählter Themen möglich. Entsprechend InfraNorm (2011) und den Antworten auf Frage 10 der Studie im Sicherheitsforschungsprogramm werden mit der Entwicklung security-spezifischer Normen und Standards u.a. drei Risiken verbunden: Missbrauch, Ethik und Pseudosicherheit. Diese Risiken können alle Gebiete der Sicherheitsforschung betreffen. Die Studie InfraNorm (2012) zeigte dabei, dass privacy-spezifische Normen den Sicherheitsforschern nahezu nicht bekannt sind. Ausgewählte Beispiele werden daher im Folgenden erörtert. Grundlegende Regelwerke in Bezug auf die speziellen Ethik-Themen Privacy, Datenschutz und Consent wurden in Kap. 6 vorgestellt. In Kap. 7.2 bis 7.5 wird die Thematik weitergeführt. Dabei werden allgemeine privacy-bezogene Normen und Standards, ihre Anwendbarkeit im Security-Kontext sowie mögliche Anwendungseinschränkungen und Normungslücken dargestellt. Entsprechend der aktuellen Praxis 32 werden die Aspekte Privacy und Consent dabei gemeinsam betrachtet. Die Europäische Kommission (2006) betont dabei im Hinblick auf Detektionstechnologien und die Datenverarbeitung: bei der Konzeption, der Realisierung und dem Einsatz [derartiger Lösungen] sowie bei den Rechtsvorschriften und Maßnahmen, mit denen diese Technologien gefördert und geregelt werden sollen, [sind] die Grundrechte, wie sie in der EU-Grundrechtscharta und in der Menschenrechtskonvention niedergelegt sind, uneingeschränkt zu beachten (Europäische Kommission, 2006:6) und der Schutz personenbezogener Daten und das Recht auf Achtung des Privatlebens [ ] (verdienen) besondere Beachtung (Europäische Kommission, 2006:6). In ähnlicher Weise betont die Artikel-29-Datenschutzgruppe in Artikel-29-DSG (2007) die Bedeutung, alle einschlägigen Vorschriften und Garantien des europäischen Datenschutzrechts wie die Europäische Menschenrechtskonvention, das Europäische Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten, die Datenschutzrichtlinie sowie die Datenschutzrichtlinie für elektronische Kommunikation 32 Z.B. Directive 95/46/EG, ISO/TR und ISO/IEC :2011. ISO/TR definiert beispielsweise Consent and choice als eines von elf Privacy-Prinzipien. 123

124 [ ] in die weiteren Diskussionen und Arbeiten zu Detektionstechnologien einzubeziehen und zu beachten. Nach Auffassung von Artikel-29-DSG (2007) ist es zudem unerlässlich, klar zwischen den verschiedenen Arten von Detektionstechnologien zu unterscheiden (d.h. CCTV, RFID-Tags, Biometrie usw.), um für jede Technik die geeignete Datenschutzlösung zu finden (ebd., S.4). Neben der Privacy-Thematik werden in Kap 7.6 Aspekte der Nichtdiskriminierung erörtert. Eine Darstellung der Thematik Dual use, verbunden mit den Risiken Missbrauch und Pseudosicherheit, wird in Kap. 7.7 geboten. Kap. 7.8 fasst die Ergebnisse zusammen und gibt einen Ausblick. In Kap. 5 wurden die an der der Normung und Standardisierung beteiligten Gruppen vorgestellt, darunter auch Verbraucherorganisationen. In der security-bezogenen Normung und Standardisierung sollte der Einbezug geeigneter Repräsentanten von Technologienutzern, aber auch von Ethik- und Rechtsexperten, zum adäquaten Einbezug ethischer Aspekte wichtige Hilfestellungen bieten und dabei gleichzeitig die Akzeptanz der Regelwerke begünstigen Ausgewählte Normen und Standards in den Bereichen Privacy, Datenschutz und Datensicherheit Eine Reihe von Themen der Bereiche Privacy und Datenschutz wird in der Normung und Standardisierung bereits berücksichtigt. In diesem Kapitel werden die Inhalte einiger wichtiger Dokumente dargestellt. Dabei werden Regelwerke mit allgemeinem Charakter, aus Spezialbereichen der öffentlichen Sicherheit sowie aus weiteren Gebieten aufgegriffen. Letztere dienen als Good Practices und bieten Übertragungsmöglichkeiten Grundsätzliche Privacy- und Datenschutzaspekte In Bezug auf den grundsätzlichen Privacy-Schutz werden insbesondere fünf normative Regelwerke als bedeutsam angesehen: ISO 22307, CWA 16113, ISO/IEC und 29115, ISO/IEC sowie ISO/IEC TR Mit der ISO Finanzdienstleistungen - Auswirkungsanalyse Datenschutz (Privacy Impact Assessment) wurde ein ausführliches Regelwerk für Privacy Impact Assessments im Bereich Finanzdienstleistungen geschaffen. Die Norm enthält Anhänge mit Fragen zur grundsätzlichen Notwendigkeit derartiger Analysen, zu einem geeigneten Beginn der Maßnahmen, zu den Zielen der Analyse sowie zur Bewertung von Privacy-Einflüssen. Das Regelwerk bietet eine wertvolle Grundlage zur Entwicklung einer ähnlichen Norm im Bereich der öffentlichen Sicherheit. Das CWA Personal Data Protection Good Practices fordert in Kap. 5.2 zur Entwicklung organisationsinterner Datenschutz- und Informationssicherheitsregelungen auf. Hierfür werden entsprechend Darst. 42 insbesondere die Inhalte Vertraulichkeit, Integrität, Verfügbarkeit und Verwendung vorgeschlagen. Die vier Elemente erweisen sich auch im Kontext 124

125 des Schutzes der öffentlichen Sicherheit als unproblematisch. In Kap. 5.4 wird ferner dazu aufgefordert, Datenklassifikations- und -kennzeichnungsregelungen zu entwickeln. Vertraulichkeit: der Zugang zu den relevanten Informationen ist beschränkt auf Personen mit festgelegtem Bedarf und festgelegter Autorität zur Ansicht und/oder Änderung der Informationen. Verfügbarkeit: die Informationen müssen zu jeder Zeit verfügbar sein und die Informationssysteme müssen dem Nutzer, der ihre Ergebnisse verwendet, zu jedem erforderlichen Zeitpunkt zur Verfügung gestellt werden. Integrität: alle Informationen müssen vollständig, aktuell und richtig sein, dies gilt für alle Systeme, Installationen und Netzwerke. Verwendung: alle Informationen sind für einen oder mehrere bestimmte und rechtmäßige Zwecke zu erheben und dürfen in keiner Art und Weise ohne diese Zweckbestimmungen verarbeitet werden. Quelle: in Anlehnung an den CWA (vgl. CEN, 2010b) Darst. 42: Datenschutzaspekte entsprechend dem CWA Des Weiteren werden in Kap fünf Maßnahmen zur Verhinderung von Privacy- Problemen definiert: Etablierung einer gemeinsamen (zentralen) Security- und Datenschutzregelung Definition von zu erfüllenden Compliance-Anforderungen Testen der Security-Mechanismen Review der Audit-Logs und effektive Nutzung dieser Daten Nutzertraining und Erlangung ihres Commitments zum Schutz persönlicher Daten. Die Norm ISO/IEC Information technology - Security techniques - Privacy framework enthält u.a. ein Kapitel Privacy policies sowie ein Kapitel The privacy principles of ISO/IEC 29100, in dem elf Privacy-Prinzipien dargestellt werden (siehe Darst. 43). Zustimmung und Wahlmöglichkeit (Consent and choice) Datensparsamkeit (Data minimization) Offenheit, Transparenz und Bekanntmachung (Openness, transparency, notice) Informationssicherheit (Information security) Zwecklegitimierung und Spezifizierung (Purpose legitimacy & specification) Nutzung, Speicherung und Offenlegungsbeschränkung (Use, retention and disclose limitation) Individuelle Beteiligung und Zugang (Individual participation and access) Privacy Compliance (Privacy compliance) Eingeschränkte Erhebung (Collection limitation) Genauigkeit und Qualität (Accuracy and Quality) Rechenschaftspflicht (Accountability) Quelle: ISO/IEC Darst. 43: Privacy-Prinzipien des ISO/IEC Des Weiteren bietet die Norm eine Tabelle mit Attributen, die eine Identifikation einer natürlichen Person ermöglichen, z.b. Name, Geburtsdatum, biometrische Informationen, eine aktuelle GPS-Position etc. Sie erfordern beim Datenschutz besondere Aufmerksamkeit. Ergän- 125

126 zend werden in der Norm ISO/IEC Information technology - Security techniques - Entity authentication assurance framework Anhaltspunkte zur Authentisierung gegeben. Für die Wahrung der öffentlichen Sicherheit zeigte PRISE (2008a), dass z.b. die Ziele Datensparsamkeit und Informationssicherheit sehr gut mit den speziellen Security- Anforderungen vereinbar sind, vgl. Kap. 6. Das Prinzip Genauigkeit und Qualität ist ebenfalls problemlos übertragbar. Dennoch existieren mehrere Regelwerke, die ein Durchbrechen der elf Privacy-Prinzipien erfordern. Das Zustimmungsprinzip betreffende Ausnahmen werden z.b. durch die Paragraphen 19a und 33 BDSG und das CWA (vgl. Kap ) beschrieben. Hinsichtlich der Gewährung des Zugangs zu den Daten wurden Ausnahmen beispielsweise im Gesetz zur Regelung des Zugangs zu Informationen des Bundes (Informationsfreiheitsgesetz IFG) beschrieben (vgl. 6.5). In Bezug auf die Offenlegung fordert die ISO/IEC :2011 Information technology -- Security techniques -- A framework for identity management -- Part 1: Terminology and concepts die Implementierung von Regelwerken zur ausgewählten Dateneinsicht. Weitere Ausnahmen werden in Kap erörtert. Der Technische Report ISO/IEC TR Information technology -- Biometrics -- Jurisdictional and societal considerations for commercial applications -- Part 1: General guidance thematisiert organisationsinterne Zuständigkeiten für technologiespezifische Privacy- Aspekte. Dies kommt u.a. in 14, später dargestellten, Privacy-Leitlinien zum Ausdruck. Der Report gibt im Hinblick auf biometrische Anwendungen den Hinweis, dass die Datenschutzbeauftragten von Systembetreibern an der Planung und Implementierung aller biometrischen Technologien und Anwendungen beteiligt sowie bei der Erarbeitung und Kontrolle der Einhaltung von biometrischen Datenschutzrichtlinien involviert sein sollten. Insofern eine Organisation über keinen Datenschutzbeauftragten verfügt, sollte eine Person, welche mit IT-Sicherheits- und Datenschutzaspekten vertraut ist, für die Implementierung des Systems verantwortlich sein. Möglichkeiten zur grundsätzlichen Datenklassifikation werden in Kap des CWA beschrieben. In ähnlicher Weise fordert die ISO/IEC :2011, dass Identitätsmanagementsysteme die Art der verarbeiteten sensitiven Informationen klar spezifizieren. Zudem wurden acht Anforderungen an derartige Systeme definiert: Implementierung von Mechanismen (Richtlinien, Prozessen und Technologien) zur minimalen Offenlegung, Authentifizierung der Personen, die Identitätsinformationen verwenden, Minimierung der Möglichkeiten, Identitäten zu verknüpfen, Aufnahme und Prüfung der Verwendung von Identitätsinformationen, Schutz vor versehentlich erzeugten Privacy-Risiken, Umsetzung von Strategien zur selektiven Offenlegung, Unterstützung der Verwendung von Pseudonymen, Umsetzung von Strategien, um Personen zum Schutz sensibler eigener Identitätsdaten durch explizite Richtungsweisung oder Zustimmung zu bewegen. 126

127 Die Möglichkeiten zur Umsetzung der Forderung stehen in einem engen Zusammenhang mit Privacy Enhancing Technologies, die in Kap. 7.5 erörtert werden. Im Kontext der öffentlichen Sicherheit hat die Ausgestaltung der selektiven Offenlegung von Informationen eine erhöhte Relevanz. Maßnahmen zur Aufnahme und Prüfung der Verwendung von Identitätsinformationen können dabei besondere Mehrwerte bieten. Zur Umsetzung werden in Kap. 7.5 policy-basierte Privacy-Managementsysteme vorgestellt Privacy-schutzkonforme Datenerfassung und Schutzklassen Die Erörterung einer privacy-schutzkonformen Datenerfassung macht zunächst eine Konkretisierung der zu schützenden Daten erforderlich. Die PAS 1011 VCS Kommunikationskonzepte für das Gesundheitswesen beinhaltet dabei in Anlehnung an Arbeiten des Hamburgischen Datenschutzbeauftragten vier Datenkategorien, die aufsteigend aus Sicht der Vertraulichkeit geordnet sind, vgl. Darst. 44. Anhand einer Einordnung der zu schützenden Daten in eine dieser Kategorien werden in der Spezifikation unterschiedliche Maßnahmen zum Schutz der Daten empfohlen bzw. vorgeschrieben. Ausgehend von Darst. 44 sind die Daten der Stufen B bis D mit speziellen Privacy-Risiken verbunden, wobei jedoch i.d.r. eine Verbindung zu Daten der Stufe A, insbesondere zum Namen der betreffenden Person, gegeben ist. Spezielle Maßnahmen zum Datenschutz auf den unterschiedlichen Stufen werden in der PAS 1011 nicht vorgegeben. In Projekten des Sicherheitsforschungsprogramms kann primär ein Schutz von Daten der Stufe A und B Relevanz haben, z.b. durch Erfassung von Namen und Anschriften in Systemen zur Nutzung und zum Schutz von Verkehrsinfrastrukturen, durch Erhebung von Informationen über Behinderungen (z.b. bei der Nutzung biometrischer Anwendungen 33 ) sowie im Hinblick auf Patientendaten und Verkehrsordnungswidrigkeiten. Weitere security-bezogene Daten wie Video- und Fingerabdruckdaten, durch Iris-Scannings gewonnen Daten oder Datenkombinationen werden in der PAS 1011 nicht betrachtet. Für den allgemeinen Datenschutz werden durch die ISO/IEC-Norm ISO/IEC Information technology -- Security techniques -- Evaluation criteria for IT security -- Part 2: Security functional components (Common Criteria) und mehrere ETSI-Dokumente 34 vier grundlegende Maßnahmen definiert: Anonymität, Pseudonymität, Nicht-Verknüpfbarkeit und Nicht- Beobachtbarkeit, vgl. Darst. 45: 33 Noch stärker können Behinderungen bei der Nutzung von Body-Scannern, welche mit Stand Oktober 2012 in Deutschland nicht genehmigt sind, aufgezeigt werden. 34 Im Bereich Identitätsmanagement, z.b. TR

128 Stufe Art der Daten Beispiele A: niedriger/geringer Schutzbedarf Personenbezogene Daten, deren Verarbeitung keine besondere Beeinträchtigung des informationellen Selbstbestimmungsrechts erwarten lässt Name, Anschrift, Beruf, Geburtsjahr, Tel.-Nr., Titel, Branchen- und Geschäftsbezeichnungen, Adressbuchangaben, Bankverbindungen B: mittlerer Schutzbedarf Stufe C: hoher Schutzbedarf Personenbezogene Daten, deren Verarbeitung eine besondere Beeinträchtigung des informationellen Selbstbestimmungsrechts erwarten lässt, da der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen beeinträchtigt werden kann Daten über Mietverhältnisse, über Geschäftsund Vertragsbeziehungen, Telefonverbindungsdaten, Kontenstände, Mitgliederverzeichnisse, Familienstand, Zeugnisse, Versicherungsdaten, Wehrdienstzeit, Grad der Behinderung, verwandtschaftliche Beziehungen, Bekanntenkreis, normale Verwaltungsdaten, Personalverwaltungsdaten aus Beschäftigungsverhältnissen (mit Ausnahme von dienstlichen Beurteilungen, beruflicher Laufbahn, nähere Angaben über Behinderung, Religion, Familienverhältnisse und dgl.), Kreditauskünfte, religiöse und politische Anschauungen, Patientenverwaltungsdaten (mit Ausnahme von Diagnosedaten u.ä.), Schülerdaten, Verkehrsordnungswidrigkeiten Personenbezogene Daten, deren Verarbeitung eine erhebliche Beeinträchtigung des informationellen Selbstbestimmungsrechts erwarten lässt, da der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt werden kann oder seine Daten einem Berufs- oder besonderen Amtsgeheimnis unterliegen Patientendaten (Diagnosedaten und dgl., soweit nicht Stufe B), Sozialdaten, Steuerdaten, strafbare Handlungen, Berufs- und Geschäftsgeheimnisse, Fernmeldegeheimnis, Mandantengeheimnis, Personalverwaltungsdaten (dienstliche Beurteilungen, berufliche Laufbahn, Familienverhältnisse) Stufe D: sehr hoher Schutzbedarf Personenbezogene Daten, deren Verarbeitung eine sehr hohe Gefährdung des informationellen Selbstbestimmungsrechts erwarten lässt, da eine Gefahr für Leib und Leben oder die persönliche Freiheit des Betroffenen gegeben ist Adressen von polizeilichen V-Leuten, Adressen von Zeugen in bestimmten Strafverfahren Quelle: in Anlehnung an die PAS 1011 Darst. 44: Vertraulichkeitsklassen von Daten entsprechend PAS 1011

129 Anonymity/Anonymität: erfordert eine Sicherstellung, dass ein Nutzer einen Dienst ohne Preisgabe seiner Identität nutzen kann. Unlinkability/Nicht-Verknüpfbarkeit: fordert die Sicherstellung, dass ein Nutzer mehrere Angebote oder Dienste nutzen kann, ohne dass andere in die Lage versetzt werden, diese Nutzungen miteinander zu verbinden. Pseudonymity/Pseudonymität: erfordert eine Gewährleistung, dass ein Nutzer ein Angebot oder einen Dienst ohne Preisgabe seiner Identität nutzen kann, aber dennoch für die Nutzung zur Verantwortung gezogen werden kann. Unobservability/Nicht-Beobachtbarkeit: steht für die Sicherstellung, dass ein Nutzer ein Angebot oder einen Dienst nutzen kann, ohne dass andere, insbesondere Drittparteien, in die Lage versetzt werden, die Nutzung des Angebots oder des Dienstes zu beobachten. Quelle: in Anlehnung an Cadzow (2012a,b) Darst. 45: Maßnahmen zum Privacy-Schutz entsprechend ISO/IEC (Common Criteria) Zur Umsetzung der Forderungen nach Pseudonymität bestehen vielfältige Möglichkeiten, die in späteren Kapiteln weiter vertieft werden. Die Anonymisierung ist entsprechend CWA v.a. für triviale Daten sinnvoll und daher im Kontext der öffentlichen Sicherheit nur bedingt geeignet. Zur Umsetzung der Nicht-Verknüpfbarkeit im Security-Kontext werden in Kap. 7.5 Lösungen vorgestellt, die eine Verknüpfung ausschließlich durch autorisierte Personen ermöglichen. Das Merkmal Nicht-Beobachtbarkeit stellt insbesondere beim Einsatz von Überwachungstechnologien eine Herausforderung dar. Im Kontext der öffentlichen Sicherheit sind für diese Technologien jedoch besondere Rahmenbedingungen geben, vgl. die Darstellungen zur CWA in Kap Die ISO/TS 25237:2009 Health informatics Pseudonymization unterscheidet entsprechend Darst. 46 zwischen reversibler und irreversibler Pseudonymisierung. Während die erst genannte Erscheinungsform in vielfältigen Anwendungsfällen Einsatz findet, wird die irreversible Pseudonymisierung selten genutzt. Ein mögliches Einsatzfeld ist die Verwendung von Patientendaten zu Forschungszwecken. Art der Pseudonymisierung Merkmal Umsetzung Reversibel Pseudonymisierte Daten werden durch spezielle Methoden, die nur autorisierten Personen vorbehalten sind, mit den Datensubjekten verbunden. Pseudonymisierung der relevanten Daten, Führung einer geschützt hinterlegten Liste, welche die Pseudonyme mit den Identifiern verbindet Irreversibel Pseudonymisierte Daten enthalten keine Information, die eine Verbindung zwischen den Daten und dem Datensubjekt erlauben. Pseudonymisierung der relevanten Daten ohne Wiederverbindungsmöglichkeit zu den ursprünglichen Daten Quelle: in Anlehnung an ISO TS 25237:2009 Darst. 46: Abgrenzung zwischen reversibler und irreversibler Pseudonymisierung Das Verständnis irreversibel pseudonymisierter Daten entspricht in dieser Spezifikation in hohem Maße demjenigen anonymisierter Daten in der ISO/IEC Sie werden dabei als Daten definiert, die keine Informationen enthalten, welche eine Verlinkung des Datensubjekts mit assoziierten Daten ermöglichen könnten. Ergänzend wird dabei angemerkt, dass eine derartige Verlinkung z.b. durch Namen, Registrierungsnummern oder andere identifizie- 129

130 rende Informationen erfolgen könnte. Auf dieser Grundlage sind auch die Hinweise zum Einsatz von Anonymisierungen im Security-Kontext in Kap. 7.5 übertragbar. Die Spezifikation enthält desweiteren u.a. Designkriterien zur Gestaltung eines Pseudonymisierungsprozesses und für den Workflow. Ferner beinhaltet sie Variablen, die eine Identifikation von Personen ermöglichen und daher besondere Aufmerksamkeit erfordern. Sie beschreibt vertrauenswürdige Betriebspraktiken und gibt zudem Hinweise für die Implementierung vertrauenswürdiger Maßnahmen im Rahmen von Re-Identifikationen. Für Normungs- und Standardisierungsaktivitäten im Bereich der zivilen Sicherheit erscheint insbesondere die Passage zur Rückführung von Pseudonymisierungen und zu den Berechtigungen autorisierter Personen von Bedeutung. Übertragungsmöglichkeiten sind in vielfältigen Bereichen der Unkenntlichmachung und der Nutzung von sog. Privacy Enhancing Technologies gegeben, z.b. zur Unkenntlichmachung von Gesichtern im Bereich der Videoüberwachung Privacy-schutzkonformer Datenzugriff Bei der Erstellung der europäischen Sicherheitsnorm Dienstleistungen für Sicherheitsanlagen wurde die ISO-Norm ISO 22222:2005 Private Finanzplanung Anforderungen an private Finanzplaner als ein Erfolgsbeispiel für die Berücksichtigung ethischer Aspekte betrachtet. Darin heißt es u.a. in Kap Vertraulichkeit : Private Finanzplaner müssen die Vertraulichkeit der Kundendaten aufrechterhalten, sofern diese nicht aus behördlichen und/oder gesetzlichen Gründen offen gelegt werden müssen. Deutlich wird dabei die gesonderte Behandlung von behördlichen und gesetzlichen Aspekten, die beim Datenschutz im Sicherheitskontext eine spezielle Relevanz haben können. Wichtige weitere Anregungen wurden in Kap. 6 anhand des Gesetzes über Personalausweise und den elektronischen Identitätsnachweis sowie zur Änderung weiterer Vorschriften gegeben. In Paragraph 24 wird dabei die korrekte Verwendung der im Personalausweisregister gespeicherten Daten beschrieben. Ein weiteres Beispiel für den Umgang mit Zugriffsrechten bietet der Leitfaden ASTM E (2010) Standard Guide for Confidentiality, Privacy, Access, and Data Security Principles for Health Information Including Electronic Health Records Significance and Use. Das Handbuch adressiert die Wahrung der Vertraulichkeit von persönlichen Daten im Gesundheitswesen und behandelt konkret die Erteilung und den Fortbestand von Zugriffsrechten für Gesundheitsinformationen. Dabei adressiert es sämtliche Methoden der Sammlung und Nutzung von Daten: auf Papier geschriebene, gedruckte, diktierte, transkribierte, formularbasierte, fotokopierte, eingescannte oder per Fax oder Telefax übermittelte Daten sowie magnetische Medien, Bild-, Video- und Film-Daten, Mikrofilm, Animationen, 3D-Daten, Audio, digitale Medien, optische Medien, synthetischen Medien oder Computer-basierte Medien. Ein Datenzugriff im Kontext der öffentlichen Sicherheit ist in dem Leitfaden von untergeordneter Bedeutung. 130

131 Privacy-schutzkonforme Datenübertragung Wichtige Grundlagen zur privacy-schutzkonformen Datenübertragung werden durch den ISO/TR sowie durch den BASI/TR VR3 des Bundesamts für Sicherheit in der Informationstechnik geschaffen. Im ISO/TR Health informatics - Trusted end-to-end information flows wird ein Informationsflussmodell dargestellt, welches vom Front End bis zu Drittparteien reicht. Darin sind u.a. die Aspekte Privacy/confidentiality, Data integrity und Authentication integriert. Im BASI/TR VR3, TR PDÜ hd Technische Richtlinie zur Produktionsdatenerfassung, -qualitätsprüfung und -übermittlung für hoheitliche Dokumente (TR PDÜ hd); Version werden Sicherheitsaspekte in Kap. 3 thematisiert. Anforderungen an die Datenübermittlung werden dabei wie folgt definiert: Bei der Übertragung von Antrags- und Bestelldaten für hoheitliche Dokumente werden vertrauliche und schutzbedürftige Daten zwischen den beteiligten Rollen ausgetauscht. Es muss durch technische Verfahren sichergestellt werden, dass die nachfolgenden Sicherheitsanforderungen bei der Verarbeitung und Übertragung der Antrags- und Bestelldaten erfüllt werden: Vertraulichkeit, Verfügbarkeit und Integrität. Die Sicherheitsanforderungen gelten dabei für alle Datenübertragungen zwischen den beteiligten Rollen. Im weiteren Wortlaut wird auf ergänzende, hier relevante Regelwerke verwiesen: Beschreibung der Sicherheitsanforderungen sowie Verfahren und Maßnahmen zu ihrer Realisierung: Dokumente des BSI zum IT-Grundschutz [BSI_GS] Technische Details, Vorgaben und Maßnahmen zur Erreichung der Sicherheitsanforderungen: Technische Richtlinie XML-Datenaustauschformat für hoheitliche Dokumente (TR XhD), TR-03123, BSI Zulässige Kommunikationsszenarien zur Übertragung der Daten zwischen Behörden und Dokumentenproduzenten: Technische Richtlinie Sichere Szenarien für Kommunikationsprozesse im Bereich hoheitlicher Dokumente, TR-03132, BSI. Zusätzliche Anhaltspunkte für die Datenübertragung gibt die BASI/TR Technische Richtlinie für ecard-projekte der Bundesregierung; Version Im Mittelpunkt steht dabei die Anwendung kryptographischer Verfahren. Der BASI/TR ecard-projekte der Bundesregierung - Teil 2: Hoheitliche Ausweisdokumente enthält darüber hinaus zwei detaillierte Kapitel zu Public-Key-Infrastrukturen sowie zur Zugriffskontrolle und sicheren Kommunikation. Weitere Anhaltspunkte zur normativen Gewährleistung einer sicheren Übertragung von Daten bieten die in Kap 6 genannten Regularien aus verwandten Bereichen. Dabei handelte es sich um: Das Gesetz über Personalausweise und den elektronischen Identitätsnachweis sowie zur Änderung weiterer Vorschriften, 131

132 Die Verordnung über Personalausweise und den elektronischen Identitätsnachweis (PAuswV) Die Verordnung zur Durchführung von regelmäßigen Datenübermittlungen zwischen Meldebehörden verschiedener Länder (1. BMeldDÜV), sowie die Die Verordnung zur Erfassung und Qualitätssicherung des Lichtbildes und der Fingerabdrücke in den Passbehörden und der Übermittlung der Passantragsdaten an den Passhersteller (PassDEÜV). Im folgenden Teilkapitel werden normative Grundlagen für ein privacy-schutzkonformes Datenlebenszyklusmanagement vertieft Privacy-schutzkonformes Datenlebenszyklusmanagement Ein privacy-konformes Datenlebenszyklusmanagement umfasst neben dem phasenübergreifenden Lebenszyklusmanagement (Datenlebenszyklusmanagement im engeren Sinne) ein geeignetes Management der einzelnen Lebenszyklusphasen, insbesondere der Datenspeicherung, der Archivierung und der Löschung. Für das Lebenszyklusmanagement im engeren Sinne steht als Beispiel eine Norm aus einem Spezialbereich der zivilen Sicherheit zur Verfügung. Die ISO/IEC Information technology - Security techniques - Biometric information protection fokussiert u.a. Anforderungen und Guidelines zum sicheren und privacy-konformen Management biometrischer Informationen. Konkret bietet die Norm dabei Anhaltspunkte zum Privacy-Schutz von Individuen bei der Verarbeitung biometrischer Informationen. Detailliert werden u.a. das Thema biometrisches Informations-Privacy-Management sowie das Lebenszyklusmanagement derartiger Informationen erörtert. Des Weiteren wird eine Liste mit Sicherheitsbedrohungen in biometrischen Systemen und relevanten Gegenmaßnahmen geboten. In Bezug auf die Speicherung, Archivierung und Löschung werden im Folgenden drei Dokumente vorgestellt. Der auf die Datenspeicherung ausgerichtete Report ISO/TR Document management - Information stored electronically - Recommendations for trustworthiness and reliability enthält dabei u.a. eine Beschreibung eines Trusted Systems sowie ein Kapitel zu Authenticated output procedures. Die Spezifikation ISO/TS Health informatics. Security requirements for archiving of electronic health records. Principles beinhaltet u.a. grundlegende Prinzipien des Privacy- Schutzes, z.b. Grundsätze zum Datenschutz gegenüber unautorisierten Personen oder Rechnern sowie zur Verhinderung der Individualisierung relevanter Daten. Des Weiteren bietet die Spezifikation eine Anleitung für eine Security- und Privacy-Schutzarchitektur sowie 13 Integritäts- und 17 Vertraulichkeitsanforderungen. Im Anhang werden grundlegende Anforderungen an den Security- und Privacy-Schutz für den gesamten Datenlebenszyklus definiert, darunter z.b. die vier Grundsätze laut CWA und Darst. 42. In der DIN EN Sichere Vernichtung von vertraulichen Unterlagen - Verfahrensregeln; Deutsche Fassung EN 15713:2009 werden entsprechend Darst. 47 vertrauliche Unterlagen kategorisiert. Je nach Vertraulichkeitsgrad der Dokumente können auf dieser Grundlage ge- 132

133 zielte Datenvernichtungsmaßnahmen durchgeführt werden. Betrachtet wird dabei u.a. die Vernichtung von ID-Karten, Kreditkarten und Videos. Kategorie A B C D E F G H Beschreibung Papier, Pläne, Dokumente und Zeichnungen SIM-Karten und Negative Video-/Tonbänder, Disketten, Kassetten und Filme Computer einschließlich Festplatte, eingebetteter Software, Chipkartenleser, Komponenten und anderer Hardware ID-Karten, CDs und DVDs Gefälschte Waren, Druckplatten, Mikrofiche, Kredit- und Kundenkarten und andere Produkte Firmen- oder Markenkleidung und Uniformen Medizinische Röntgen- und Overheadprojektor-Platten Quelle: DIN EN Darst. 47: Kategorien vertraulicher Unterlagen Die Norm enthält je ein Kapitel zur Sammlung und Aufbewahrung von vertraulichen Unterlagen. Für sicherheitstechnologische Fragestellungen kann sie Anhaltspunkte für Erweiterungen und Anpassungen bieten Normative Ausnahmen in der Anwendung von Privacy- und Datenschutzprinzipien Normative Ausnahmen bei der Anwendung von Privacy- und Datenschutzprinzipien werden in der ISO/IEC :2012 Information technology -- Business Operational View -- Part 8: Identification of privacy protection requirements as external constraints on business transactions erörtert. In Kapitel 5.2 heißt es dabei: Rechtliche Anforderungen des Schutzes der Privatsphäre können hinsichtlich ihrer Anwendung Ausnahmen enthalten. Die häufigsten Ausnahmen betreffen die nationale Souveränität und Sicherheit, die Strafverfolgung, die öffentliche Sicherheit und die Gesundheit. Ausnahmen dieser Art erfordern oft den Zugang zu persönlichen Informationen über ein bestimmtes Individuum und die Rückverfolgung (Tracing) anderer persönlicher Informationen des Individuums (z.b. durch Zugriff auf persönliche Daten durch bestimmte andere Personen als diejenigen, die Partner eine Geschäftsverbindung sind, d.h., qualifizierte und spezialisierte öffentliche Akteure auf Grundlage vordefinierter Kriterien). Regel 001: Wo Ausnahmen von der Anwendung des Schutzes der Privatsphäre Grundsätze existieren, sollen sie begrenzt und proportional zur Erreichung der Ziele sein, für die diese Ausnahmen bestehen, und in der Öffentlichkeit bekanntgemacht oder in Übereinstimmung mit dem Gesetz stehen. 133

134 Dabei wird der Hinweis gegeben, dass das Thema Traceability von der sich in Entwicklung befindenden ISO/IEC aufgegriffen wird. In einer Fußnote wird ferner auf das APEC Privacy Framework, Clause 13, mit der Aussage verwiesen, dass Länder, welche das Framework implementieren, geeignete Ausnahmen formulieren können, die ihre speziellen Umstände aufgreifen. Im Kontext des Sicherheitsforschungsprogramms hat die Regel 001 besondere Bedeutung. Durch die öffentliche Bekanntmachung von Ausnahmefällen wird ein Normungsbedarf adressiert, der auch im Rahmen der Studie InfraNorm (2012) zum Ausdruck gebracht wurde Privacy- und Datenschutzaspekte in konkreten Technologiebereichen des Sicherheitsforschungsprogramms: Biometrie und RFIDs Beispielhaft werden in diesem Teilkapitel Regelungen für privacy- und Datenschutzaspekte in zwei Bereichen der Sicherheitsforschung vorgestellt. Ähnlich der Norm ISO/IEC (vgl. Kap ) werden dabei im Technischen Report ISO/IEC TR entsprechend Darst. 48 Privacy-Leitlinien im Kontext biometrischer Technologien definiert: Transparenz Beschränkung der Zweckbestimmung (Zweck vor Implementierung präzise definieren) Einhaltung von Leistungskriterien (korrekte Funktionalität und Stabilität des Systems) Sichere Überprüfung (Möglichkeit eines Audits!) Einverständnis (Wissen und Einverständnis der betroffenen Personen) Eingrenzung der Daten sammlung (auf ein Minimum reduzieren) Zugangsrechte der betreffenden Personen (zur Verifizierung der biometrischen Daten) Datenaustausch zwischen Zuständigkeiten (übertragene Daten sollten nach wie vor ausreichend geschützt sein) Maßgebliche automatisierte Entscheidungen (Information über automatisierte Entscheidungen, im Falle einer Entscheidung Anforderung des Eingriffs einer Person) Präferenz für explizites Einverständnis (entsprechende Prozeduren statt spätere Austrittsmöglichkeit) Begrenzung der Speicherungsfrist (auf ein Minimum reduzieren) Schutz der Daten (gegen unautorisierten Zugriff & unrechtmäßige Verarbeitung) Verantwortlichkeiten (Eine Person innerhalb der Organisation sollte für die Einhaltung dieser Richtlinien verantwortlich sein.) Richtigkeit von biometrischen Daten Quelle: in Anlehnung an ISO/IEC TR Darst. 48: Privacy- und datenschutzbezogene Aspekte im Bereich Biometrie Weitere hier relevante Normen im Bereich Biometrie umfassen ISO/IEC , ISO/IEC , ISO/IEC 19792, ISO/IEC sowie ISO/IEC Der Report ETSI TR Radio Frequency Identification (RFID) - Coordinated ESO response to Phase 1 of EU Mandate M436 (ETSI, 2011) beleuchtet Privacy- und Datenschutzrisiken mit einem konkreten Fokus auf Radio Frequency Identification (RFID)- Technologien und -systeme. In seinem Kap. C.2.1 werden konkrete privacy- und datenschutzbezogene Bedrohungen umschrieben (vgl. Kap. 6 dieses Buches). Mögliche Sicherheitsrisiken betreffen dabei herstellbare Verknüpfungen von personenbezogenen Daten und 134

135 Informationen der RFID-Tags, ein Fehlverhalten bei der Datenerhebung sowie Risiken möglicher Missbräuche. Viele der identifizierten Risiken sind dabei gleichermaßen für andere Tracking-Szenarien, z.b. in den Bereichen CCTV, Kfz-Kennzeichen- und Gesichtserkennung sowie Handy-Ortung, relevant (vgl. ETSI, 2011). Zur Reduktion derartiger Risiken werden im dem Report drei Maßnahmen empfohlen: Privacy-by-Design-Normen und -Standards, welche die Systemsicherheit erhöhen RFID-Management-Normen und -Standards Privacy-Risk-Analysen und Implementierung geeigneter Schutzmaßnahmen. Konkrete Datenschutz- und Privacy-Ziele im RFID-Bereich werden ausführlich in Tabelle 5 des Reports beschrieben. Als Anforderung an den Datenschutz wird in Anlehnung an die europäische Datenschutzrichtlinie Richtlinie 95/46/EG u.a. Consent (Einverständnis) genannt. Daher gelten auch hier die dort beschriebenen Ausnahmen in Bezug auf die zivile Sicherheit (vgl. z.b. CWA 16113). Neben den Datenschutzanforderungen enthält das Werk Kapitel zu den Themen RFID systems and privacy, Principles for handling personal data in RFID systems sowie Role of Privacy Enhancing Technologies (PETs). Weitere RFIDbezogene Privacy-Aspekte und Schutzmaßnahmen werden in der BASI TR Einsatzgebiet eticketing im öffentlichen Personenverkehr erörtert, vgl. Kap Privacy- und Datenschutzaspekte in konkreten Szenarien des Sicherheitsforschungsprogramms Privacy- und Datenschutzaspekte im Kontext der öffentlichen Sicherheit werden insbesondere im CWA Personal Data Protection Good Practices beschrieben. Kap. 4 geht dabei auf Zustimmungs- sowie Datenzugangsrechte in Bezug auf die eigene Person ein. Die Rechte beziehen sich auf alle Arten von Daten, z.b. schriftliche Informationen, Fotos und Videoaufnahmen. Hinsichtlich der Gewährleistung der öffentlichen Sicherheit werden dabei Ausnahmen beschrieben: Are there any exceptions to the right of access? Yes. [ ] The Directive [gemeint ist die Richtlinie 95/46/EG] set out a small number of circumstances in which their right to see personal records can be limited. This is necessary in order to strike a balance between the rights of the individual and some important needs of civil society, on the other hand. For example, a criminal suspect does not have a right to see the information held about them where that would impede a criminal investigation. [ ]. Das sechste Kapitel, welches Good Practices beim Handling von Information mit personenbezogener Identifizierbarkeit erörtert, beschreibt dabei Gründe, die eine Verarbeitung personenbezogener Daten rechtfertigen, vgl. Darst. 49: Für die Gewährleistung der öffentlichen Sicherheit ist insbesondere die Verarbeitung zur Erfüllung einer Aufgabe im öffentlichen Interesse relevant. 135

136 Notwendigkeit zur Erfüllung einer legalen Verpflichtung Notwendigkeit, um eine Aufgabe im öffentlichen Interesse zu erfüllen Notwendigkeit zur Erfüllung eines Vertrags Berechtigtes Interesse und die Datenverarbeitung hat nur minimalen Einfluss auf die Privatsphäre der Person Notwendigkeit, um das Leben der Person zu schützen Die Person gibt ihre Zustimmung Quelle: in Anlehnung an CWA Darst. 49: Grundlagen zur Verarbeitung personenbezogener Daten Die ISO Sicherheit und Schutz des Gemeinwesens - Format für die Interfunktionsfähigkeit bei der Videoüberwachung enthält neben dem Kapitel 5.3 Data security and integrity ein kurzes Kapitel Provision for privacy mit Hinweisen. Ein normkonformes Verhalten beinhaltet dabei: ein Monitoring des Zugriffs auf die Daten, eine verpflichtende Zeiterfassung, um ein geeignetes Löschen der Daten nach Ablauf einer relevanten Zeitspanne zu veranlassen, einen minimalen Einsatz von Verdeckungstechniken ein Training der Mitarbeiter im Umgang mit sensiblen Daten. Des Weiteren enthält das Dokument die Anmerkung, dass so schnell wie mögliche Privacy- Spezifikationen wie sie vom Gremium ISO/IEC JTC1/SC 27 entwickelt wurden, zu implementieren sind. Bei der Entwicklung neuer Normen oder Standards ist zu berücksichtigen, dass der Umgang mit personenbezogenen Daten in neuen Technologiebereichen in Europa derzeit nicht immer einheitlich ist 35. Im ISO TR Intelligent transport systems -- System architecture -- Privacy aspects in ITS standards and systems wird beispielsweise auf länderspezifische Unterschiede im Kontext intelligenter Transportsysteme verwiesen. In Österreich haben Autobahnnutzer zum Beispiel das Recht, sich frei von einem öffentlichen Monitoring in öffentlichen Infrastrukturnetzwerken zu bewegen. Eine Überwachung unter Nutzung einer Zufallsauswahl personenbezogener Daten kann jedoch aus Sicherheitsgründen erfolgen, so lange keine Speicherung der Daten erfolgt. In Bezug auf digitale Kfz-Kennzeichen-Nummern stellt der ISO TR dar, dass Privacy- Aspekte berücksichtigt und in Produktspezifikationen beschrieben werden müssen. Die konkreten Anforderungen sowie entsprechende Haftungsaspekte im Falle von Verletzungen geschuldeter Sorgfalt sollten dabei zwischen Lieferanten und Systembetreibern in schriftlichen Verträgen spezifiziert werden. Für den Schutz von Bahn- und Luftverkehrsinfrastrukturen haben vorrangig Gesetze Relevanz (vgl. z.b. BPolG 27 (Satz 2 i.v.m. 23 Abs. 1 Nr. 4)). 35 In Kap. 6 wurde über die Entwicklung einer einheitlichen europäischen Datenschutz-Grundverordnung berichtet, deren Inkrafttreten jedoch, wie beschrieben, nicht vor 2015 erwartet wird. 136

137 Für die Videoüberwachung auf Bahnhöfen gilt dabei beispielsweise: die Bundespolizei ist laut Bundespolizeigesetz befugt, Bildaufnahme- und Bildaufzeichnungsgeräte einzusetzen, um Gefahren für Infrastrukturen der Bahn und der sich dort befindlichen Personen zu erkennen. Dabei nutzt sie aufgrund eines bilateralen Nutzungsvertrags Videotechnik der Deutschen Bahn AG. Die mit den Aufnahmen erfassten Bahnhofsbereiche umfassen u.a. die Bahnhofshallen sowie die Zu- und Abgänge zu den Bahnsteigen. Der Einsatz der Bildaufnahme- und Bildaufzeichnungsgeräte muss gem. 27 Satz 2 BPolG erkennbar sein. Jeder muss auf einfache Weise erkennen können, dass er sich im Einzugsbereich hoheitlich betriebener Videoüberwachung befindet. Entsprechend 27 BPolG sind die personenbezogenen Aufzeichnungen spätestens nach 30 Tagen zu vernichten, soweit sie nicht zur Abwehr einer gegenwärtigen Gefahr oder zur Verfolgung einer Straftat oder Ordnungswidrigkeit benötigt werden. Ergänzende Sicherheitsthemen sind landesrechtlich geregelt. Ein Beispiel bietet das Hessische Gesetz über die öffentliche Sicherheit und Ordnung HSOG, 14 Datenerhebung und sonstige Datenverarbeitung an öffentlichen Orten und besonders gefährdeten öffentlichen Einrichtungen, insbesondere mittels der Absätze 3, 4 und 6. Der Einsatz der Videotechnik bedarf einer differenzierten Betrachtungsweise je nach Grad der Gefährdung der zu überwachenden Bereiche. Da dabei eine Vielzahl von Personen beobachtet wird, muss der aus der Videoüberwachung resultierende Nutzen in einem angemessenen Verhältnis stehen (vgl. BFDI, 2013) Datensicherheitsaspekte in konkreten Szenarien der öffentlichen Sicherheit Durch die IEC Reihe wird im Hinblick auf Energieinfrastrukturen ein spezielles Beispiel für eine Norm zum Schutz einer kritischen Infrastruktur geboten. Relevant erscheinen hier insbesondere: die IEC/TS Power systems management and associated information exchange - Data and communications security - Part 1: Communication network and system security - Introduction to security issues und die IEC/TS Power systems management and associated information exchange - Data and communications security - Part 8: Role-based access control. In der IEC/TS wird u.a. die End-zu-End-Relevanz von Security-Maßnahmen betont, wobei fünf Anforderungen definiert werden: authentifizierter Zugriff auf sensible Systembestandteile, autorisierter Zugriff auf vertrauliche Marktdaten, zuverlässige und rechtzeitige Informationen über die Funktionstüchtigkeit der Geräte und Misserfolge, Sicherung von kritischen Systemen sowie Audit-Funktionen, die den Nachweis und die Rekonstruktion kritischer Ereignisse ermöglichen. 137

138 Der sichere Zugang zu den Applikationen erfordert entsprechend der Spezifikation IEC/TS : eine Authentifizierung des Nutzers, die Bestimmung des Niveaus, auf dem der Nutzer die Applikation nutzen kann sowie eine separate Authentifizierung an jeder einzelnen Applikation. Für Fälle, in denen diese Anwendungen in ein Netzwerk integriert sind, beschreibt die Spezifikation die Möglichkeit, eine Datenbank als vertrauenswürdige Quelle von Nutzergruppenund Rollenzugehörigkeiten zu verwenden, um die Zugriffe zentral zu steuern. Bei jeder Anwendung kann auf dieser Grundlage eine Prüfung der individuellen Rechte und Rollen erfolgen und ein entsprechendes Autorisierungsniveau bestimmt werden. Zusammengefasst werden in den beiden Spezifikationen sowohl Forderungen zum authentifizierten Zugriff auf kritische Daten als auch Zugriffsniveaus für unterschiedliche Applikationen definiert. Dabei wird auch festgelegt, wie die individuellen Zugriffsrechte in den Systemen zu verwalten sind. Darüber hinaus thematisiert der Report BASI TR : Einsatzgebiet eticketing im öffentlichen Personenverkehr beispielhaft Schutzziele für Verkehrsinfrastrukturen. In dem Report werden sowohl die Informationssicherheit als auch der Schutz der Privatsphäre thematisiert. Er enthält Tabellen zu den Sicherheitszielen unterschiedlicher Stakeholder des Personenverkehrs. Ein Teilkapitel ist der Bildung von Schutzbedarfsklassen gewidmet. In späteren Tabellen werden spezielle Maßnahmen zum Schutz der Gesamtsysteme dargestellt. Darin wird u.a. die Sicherung der Vertraulichkeit der Kommunikation, die Sicherung der Vertraulichkeit von Daten, die vertrauliche Speicherung von Daten sowie die Sicherung der Datenintegrität bei der Datenübertragung und -speicherung betrachtet Aktuelle Maßnahmen Eine wichtige Rolle bei der Erarbeitung aktueller Privacy-Normen und -Standards spielt die Arbeitsgruppe ISO/IEC JTC 1/SC 27/ WG 5 Identity Management & Privacy Technologies. Sie kooperiert mit zahlreichen Organisationen und Komitees mit speziellen Privacy- Anforderungen. Dabei handelt es sich z.b. um ISO/IEC-Komitees in den Bereichen Biometrie und Zugangskontrolle. Derzeit befinden sich mehrere Projekte der ISO/IEC JTC 1/SC 27/WG 5 auf den Gebieten Privacy Impact Assessment und Privacy Information Management Systems in der Study Period. Im Bereich Privacy Architecture werden ebenfalls einige Projekte durchgeführt, die sich u.a. auf die Themen Privacy Policies und Privacy Enhancing Technologies und Services beziehen. Konkrete Themen sind dabei beispielsweise Anonymisierungsprotokolle. Die Aktivitäten des Gremiums betreffen neben den beispielhaft bereits erwähnten, verabschiedeten Normen ISO/IEC Information technology - Security techniques - Privacy framework ISO/IEC ~ - Entity authentication assurance framework die derzeitigen, z.t. zeitgleich zur Vollendung dieses Handbuch begonnenen Projekte: 138

139 ISO/IEC (WD) Identity Proofing ISO/IEC (DIS) Information technology - Security techniques Privacy architecture framework ISO/IEC (CD) ( ) Privacy Capability Assessment Model ISO/IEC (WD) ( ) Privacy impact assessment methodology ISO/IEC (WD) ( ) Code of practice for the protection of personally identifiable information ISO/IEC (IS) ( ) Requirements on partially anonymous, partially unlinkable authentication Die Arbeiten sind auf geeignete Weise in eigenen Normungs- bzw. Standardisierungsaktivitäten zu berücksichtigen. Beachtenswert für Projekte des Sicherheitsforschungsprogramms erscheinen auch die Aktivitäten auf dem Gebiet Privacy Evaluation: Survey Inspection and Audit. Arbeiten der benachbarten WG 4 Security Controls and Services könnten ebenfalls bedeutsam sein. Auf die Arbeitsgruppe geht z.b. die ISO/IEC CD Information technology -- Security techniques -- Storage security zurück. Bei der Erarbeitung des Reports ETSI TR Radio Frequency Identification (RFID) - Coordinated ESO response to Phase 1 of EU Mandate M436 wurde für die Thematik Privacy im Kontext von RFID eine Gap-Analyse durchgeführt, die insbesondere auf drei Gebieten einen Normungs- und Standardisierungsbedarf aufzeigte: aktuelle Technologien, die Best Practices für Privacy-by-Design darstellen RFID-Privacy-Impact-Assessment-Standards und Konformitätszusicherungsmaßnahmen und Regelungen, auf welche Weise die Öffentlichkeit zu informieren ist. Verwiesen wird dabei auf begonnene Arbeiten der ISO (ISO/IEC JTC1/SC31) zur Entwicklung eines globalen Sicherungssystems für Daten, die von RFID-Tags übertragen werden. Es wird davon ausgegangen, dass europäische Normungsorganisationen eine Übertragung in den europäischen Kontext vornehmen werden. Der ETSI TR enthält einen Gantt-Chart, der spezifiziert, auf welche Weise Privacy- Lücken auf Grundlage des Mandates M/436 aufgegriffen werden. Darin werden 34 Projekte dargestellt, die bis Ende des Jahres 2013 abgeschlossen werden sollen. Aspekte in den Bereichen Privacy by Design, Privacy Impact sowie Privacy Enhancing Technologies werden in den folgenden Kapiteln beschrieben Privacy Impact-Analysen und ihre Relevanz im Normungskontext Das Konzept des Privacy Impact Assessments (PIA) wurde 1996 von Roger Clarke als Teil eines Technology Impact Assessments eingeführt. PIAs können verwendet werden, um das Potenzial der Privacy-Auswirkungen neuer Technologien auf die Gesellschaft anhand von Privacy- oder Datenschutzprinzipien zu beurteilen. In Anlehnung an ECIS (2011) wird ein Privacy Impact Assessment definiert als 139

140 Prozess, bei dem eine bewusste und systematische Bewertung der Auswirkungen einer konkreten [Anwendung] auf die Privatsphäre und den Datenschutz vorgenommen wird, um geeignete Maßnahmen zur Vermeidung oder zumindest zu Minimierung dieser Auswirkungen zu treffen. Als Ergebnis der Analysen werden potenzielle Risiken für die Privatsphäre sichtbar. Auf dieser Grundlage können Gegenmaßnahmen, z.b. durch Einsatz von Privacy Enhancing Technologies (PETs), erarbeitet werden, vgl. PRISE (2008b). Die Europäische Kommission, die Europäischen Datenschutzbeauftragten und die Artikel 29- Datenschutzgruppe empfehlen, PIAs in der Planungsphase jedes Projekts, in welchem personenbezogene Daten verarbeitet werden, durchzuführen und mit Privacy-by-Design- Prinzipen zu verbinden (vgl. ETSI TR sowie zu Privacy by Design Kap. 7). Das CWA Personal Data Protection Good Practices fordert in Kap. 5.5 ebenfalls zur Durchführung von Privacy Impact Assessments (PIAs) auf. Ihnen wird dabei die Aufgabe zugeschrieben, PETs and OPMs (Operational Protective Measures) zu testen und die Erfüllung der Datenschutzprinzipien durch das System aufzuzeigen. PIAs münden in einen Report, der folgende Themen adressieren sollte: Potentielle privacy-bezogene Einflüsse des betrachteten Systems Inhalte aller früheren PIAs oder anderweitiger formeller Datenschutzbewertungen in Bezug auf den Betrachtungskontext Art und Weise des Einsatzes des bestehenden Personals für neue Zwecke Schutzmaßnahmen bei der gemeinsamen Nutzung von Informationen und Personendaten Art und Weise der Zustimmung und des Zugangs zu gespeicherten Daten in Bezug auf die eigene Person Aspekte, die persönliche Informationen beschreiben, und durch Datenabgleiche mit personenbezogenen Informationen zu Profilen führen können Grenzüberschreitende Informationsflüsse und Informationsaustausch außerhalb der Unternehmensgrenzen Art der Informationsnutzung sowie Abläufe zur Sicherstellung der Datenkorrektheit Notfallplanung für einen zufälligen Verlust, eine Zerstörung oder eine unbefugte Nutzung von Daten Lebenszyklusmanagement bezüglich der Sammlung, Wartung und Nutzung personenbezogener Daten Art der Protokollierung und Zugangsrechte Beschreibung der Inhalte genutzter Multi-Faktor-Authentifizierungssysteme (z.b. PIN-Nummern, Smart Cards oder Biometrie) Beschreibung genutzter PETs und operativer Schutzmaßnahmen Ergebnisse formaler Vulnerability-Assessment-Prüfungen durch unabhängige technische Parteien zur Überprüfung der Sicherheitszertifizierung und Akkreditierung Zusammenfassung des gesamten Datenschutzes und der Privacy-Compliance des Systems (vgl. CWA 16113). 140

141 Wie in Kap dargestellt, befinden sich derzeit mehrere Normen zu Privacy-Impact- Analysen in der Erarbeitung. Ihre Inhalte können daher noch nicht wiedergegeben werden. Mit der ISO Finanzdienstleistungen - Auswirkungsanalyse Datenschutz (Privacy Impact Assessment) wurde ein Good-Practice-Beispiel aus dem Bereich Finanzdienstleistungen dargestellt. Für andere Bereiche wurde von ICO eine technologie- und systemübergreifende Checkliste mit elf Fragen erarbeitet (vgl. ICO, 2010). Sie weist inhaltlich große Gemeinsamkeiten mit der ISO auf und könnte daher Grundlagen für eine mögliche Norm bieten. Die Fragen werden entsprechend Darst. 50 fünf Themenbereichen zugeordnet. Werden die relevanten Fragen bejaht, sind weiterführende Maßnahmen erforderlich, die in ICO (2010) erörtert werden. Es wird deutlich, dass die Fragen vielfältige Verbindungspunkte zu Projektinhalten des Sicherheitsforschungsprogramms aufweisen. In Bezug auf Frage 10 heißt es dabei sinngemäß: Maßnahmen, die kritische Infrastrukturen und den physischen Schutz der Bevölkerung adressieren, sind i.d.r. durch substanzielle Privacy-Einflüsse gekennzeichnet (übersetzt in Anlehnung an ICO, 2010). Normungs- und Standardisierungsprojekte, die auf diesbezüglichen Projekten im Sicherheitsforschungsprogramm aufbauen, implizieren daher einen besonderen Bedarf zur Vertiefung von Privacy-Aspekten. Bestimmte Technologien und Anwendungen erfordern spezifisch definierte PIAs. Zunehmend werden daher modifizierte Methoden entwickelt, z.b. in den Bereichen RFID und Biometrie. Für RFIDs hat das BSI (Bundesamt für Sicherheit in der Informationstechnik) ein derartiges Designprinzip definiert (vgl. BSI, 2010). Als Grundlage der Analysen wird dabei eine Vier- Ebenen-Klassifikation von RFIDs in Abhängigkeit von drei Fragen vorgeschlagen: Enthalten die RFID-Tags persönliche Daten? Verlinkt die RFID-Applikation persönliche Daten? Sind Tags für einen persönlichen Besitz bestimmt? Werden alle Fragen verneint, befindet sich das System auf Privacy-Impact-Niveau 0. Werden alle Fragen bejaht, wird das System dem Niveau 3 zugordnet und macht besondere Schutzmaßnahmen erforderlich. Des Weiteren gibt es zwei Zwischenstufen. Die Guidelines definieren u.a. wichtige Rahmenbedingungen für das Regelwerk TR Technische Richtlinie für den sicheren RFID-Einsatz / TR : Einsatzgebiet eticketing im öffentlichen Personenverkehr. 141

142 Analysebereich Fragestellungen Technologie Identität Zusammenarbeit mehrerer Organisationen 1. Verwendet das Projekt 2. Nutzt das Projekt 4. Umfasst das Projekt neue oder zusätzli- neue Kennungen, eine mehrere Organisationen che (Informations-) Wiederverwendung (sowohl staatliche Einrichtungen Technologien, die ein bestehender Kennungen, als auch Organi- erhebliches Risiko für eine intrusive Idensationen des privaten Eingriffe auf die Privatsphäre tifizierung, Authentifizie- Sektors)? darstellen? rungen oder Identitytifizierung, Management-Prozesse? 3. Könnte es den Effekt haben, Anonymität und Pseudonymität zu verweigern oder Transaktionen, die bisher anonym oder unter einem Pseudonym durchgeführt werden konnten, in Transaktionen mit zwingender Identifikation umzuwandeln? Daten 5. Impliziert das Projekt einen neuen oder wesentlich veränderten Umgang mit personenbezogenen Daten, die von besonderem Interesse für die betreffenden Einzelpersonen sein könnten? 6. Ist in das Projekt ein neuer oder wesentlich veränderter Umgang mit einer erheblichen Menge an persönlichen Daten über alle Einzelpersonen einer Datenbank eingebunden? 7. Impliziert das Projekt einen neuen oder wesentlich veränderten Umgang mit personenbezogenen Daten über eine große Zahl von Einzelpersonen? 8. Beinhaltet es neue oder wesentlich veränderte Fusionen, Verknüpfungen, Kreuzreferenzierungen oder ein Matching persönlicher Daten aus mehreren Quellen? Besondere Situationen 9. Nutzt das Projekt in der Datenverarbeitung Prozesse, die frei von gesetzlichen Schutzbestimmungen der Privatsphäre sind? 10. Enthält das Projekt wichtige Beiträge für die öffentliche Sicherheit? 11. Beinhaltet es die systematische Weitergabe von persönlichen Daten an Dritte oder bietet es Dritten Zugriff auf die Daten, wobei die Dritten nicht unter vergleichbaren Regelungen bezüglich des Datenschutzes stehen? Quelle: in Anlehnung an ICO (2010) Darst. 50: Technologie- und systemübergreifende PIA-Checkliste

143 Im Technischen Report ETSI TR Radio Frequency Identification (RFID) - Coordinated ESO response to Phase 1 of EU Mandate M436 (ETSI, 2011) wird die Bedeutung von PIAs im RFID-Kontext unterstrichen. Sie sollten dem Report folgend ein integraler Designbestandteil der Systeme werden und auch bei etwaigen Änderungen der Systeme oder ihrer Umgebungen angewendet werden. Zukunftsweisend wird es als wichtig erachtet, dabei auch Privacy-Herausforderungen durch neue Technologiekombinationen zu berücksichtigen, z.b. durch Kombinationen von RFID, Data Mining und Profiling sowie durch Smart-Technologies und Anwendungen im Bereich Technologiekonvergenz. Im letztgenannten Fall sind z.b. Kombinationen von RFID und GPS oder Sensorik denkbar. Im Anhang des Dokuments befinden sich drei Überblickstabellen zu Datenschutz- und Privacy-Anforderungen sowie zu aktuellen Privacy-Problemen Privacy by Design und seine Relevanz im Normungskontext Privacy by Design (PbD) ist ein Konzept, das in den 90er Jahren durch Cavoukian entwickelt wurde. Es stützt sich auf die Auffassung, dass Privacy- und Datenschutz nicht allein durch die Einhaltung von Rechtsvorschriften gewährleistet werden kann. Es bezieht sich sowohl auf IT-Systeme als auch auf verantwortungsvolle Geschäftspraktiken, physikalische Designs und vernetzte Infrastrukturen. Internationale Datenschutz- und Privacy-Beauftragte sehen PbD dabei als: a holistic concept that may be applied to operations throughout an organization, endto-end, including its information technology, business practices, processes, physical design and networked infrastructure (DP & PC, 2010). Das Konzept ist auf alle Arten personenbezogener Informationen anwendbar, sollte aber insbesondere für sensible Daten genutzt werden. Die Intensität der Maßnahmen muss dabei dem Vertraulichkeitsniveau der Daten gerecht werden. PbD bezweckt eine Privacy-Sicherung unter Gewährleistung der persönlichen Kontrolle über eigene Daten bei einer gleichzeitigen Sicherstellung eines nachhaltigen Wettbewerbsvorteils für die betreffenden Organisationen (vgl. Covoukian, 2011b). Diese Ziele können entsprechend Covoukian (2011a,b) durch die Anwendung von sieben Grundprinzipien erreicht werden: 1. Proaktiver Schutz PbD ist von proaktiven Maßnahmen geprägt. 2. Privacy-Schutz als Standardeinstellung PbD soll den größtmöglichen Schutz der Privatsphäre gewähren, indem sichergestellt wird, dass personenbezogene Daten automatisch in jedem IT-System und bei allen Geschäftspraktiken geschützt werden. 3. Privacy-Schutz ist in das Design eingebettet PbD ist in das Design und die Architektur von IT-Systemen und Geschäftsprozessen eingebettet. Im Ergebnis ist der Schutz von Privacy-Rechten eine bedeutende Komponente der 143

144 Kernfunktionalität und ohne funktionelle Einschränkungen ein wesentlicher Bestandteil der betreffenden Systeme. 4. Volle Funktionalität eine Positivsumme PbD will allen berechtigten Interessen und Zielen von Anbietern und Nutzern entgegenkommen. Privacy-Schutz und Sicherheit sollen dabei als gemeinsam zu optimierende Ziele verstanden werden. 5. Durchgängige Sicherheit - Schutz während des gesamten Lebenszyklus Nachdem PbD vor der Ersterfassung der Information in das System eingebettet wurde, erstreckt sich dessen Wirkung auf den gesamten Lebenszyklus der Daten. Dadurch wird erreicht, dass alle Daten sicher gespeichert und am Ende des Prozesses sicher und rechtzeitig vernichtet werden. 6. Sichtbarkeit und Transparenz Für Offenheit sorgen PbD will allen Beteiligten die Sicherheit eines Systems geben, das unabhängig von den Geschäftspraktiken oder Technologien die angekündigten Maßnahmen und Ziele verfolgt und sich einer unabhängigen Prüfung unterwirft. Seine einzelnen Komponenten und Verfahren bleiben für Nutzer und Anbieter gleichermaßen sichtbar und transparent. 7. Die Wahrung der Privatsphäre der Nutzer PbD erfordert vor allem von den Architekten und Betreibern (von IT-Systemen), dass sie die Interessen der Einzelpersonen in den Mittelpunkt stellen, z.b. durch strenge privacysichernde Voreinstellungen und angemessene Benachrichtigungen. Quelle: Cavoukian (2011a), englische Version sowie Cavoukian (2011b): Übersetzung durch den Bundesbeauftragten für Datenschutz und Informationssicherheit 36 Die Bedeutung der Einhaltung von PbD-Prinzipien bei der Entwicklung von Sicherheitslösungen wurde im Proposal zur Europäischen Datenschutzgrundverordnung verankert (vgl. Europäische Kommission, 2012). Entsprechend ISO/IEC Information technology -- Security techniques -- Evaluation criteria for IT security fordert PbD die Adoption privacy-maximierender Praktiken im gesamten Design, in der Implementierung und im Betrieb, konkret: die gezielte Identifizierung von Datenlecks, die Adressierung des menschlichen Elements in der Systementwicklung, die Adressierung der Policies von Systemnutzern, Betreuern und Managern sowie die Betrachtung des Endes der Zurverfügungstellung von Daten (vgl. Cadzow, o.d.). Im CWA Personal Data Protection Good Practices wird PbD eng mit Privacy Impact Assessments verbunden. Bezüglich der Entwicklung von Systemen mit möglichen Privacy- Risiken wird dabei in Kap. 5.5 wie folgt zu PbD-Aktivitäten aufgefordert: 36 Im Unterschied zu der zitierten Quelle werden, wie in Kap. 6 beschrieben, Datenschutz und Privacy in diesem Werk nicht synonym verwendet. 144

145 Systems should be designed to avoid unnecessary privacy intrusion and with Privacyby-Design features implemented to reduce the possibility or the effects of a security incident. Bier et al. (2012) verdeutlichen eine eingeschränkte Umsetzbarkeit des PbD-Grundprinzips 4 (Volle Funktionalität eine Positivsumme). Die Autoren entwickelten inhaltliche Modifikationen und verwiesen auf geplante Arbeiten zur Weiterentwicklung der verbleibenden Prinzipien. Ziel ist dabei eine stärkere Ausrichtung an die Interessen von Entwicklern. In Kap. 7.5 werden Lösungen zur Umsetzung der Privacy-by-Design-Grundprinzipien vorgestellt. Von der vorgeschlagenen Modifikation des Prinzips 4 sind sie unbeeinflusst Privacy Enhancing Technologies und ihre Relevanz im Normungskontext In der Communication from the Commission to the European Parliament and the Council on Promoting Data Protection by Privacy Enhancing Technologies (PETs) (Europäische Kommission, 2007) wird die Forderung dokumentiert, die Verarbeitung personenbezogener Daten zu minimieren und wo möglich, anonymisierte und pseudonymisierte Daten zu nutzen. Privacy Enhancing Technologies stehen dabei für a coherent system of ICT measures that protects privacy by eliminating or reducing personal data or by preventing unnecessary and/or undesired processing of personal data, all without losing the functionality of the information system (vgl. Europäische Kommission, 2007). Eine weiter gefasste Definition geht auf ICO (2006) zurück: any technology that exists to protect or enhance an individual s privacy (ICO, 2006). Wie zuvor beschrieben, fordert das CWA Personal Data Protection Good Practices zur Durchführung von Privacy Impact Assessments (PIAs) einschließlich des Testens von PETs auf. Die Europäische Kommission (2007) unterscheidet verschiedene Arten dieser Technologien. Sie können u.a. in den Architekturen von Informationssystemen Anwendung finden. Ein Beispiel bieten Technologien zur automatischen Datenanonymisierung nach Ablauf einer gewissen Zeit. Sie unterstützen den Grundsatz, dass die verarbeiteten Daten in einer Form, die eine Identifizierung der betroffenen Personen ermöglicht, nicht länger als notwendig für die Zwecke, für die sie ursprünglich erhoben wurden, aufbewahrt werden sollten. Weitere Ausprägungen von PETs betreffen Verschlüsselungswerkzeuge, welche die Übertragung von Informationen über das Internet vor Hackern schützen. Sie unterstützen die Verpflichtung von Datenmanagern, geeignete Maßnahmen zum Schutz der persönlichen Daten vor einer unrechtmäßigen Verarbeitung einzusetzen (vgl. Europäische Kommission, 2007). 145

146 Im CWA zu den Themen Analysis of Privacy Protection Technologies, Privacy- Enhancing Technologies (PET), Privacy Management Systems (PMS) und Identity Management systems (IMS) wird der Bedarf für PETs insbesondere in Kap. 6 unterstrichen. Im ISO/IEC TR Information technology -- Biometrics -- Jurisdictional and societal considerations for commercial applications -- Part 1: General guidance werden sieben Regeln für Privacy Enhancing Technologies als bedeutend erachtet: Verwendung persönlicher Daten im geringstmöglichem Umfang Verschlüsselte Nutzung von persönlichen Daten So früh wie mögliche Vernichtung von Rohdaten Wann immer möglich Anonymisierung persönlicher Daten Weitgehender Verzicht auf zentrale Datenbanken Einrichtung von Möglichkeiten zur Kontrolle und Steuerung der eigenen persönlichen Daten Verwendung von Bewertungs- und Zertifizierungsinstrumenten um sicherzustellen, dass eine Anwendung einen gewissen Grad an Vertrauen bietet. Da das CWA bereits 2005 erstellt wurde, beziehen sich die dort betrachteten PETs v.a. auf die Datenverarbeitung. Für ihren Einsatz werden dabei laut Darst. 51 drei Phasen unterschieden: Datenerfassung Datenverarbeitung und -speicherung Datenverbreitung Datenverarbeitung Datenverarbeitung Quelle: eigene Darstellung in Anlehnung an CWA Darst. 51: Phasen der Datenverarbeitung In Phase 1, der Datenerfassung, ist die potentielle Wirksamkeit von PETs laut CWA am größten und wirkt sich positiv auf alle nachgelagerten Phasen aus. Die Quelle verweist auf die Existenz einer Fülle bewährter Technologien in diesem Bereich, wobei sie allerdings eine Nennung konkreter Lösungen vermeidet. Die zweite Phase wird dem CWA entsprechend mit Maßnahmen der Datenkombination, Klassifizierung, Speicherung, Archivierung und Vernichtung verbunden. Der Nutzen von PETs betrifft dabei v.a. die Verhinderung rechtswidriger Datenkombinationen. Verwendung finden z.b. Identitätsprotektoren und Lösungen zur Trennung von Datenflüssen. Zum Privacy-Schutz in der dritten Phase dienen z.b. Public Key-Infrastrukturen (PKI), Verschlüsselungen, Pseudoidentitäten und geeignet konzipierte Architekturen zur Datenflussminimierung. Ausgehend von den aufgezeigten unterschiedlichen Aufgaben und Arten von PETs werden in dem CWA vier Grundtypen von PETs unterschieden: a) Allgemeine PETs zur Kontrolle und Datenminimierung b) PETs zur Datenseparation c) PETs zur Anonymisierung sowie d) Policy-basierte Privacy-Managementsysteme. 146

147 Für Anwendungen von PETs zum Schutz der öffentlichen Sicherheit sind die einzelnen Typen in unterschiedlicher Weise geeignet 37. Vorrangig beziehen sie sich auf Methoden zur Datenverarbeitung und -speicherung, wobei z.b. eine Anwendbarkeit für Informationssysteme in der zivilen Gefahrenabwehr geprüft werden kann. Allgemeine Methoden zur Gewährleistung von Datensicherheit (a), wie z.b. Verschlüsselungen und Nutzungsbeschränkungen, dienen grundsätzlich auch dem Privacy-Schutz. Die Datenminimierung, ebenfalls Gruppe (a), bezieht sich auf Datenfilter sowie die Reduktion personenbezogener Daten, z.b. in Bezug auf Kreditkartennummern oder Postleitzahlen. Die Datenseparation (b) nimmt eine Trennung zwischen personenbezogenen Identifizierungsdaten und anderen personenbezogenen Daten vor, wobei nur autorisierten Personen ein Zugriff auf beide Domänen gestattet wird. Sie hat den Vorteil, dass die spezifischen Daten in der separaten Domäne nicht sensitiv sind, da sie keiner natürlichen Person zugeordnet werden können. PETs zur Anonymisierung (c) umfassen z.b. Software, die grundsätzlich keine personenspezifischen Daten sammelt oder sie nach der Verifizierung zerstört. Idealerweise erfolgt dabei keine Datenspeicherung. Die Anonymisierung wird aus Sicht des CWA nur bei trivialen Daten als sinnvoll erachtet, z.b. bei einer Verifikation zur Nutzung von Webservices oder bei statistischen Auswertungen. Daher hat sie im Kontext der öffentlichen Sicherheit sowie der Sicherheit halböffentlicher Bereiche eine untergeordnete Bedeutung. PETs der Gruppe (d) beziehen sich auf Software, die eine Hülle um personenbezogene Daten legt und automatisch alle Transaktionen überwacht, die unter Einbezug dieser Daten gegen Datenschutzrichtlinien und andere Privacy-relevante Bestimmungen verstoßen. Dadurch dienen sie der Transparenz. Die Überwachung basiert auf elektronischen Datenschutzrichtlinien, die aus den relevanten realen Bestimmungen für die entsprechenden Datenbanken oder Informationssysteme abgeleitet wurden. Die Datenschutzrichtlinien werden in der PET-Software mit Hilfe eines Privacy-Codes oder einer Privacy-Sprache eingegeben. Wie in Kap beschrieben, kann der Einbezug derartiger Technologien in Lösungen des zivilen Sicherheitsforschungsprogramms wichtige Mehrwerte bieten. Zur Umsetzung stehen Tools wie z.b. die Enterprise Privacy Authorization Language (EPAL) 1.2 zur Verfügung, die 2003 als W3C-Standard verabschiedet wurde. In ähnlicher Weise wie durch das CWA wurden von der ITU im Jahr 2012 aktualisiert Privacy-Prinzipien und relevante PETs zusammengestellt, vgl. Darst. 52. Mögliche Anwendungseinschränkungen für PETs im Kontext der öffentlichen Sicherheit, z.b. in Bezug auf die Anonymisierung, wurden zuvor beschrieben. Auch das Zugangsrecht des Datensubjekts ist in diesem Kontext besonderen Rahmenbedingungen unterworfen. 37 Die nachfolgende Erörterung erfolgt unter Einbezug der Beschreibung der vier PET-Typen in CWA

148 Speicherung Freigabe und Verarbeitung Löschung Datenschutzprinzipien Verhältnismäßigkeit und Zweckbindung (Proportionality and purpose specification) Rechenschaftspflicht, Sicherheitsmaßnahmen, sensible Daten (Accountability, Security measures, sensitive data) Rechtmäßigkeit und Fairness, Genehmigung, Zugangsrecht (Lawfulness and fairness, consent, right of access) Offenheit, Recht auf Löschung (Openness, right to delete) Daten- Lebenszyklus Datensammlung Datenschutzmaßnahmen Datenminimierung (Data minimization) Vertraulichkeit (Confidentiality) Zugriffskontrolle (Data access control) Vertraulichkeit (Confidentiality) Beispiele für PETs und ICT-Standards Anonyme Kommunikation, anonyme Berechtigung, Gruppen- und verborgene Signaturen ISO/IEC JTC1/SC27 WG2 und WG5) Verschlüsselung AES NIST (FIPS 197) Datenschutz Dashboard (Privacy dashboard), OASIS XACML, ITU-T X.1142) Löschung, Anonymisierungsprotokoll, Hash-Funktionen, ISO/IEC JTC1/SC27 WG2 Quelle: ITU (2012) Darst. 52: Technologien für Privacy-Schutzmaßnahmen im Datenlebenszyklus Beispiele für konkrete Anhaltspunkte zur Nutzung von PETs werden im ETSI TR für RFID-Lösungen gegeben. Die Aufgabe der PETs umfasst dabei die Gewährleistung von Pseudonymität und Unverknüpfbarkeit. Thematisiert wird in diesem Kontext auch die Berücksichtigung eines Zustimmungselements und eines Autorisierungsframeworks für den Zugang zu den Daten, einschließlich der Initialisierung, der Übertragung und der Löschung von Autorisierungen. Die Rahmenbedingungen zur Gewährung des Zustimmungsrechts im Kontext der Gewährleistung der öffentlichen Sicherheit wurden zuvor anhand des CWA 1613 und der Paragraphen 19a und 33 des BDSG erörtert Nichtdiskriminierung im Security-Kontext Die Diskriminierung stellt ein weiteres ethisches Risiko bei der Nutzung von Security- Lösungen dar. Hinweise zu ihrer Vermeidung bei der Entwicklung, Implementierung und Anwendung von Sicherheitsmaßnahmen werden beispielsweise im Kontext Biometrie im ISO/IEC TR gegeben. Da biometrische Systeme physische Informationen und/oder Informationen über das Verhalten von Personen erfassen, besteht das Risiko, dass Personen von der Anwendung ausgeschlossen werden. Dies ist der Fall, wenn Personen erforderliche Eigenschaften oder Fähigkeiten, welche eine erfolgreiche Identifizierung voraussetzen, nicht besitzen. Der Technische Report nennt hierfür als Beispiele fehlende Finger, eine Unfähigkeit zu sprechen sowie eine Unfähigkeit die Augenbewegung zu steuern. Derartige Voraussetzungen können beim Einsatz biometrischer Systeme zum Problem werden, insbesondere wenn ihre Nutzung für den Zugang zu wichtigen Leistungen erforderlich ist. Um eine Ausgrenzung von Personen zu verhindern, sollten Vorkehrungen für alternative Methoden zur Identitätsfeststellung getroffen werden. Im Report wurden daher entsprechend Darst. 53 zehn Leitlinien erarbeitet: 148

149 Barrierefreies Design Leitlinien für barrierefreie Sicherheitslösungen Frühe Berücksichtigung der Bedürfnisse von Testen Training Wahlmöglichkeiten Menschen mit Behinderung Alternative Methoden Möglichkeit zur erneuten Anmeldung Schulung von Mitarbeitern Möglichkeit der Einverständniserklärung Gleichheit Quelle: ISO/IEC TR Darst. 53: Leitlinien für barrierefreie Sicherheitslösungen Anhand des ersten Punkts (Barrierefreies Design) wird deutlich, dass die Maßnahmen frühzeitig, bereits beim Design, ansetzen sollten. Wie in Kap. 6 beschrieben, ähneln die ethischen Risiken von Körperscannern denen von biometrischen Anwendungen dahingehend, dass es sich in beiden Fällen um distanzlose Technologien handelt (vgl. Nagenborg, 2011). Die Diskriminierung von Menschen mit Behinderung stellt dabei ein großes Problem dar. Auf dieser Grundlage könnte der hier gezeigte Technische Report als Anhaltspunkt dienen, falls Regelwerke zum Einsatz von Körperscannern benötigt werden. Derzeit (Stand Oktober 2012) ist ein derartiger Bedarf in Deutschland nicht gegeben Vermeidung von Missbrauchsgefahren Den Ausführungen in Kap. 6 zufolge stellen Missbrauchs- bzw. Dual-Use-Gefahren eine Spezialform ethischer Risiken dar. Aufgrund ihrer speziellen Betrachtung durch Teilnehmer der Umfrage InfraNorm (2011) wurde derartige Probleme betreffend eine gesonderte thematische Vertiefung vorgenommen. In der Follow-up-Studie InfraNorm (2012) wurden ethische Risiken bei der Entwicklung security-bezogener Normen und Standards sowohl inhaltlich als auch in Bezug auf konkrete Regelwerksarten unter Verwendung von zwei Fragen betrachtet: Sehen Sie ethik- oder privacy-spezifische Risiken bei der Entwicklung von Normen oder Spezifikationen für security-bezogene Produkte und Dienstleistungen? und Mit welchen Arten von Normen oder Spezifikationen verbinden Sie die beschriebenen Risiken? Die Klassifikation von Normen und Standards anhand der Kategorien Terminologien/ Klassifikation, Messung und Prüfung, Qualität und Safety sowie Kompatibilität/Schnittstellen ermöglichte dabei eine detaillierte Betrachtung möglicher Sicherheitsrisiken. 39 % der Teilnehmer an der Follow-up-Studie InfraNorm (2012) sahen keine ethischen Risiken in Bezug auf die Normung und Standardisierung. (Im Gegensatz hierzu verbanden sie konkrete Sicherheitstechnologien jedoch sehr häufig mit derartigen Gefahren.) Den Missbrauchsrisiken maßen die Teilnehmer ein verhältnismäßig geringes Gewicht bei. Ausschließlich zwei von 23 Teilnehmern verwiesen auf Missbrauchsgefahren. Einer der beiden Befragten verband dienstleistungs- und kompatibilitätsbezogene Regelwerke im Security-Kontext allgemein mit Missbrauchsrisiken. Der andere Teilnehmer formulierte als Grundlage möglicher Risiken die Frage, was mit der Normung (und Standardisierung) preisgegeben wird, z.b. durch Szenarien und zugeordnete Einwirkungen. Konkret ordnete er mögliche derartige 149

150 Risiken den Kategorien Terminologien/Klassifikation, Messung, Prüfung sowie den Produktnormen und -standards zu. Im Folgenden werden mögliche Missbrauchsrisiken anhand dieser Typen von Normen und Standards erläutert. Die zuvor genannten Risiken wurden dabei mit weiteren Teilnehmern des Sicherheitsforschungsprogramms vertieft. Terminologien begünstigen die Kommunikation der sicherheitsbeteiligten Akteure wie Infrastrukturbetreiber sowie Behörden und Organisationen mit Sicherheitsaufgaben. Die Gefahr eines Missbrauchs zur Manipulation von Sicherheitssystemen ist hingegen insbesondere durch physische oder digitale Systemeinbrüche aufgrund von Sicherheitslücken gegeben. Durch Terminologien erfolgt keine Verstärkung derartiger Einbruchsgefahren. Die Risiken sind durch Sicherheits- und Verschlüsselungstechnologien reduzierbar, wobei Normen und Standards, die eine entsprechende Ausstattung vorschreiben, ebenfalls einen Nutzen bieten können. Risiken in Bezug auf Klassifikationen wurden in Verbindung mit Szenarien und Einwirkungen genannt. Das Statement reflektiert die Befürchtung, dass Personen mit unrechtmäßigen Absichten Informationen über Verwundbarkeiten von Systemen und ggf. auch über die Schutzmaßnahmen enthalten. Derartige Themen, z.b. in Form von Verwundbarkeitsklassifikationen, sollten in der Normung und Standardisierung ausgespart werden. Die Risikobefürchtungen in Bezug auf Mess- und Prüfnormen und -standards wurden bereits in Follow-up-Gesprächen zur Studie InfraNorm (2011) vertieft. Die Gefahren wurden insbesondere mit Detektionstechnologien in Verbindung gebracht. Das Augenmerk lag dabei auf Normen und Standards, die festlegen, welche Mindestmengen die entsprechenden Geräte in welcher Form detektieren müssen. Der Erarbeitung derartiger Prüfkontexte ist eng mit der zuvor beschriebenen Entwicklung von Szenarien verbunden. Risiken werden darin gesehen, dass böswillige Akteure die Menge versteckter Gefahrenstoffe anpassen und dadurch die detektionsrelevanten Mengen unterschreiten. Im Bereich qualitätsbezogener Normen und Standards besteht eine ähnliche Problematik. Die Europäische Kommission hat daher in der COM(2011)311 klare Vorgaben definiert, in Bezug auf diese Detektionsaspekte keine frei verfügbaren Normen und Standards zu entwickeln: Standards for certain security applications, such as scanners at airports or banknoteprinting presses, should only be made available to entities which have the required security clearances (EUR-Lex, 2011:12). In der Praxis wird diese Forderung klar berücksichtigt. Für die Gepäckkontrolle an Flughäfen z.b. wurde durch die European Defence Agency der EDS- (Explosive Detection System)- Test entwickelt. Zur Prüfung auf Flüssigexplosivstoffe wurde der ECAC-Test der European Civil Aviation Conference konzipiert. In beiden Fällen sind die Testkriterien nicht frei verfügbar. Im Bereich produktbezogener Normen und Standards existieren aufgrund von Follow-up- Analysen zu InfraNorm (2011) Argumente, welche dafür sprechen, dass die Vereinheitlichung zu einer Erleichterung von Angriffen führt. Ein derartiges Risiko erfordert in der Normung und Standardisierung gesonderte Aufmerksamkeit. Häufig handelt es sich bei den wahrgenommenen Gefahren um informationsbezogene Risiken. Vertiefende Analysen zur 150

151 Studie InfraNorm (2011) zeigten dies in besonderer Weise. Im Bereich IT Security beispielsweise sind dabei zahlreiche Regelwerke nutzbar, z.b. die ISO/IEC 27002:2005 Information technology -- Security techniques -- Code of practice for information security management. Ein weiteres Beispiel bieten die im ETSI TR beschriebenen Maßnahmen zur Risikoreduktion im Bereich RFID (vgl. Kap ). Im Rahmen der Studie InfraNorm (2012) wurden Missbrauchsrisiken im Kontext der produktbezogenen Regelwerke v.a. mit Szenarien verbunden. Dies reflektiert die Befürchtung, dass zum Schutz vor bestimmten Gefahren, die in den Szenarien modelliert werden, konkrete Produkte vorgegeben werden. Personen mit unlauteren Absichten könnten dadurch Informationen über die Art des Schutzes erhalten und sich konkreter auf die entsprechenden potentiellen Angriffsziele ausrichten. Derartige Themen sollten aus einer Normung oder Standardisierung, die eine freie Verfügbarkeit der erarbeiteten Dokumente vorsieht, ausgespart werden. Wichtiger als produktbezogene Regelwerke sind i.d.r. qualitätsbezogene Normen und Standards. In Verbindung mit einer geeigneten Zertifizierung können diese Regelwerke zur Reduktion von Gefährdungspotentialen beitragen. Dabei ist die Definition eines geeigneten, hohen Sicherheitsniveaus vorzuschreiben. Im Bereich technologiebezogener Normen und Standards sind entsprechend Blind (2008) im Security-Bereich v.a. Schnittstellen bedeutsam. Aus drei Gründen: Sicherheitstechnologische Lösungen basieren oft auf einer Kombination von Software und Hardware. Schnittstellen ermöglichen Interaktionen, z.b. zum raschen Austausch von Warnmeldungen. Die Eingliederung neuer Security-Systeme in existierende Security-Infrastrukturen erfordert Interoperabilität. Grundsätzlich ist die Übertragung von Daten dennoch Risiken unterworfen, vgl. dazu u.a. Kap. 6. Systeminterne Schwachstellen, welche externe Einbrüche begünstigen, stellen dabei allerdings keine spezielle Eigenschaft von Systemen dar, in denen standardisierte Schnittstellen eingesetzt werden, sondern können in technischen Anlagen ohne Normen und Standards ebenfalls auftreten. Vielmehr kann die spezielle Beschäftigung mit den relevanten Systemen in einem Normungs- bzw. Standardisierungsprozess unter interdisziplinärer Beteiligung vielfältiger Experten eine Aufdeckung derartiger Risiken besonders begünstigen. Darüber hinaus sind bereits jetzt Normen und Standards nutzbar, die zur Reduktion von Datenübertragungsrisiken genutzt werden können. Anhaltspunkte bietet entsprechend Kap z.b. der ISO/TR Health informatics - Trusted end-to-end information flows. Weitere Beispiele, welche in Hinblick auf speziell gesicherte Möglichkeiten der Datenübertragung Normungsanregungen geben, sind insbesondere: BASI/TR VR3, TR PDÜ hd Technische Richtlinie zur Produktionsdatenerfassung, -qualitätsprüfung und -übermittlung für hoheitliche Dokumente (TR PDÜ hd), Beschreibung der Sicherheitsanforderungen sowie Verfahren und Maßnahmen zu ihrer Realisierung: Dokumente des BSI zum IT-Grundschutz [BSI_GS], 151

152 BASI/TR-03123, Technische Details, Vorgaben und Maßnahmen zur Erreichung der Sicherheitsanforderungen: Technische Richtlinie XML-Datenaustauschformat für hoheitliche Dokumente (TR XhD), BASI/TR-03132, Zulässige Kommunikationsszenarien zur Übertragung der Daten zwischen Behörden und Dokumentenproduzenten: Technische Richtlinie Sichere Szenarien für Kommunikationsprozesse im Bereich hoheitlicher Dokumente, Die Verordnung zur Durchführung von regelmäßigen Datenübermittlungen zwischen Meldebehörden verschiedener Länder (1. BMeldDÜV) sowie die Verordnung zur Erfassung und Qualitätssicherung des Lichtbildes und der Fingerabdrücke in den Passbehörden und der Übermittlung der Passantragsdaten an den Passhersteller (PassDEÜV). Des Weiteren liegt einem Normungsprozess der State-of-the-Art der Technik zugrunde. Auf dieser Basis wird der Einsatz aktueller Technologien sichergestellt. Durch die Möglichkeit, einzelne Sicherheitskomponenten zu verbinden, tragen Schnittstellen ferner in einem hohen Maße zur Entwicklung von Märkten bei. In den USA existieren z.b. auf Basis von EDXL-CAP mehrere Initiativen (vgl. FEMA, 2010). Die Entwicklung von Schnittstellen im deutschen Sicherheitsforschungsprogramm bietet ähnliche Potentiale zur Etablierung neuer technischer Systeme. Ohne Schnittstellen könnten wirkungsvolle Technologien möglicherweise nicht geeignet in Security-Infrastrukturen integriert werden, wodurch umfangreiche Schutzpotentiale ungenutzt blieben. Initiativen zur Entwicklung von Schnittstellen sind daher sehr empfehlenswert. Um Sicherheitsrisiken entgegenzuwirken, sind diese Schnittstellen mit geeigneten systemschützenden Technologien zu kombinieren. Darst. 54 fasst die Erkenntnisse zusammen. Normklasse Terminologien Mess-, Prüf- und Qualitätsnormen, und -standards Produktnormen und -standards Prozess- und Dienstleistungsnormen und -standards Kompatibilitätsund Schnittstellennormen und -standards Risikobeschreibung Grundsätzlich geringes Risiko In vielen Bereichen keine Risiken Einzelne Bereiche, in denen öffentliche Regelwerke weniger geeignet erscheinen Möglichkeiten zur Risikoreduktion vorhanden, z.b. durch spezielle Normen und Standards Grundsätzlich Qualitätsnormen und -standards oft zweckmäßiger Grundlage sind häufig Qualitätsziele für security-bezogenen Prozesse und Leistungen Normungs- und Standardisierungsprozesse helfen, Risiken zu vermeiden Einzelne Risiken ähneln Produktnormen und -standards, Schutz daher wichtig Diverse Normen und Standards zur gesicherten Datenübertragung nutzbar Den möglichen Risiken stehen die konkreten Chancen zur Risikominimierung durch Normen und Standards gegenüber Darst. 54: Klassenspezifische Risiken von security-bezogenen Normen und Standards 152

153 Grundsätzlich lässt sich feststellen, dass Schnittstellen- und Prozessnormen und -standards die internationale Normung dominieren. Produktbezogene Normen und Standards sind wesentlich seltener (vgl. Hövel, 2012, Vortrag am ). Terminologienormen und -standards sind, wie gezeigt, durch geringe Missbrauchsrisiken gekennzeichnet. Deutlich wurde ferner, dass Schnittstellen im Security-Bereich hohe Mehrwerte bieten. Bei der Erstellung sind Schutzmechanismen hinsichtlich ihrer Anwendbarkeit geeignet zu berücksichtigen. Die Entwicklung von Normen und Standards zur Messung und Prüfung sowie von Qualitätsnormen und -standards erfordert insbesondere im Bereich der Detektionsgeräte risikoreduzierende Maßnahmen. Spezielle schutzrelevante Prüfungen sind bei einem Wunsch zur Erstellung sicherheitsbezogener Produktnormen und -standards geboten. Die Europäische Union hat den Bedarf zum Schutz von Security-Systemen gegen Verwundbarkeit klar erkannt. Auf Grundlage des Mandates M/487 ist daher die Entwicklung von Security Vulnerability Assessments vorgesehen, die Systemoperatoren gezielte Schutzmaßnahmen gegen Angriffe auf ihre Security-Systeme ermöglichen (vgl. Europäische Kommission, 2011) Zusammenfassung und Ausblick In Darst. 55 werden die gezeigten Normen und Standards im Bereich Privacy und Datenschutz zusammengefasst. Grundsätzliche Privacy- und Datenschutzaspekte CWA Personal Data Protection Good Practices ISO/IEC TR Information technology -- Biometrics -- Jurisdictional and societal considerations for commercial applications -- Part 1: General guidance ISO/IEC Information technology - Security techniques - Privacy framework ISO Finanzdienstleistungen - Auswirkungsanalyse Datenschutz (Privacy Impact Assessment) Vertraulichkeitsklassen von Daten und Schutzmaßnahmen PAS 1011 VCS Kommunikationskonzepte für das Gesundheitswesen ISO/IEC Information technology -- Security techniques -- Evaluation criteria for IT security ISO/TS Health informatics Pseudonymization Privacy-schutzkonformer Datenzugriff ASTM E (2010) Standard Guide for Confidentiality, Privacy, Access, and Data Security Principles for Health Information Including Electronic Health Records Significance and Use Privacy-schutzkonforme Datenübertragung ISO/TR Health informatics - Trusted end-to-end information flows BASI/TR VR3, TR PDÜ hd Technische Richtlinie zur Produktionsdatenerfassung, - qualitätsprüfung und -übermittlung für hoheitliche Dokumente (TR PDÜ hd); Version IT-Grundschutz [BSI_GS] TR Technische Richtlinie XML-Datenaustauschformat für hoheitliche Dokumente (TR XhD), BSI TR Technische Richtlinie Sichere Szenarien für Kommunikationsprozesse im Bereich hoheitlicher Dokumente, BSI BASI/TR Technische Richtlinie für ecard-projekte der Bundesregierung; Version BASI/TR ecard-projekte der Bundesregierung - Teil 2: Hoheitliche Ausweisdokumente (wird fortgesetzt) 153

154 Privacy-schutzkonformes Datenlebenszyklusmanagement ISO/IEC Information technology - Security techniques - Biometric information protection ISO/TR Document management - Information stored electronically - Recommendations for trustworthiness and reliability ISO/TS Health informatics. Security requirements for archiving of electronic health records. Principles DIN EN Sichere Vernichtung von vertraulichen Unterlagen - Verfahrensregeln; Deutsche Fassung EN 15713:2009 Privacy by Design ISO/IEC Information technology - Security techniques - Evaluation criteria for IT security CWA Personal Data Protection Good Practices Privacy Enhancing Technologies CWA Personal Data Protection Good Practices CWA Analysis of Privacy Protection Technologies, Privacy- Enhancing Technologies (PET), Privacy Management Systems (PMS) and Identity Management systems (IMS), the Drivers thereof and the need for standardization ISO/IEC TR Information technology -- Biometrics -- Jurisdictional and societal considerations for commercial applications -- Part 1: General guidance ETSI TR Radio Frequency Identification (RFID) - Coordinated ESO response to Phase 1 of EU Mandate M436 Nichtdiskriminierung im Security-Kontext ISO/IEC TR Information technology -- Biometrics -- Jurisdictional and societal considerations for commercial applications -- Part 1: General guidance Normative Ausnahmen in der Anwendung von Privacy- und Datenschutzprinzipien ISO/IEC Information technology -- Business Operational View -- Part 8: Identification of privacy protection requirements as external constraints on business transactions Ergänzend: APEC Privacy Framework, Clause 13 Privacy- und Datenschutzaspekte in einem konkreten Technologiebereich des Sicherheitsforschungsprogramms: RFIDs ETSI TR Radio Frequency Identification (RFID) - Coordinated ESO response to Phase 1 of EU Mandate M436 Privacy- und Datenschutzaspekte in Szenarien des Sicherheitsforschungsprogramms CWA Personal Data Protection Good Practice ISO Sicherheit und Schutz des Gemeinwesens - Format für die Interfunktionsfähigkeit bei der Videoüberwachung ISO TR Intelligent transport systems -- System architecture -- Privacy aspects in ITS standards and systems Datensicherheitsaspekte in konkreten Szenarien der öffentlichen Sicherheit IEC Reihe IEC/TS Power systems management and associated information exchange - Data and communications security - Part 1: Communication network and system security - Introduction to security issues IEC/TS Power systems management and associated information exchange - Data and communications security - Part 8: Role-based access control BASI TR : Einsatzgebiet eticketing im öffentlichen Personenverkehr Aktuelle Normungsprojekte ISO/IEC Identity Proofing ISO/IEC Information technology - Security techniques - Privacy architecture framework ISO/IEC ( ) Privacy Capability Assessment Model ISO/IEC ( ) Privacy impact assessment methodology ISO/IEC ( ) Code of practice for the protection of personally identifiable information ISO/IEC ( ) Requirements on partially anonymous, partially unlinkable authentication Darst. 55: Ausgewählte Normen und Standards im Bereich Privacy und Datenschutz 154

155 In Kap. 6 wurden die beiden Teilbereiche des Privacy-Schutzes, der physische Schutz und der Datenschutz, erörtert. Artikel-29-DSG (2007) betonte die Bedeutung, klar zwischen den verschiedenen Arten von Detektionstechnologien (z.b. Closed-circuit television bzw. CCTV, RFID-Tags, Biometrie usw.) zu unterscheiden, um für jede Technik die geeignete Datenschutzlösung zu finden (Artikel-29-DSG, 2007:4). Bestehende Regelwerke greifen v.a. den Datenschutzaspekt auf. Besondere Bedeutung haben dabei entsprechend Artikel-29-DSG (2007) v.a.: eine klare Zweckbestimmung der Datenverarbeitung und ihrer Teilprozesse 38 die Gewährleistung von Verhältnismäßigkeit die Beachtung des Datenminimierungsprinzips. Die normative Umsetzung wurde in Kap bis erörtert. Wichtige weitere Anhaltspunkte zum Umgang mit Privacy-Themen im Security-Kontext geben die bestehenden Regelwerke z.b. hinsichtlich der Autorisierung von Personen im Umgang mit sensiblen Daten (z.b. CWA und ISO/IEC ) oder bezüglich der Authentifizierung. In Bezug auf mögliche Normungs- und Standardisierungslücken wurden dabei beispielsweise in der ISO Forderungen beschrieben, privacy-spezifische Regelungen für die Videoüberwachung so bald wie möglich auszudehnen (vgl. Kap ). Modifizierte Anwendungen von Privacy-Regelungen zur Gewährleistung der öffentlichen Sicherheit wurden v.a. in Kap erörtert, insbesondere anhand der CWA Ergänzende Vorgaben zum Umgang mit derartigen Situationen bietet die o.g. ISO ebenfalls. Sie beinhaltet insbesondere ein Monitoring des Datenzugriffs, eine verpflichtende Zeiterfassung bei der Umsetzung der Datenlöschung sowie ein Training der Mitarbeiter im Umgang mit sensiblen Daten. Normen fehlen derzeit in Bezug auf die Erweiterung von Vertraulichkeitsklassen unter Berücksichtigung neuer Datenformate und Möglichkeiten zur Bereitstellung sicherheitsrelevanter Informationen. Dies betrifft z.b. die Bereiche Überwachung und Detektion sowie relevante Schutzmaßnahmen. Eine Interoperabilität von security-bezogenen Systemen ist unter gebührender Beachtung der Datenschutzgrundsätze und insbesondere des Grundsatzes der Eingrenzung des Verwendungszwecks umzusetzen (Artikel-29-DSG, 2007:6). Dieser Aspekt ist bisher ebenfalls nicht in der Normung und Standardisierung verankert. Normungs- bzw. Standardisierungsbedarf im Bereich des physischen Privacy-Schutzes wurde auch in der Studie InfraNorm (2012) verdeutlicht. Gewünscht waren dabei insbesondere Regelungen für Körperscanner und Personenkontrollen. Privacy Impact Assessments für security-bezogene Lösungen sind momentan ebenfalls durch Normungsbedarf gekennzeichnet. PETs werden derzeit v.a. im Zusammenhang mit der Datenverarbeitung betrachtet. Weitere Regelungen, z.b. für Sensoren und kombinierte Systeme, erscheinen wünschenswert, vgl. dazu u.a. ETSI TR sowie Kap Des Weiteren erweisen sich derzeitige PETs im 38 Datenerhebung, -erfassung, -speicherung, -archivierung, -aufzeichnung und -verwendung 155

156 Kontext der öffentlichen Sicherheit teilweise nur bedingt geeignet, da sie die entsprechenden Ausnahmen nicht geeignet berücksichtigen können. Neben dem allgemein im CWA dokumentierten Normungs- bzw. Standardisierungswunsch sind daher ergänzende Ausführungen erstrebenswert, welche die Anforderungen im Hinblick auf die öffentliche Sicherheit gesondert berücksichtigen. Der ISO/IEC TR empfiehlt die Verwendung von Bewertungs- und Zertifizierungsinstrumenten, um sicherzustellen, dass eine Anwendung ein gewisses Maß an Vertrauen bietet. Die Ermöglichung derartiger Maßnahmen könnte einen wirkungsvollen Beitrag zur Akzeptanzsteigerung von Sicherheitstechnologien leisten. 156

157 8. Rahmenbedingungen für IPR bei der Entwicklung sicherheitsbezogener Normen und Standards 8.1. Definitionen und Klassifikationen geistiger Eigentumsrechte im Normungskontext Geistige Eigentumsrechte (Intellectual Property Rights, IPRs) sind juristisch fundierte Rechte zum Schutz von Entwicklungen und Erfindungen auf Grundlage intellektueller Arbeit, welche unabhängig von einer offiziellen Registrierung existieren (vgl. Blind et al., 2011a:15). Es handelt sich um legal rights, regardless of whether they are based on registration, that aim to protect creations and inventions resulting from intellectual activity in the industrial, scientific, literary or artistic fields (Blind et al., 2011a:15). Allgemein werden vier Arten dieser Rechte unterschieden: Patentrechte, Marken- und Urheberrechte sowie Geschäftsgeheimnisse. Eine gute Darstellung bietet Fräßdorf (2008): Patentrechte werden für die umfassende Offenlegung neuer, technischer, nicht offensichtlicher Erzeugnisse oder Verfahren gewährt. Sie werden durch die nationalen Patentämter für in der Regel maximal 20 Jahre ab dem Zeitpunkt der Antragstellung erteilt. Dem jeweiligen Inhaber gewähren sie ein Benutzungsrecht sowie einen Unterlassungsanspruch gegenüber Dritten sowie Auskunfts- und Schadenersatzansprüche für den Fall der Rechtsverletzung. Aufgrund des Patentrechts ist Dritten während der Geltungsdauer die Nutzung, Herstellung, der erstmalige Verkauf und der Import des Patentgegenstandes ohne Zustimmung des Pateninhabers im Geltungsbereich des Patents untersagt (vgl. Fräßdorf, 2008:20). Marken dienen der Kennzeichnung von Waren oder Dienstleistungen eines Unternehmens. Schutzfähig sind Zeichen, die geeignet sind, Waren oder Dienstleistungen eines Unternehmens von denjenigen anderer Unternehmen zu unterscheiden. Dabei kann es sich z.b. um Wörter, Buchstaben, Zahlen, Abbildungen, aber auch Farben und Hörzeichen handeln (vgl. DPMA, 2011). Urheberrechte schützen grundsätzlich die Ergebnisse geistig kreativen Schaffens, die ein Mindestmaß an Gestaltungshöhe aufweisen (Fräßdorf, 2008:22). Dabei gibt es spezielle Werkkategorien mit unterschiedlichen Schutzvoraussetzungen. Dazu gehören insbesondere Schriftwerke, Computerprogramme und Datenbanken. Urheberrechte entstehen zeitgleich mit der Erschaffung des Werks ohne die Notwendigkeit einer Antragstellung oder Registrierung und implizieren Unterlassungs- sowie Schadensansprüche gegen die ungerechtfertigte Leistungsübernahme. Die Schutzdauer beträgt bei Schriftwerken und Computerprogrammen 70 Jahre ab dem Tod des Autors und bei Datenbanken mindestens 15 Jahre ab deren Veröffentlichung (vgl. Fräßdorf, 2008:22). Das Recht der Geschäftsgeheimnisse schützt allgemein unternehmensinterne Geheimhaltungsinteressen. Eine einheitliche Kodifikation existiert dabei nicht. Der Schutz ergibt sich vielmehr aus zahlreichen Regelungen der Rechtsordnung. Der Begriff des Geschäftsgeheimnisses ist weit gefasst (vgl. Fräßdorf, 2008:22). Grundsätzlich beinhaltet er jegliche Formen der Information, die den unternehmerischen Geschäftsbereich betrifft, lediglich einem beschränkten Personenkreis bekannt ist, darauf beschränkt bleiben soll und an der ein berechtigtes wirtschaftliches Interesse zur Geheimhaltung besteht (Fräßdorf, 2008:22). Der Schutz existiert, solange die Information geheim ist und ein berechtigtes Interesse der Ge- 157

158 heimhaltung besteht (Fräßdorf, 2008:22). Er endet, wenn eine Tatsache offenkundig geworden ist, also ihren Geheimnischarakter verloren hat (Fräßdorf, 2008:22). Bei der Normung und Standardisierung wird darüber hinaus zwischen essential IPR (wesentlichen geistigen Eigentumsrechten) und non essential IPR (nicht wesentlichen geistigen Eigentumsrechten) unterschieden. Die Eigenschaft der Wesentlichkeit wird dabei von Blind et al. (2002) wie folgt abgegrenzt: IPR will be considered essential, if the standard, by its depth and detail, necessitates the use of the proprietary technical solution described in it (Blind et al., 2002:47). Für die Wirkung essentieller geistiger Eigentumsrechte spielt die Anspruchserhebung (Claiming) eine große Rolle. Auf dieser Grundlage definiert das W3C im Kontext von Patenten berechtigte Anspruchserhebungen auf wesentliche geistige Eigentumsrechte, Essential Claims, anhand zusätzlicher Merkmale wie folgt: Essential Claims umfassen alle Ansprüche in allen Patenten oder Patentapplikationen, bei einem Gericht jeglicher Nationalität, welche zwingend durch eine Recommendation (bzw. einen Standard) verletzt werden. Eine zwingende Verletzung liegt dabei vor, wenn es unmöglich ist, eine Verletzung zu umgehen, da bei der Implementierung der Recommendation (bzw. des Standards) keine Alternative existiert, die eine Umgehung ermöglicht (vgl. W3C, 2004). Eine Spezialform der essentiellen Eigentumsrechte stellen blockierende Eigentumsrechte dar. Ihre blockierende Wirkung auf den Normungs- und Standardisierungsprozess kann dabei zwei Ausprägungen haben: eine grundsätzliche Ablehnung der Lizenzvergabe oder eine Ablehnung der s.g. RAND- oder FRAND-Bedingungen, die in Kap erläutert werden. Häufig dient die Blockierung als Taktik, um die Höhe von Lizenzgebühren zur Patentnutzung zu beeinflussen Problemstellung und Relevanz In Kap. 4 wurde die Beziehung von Forschung und Normung/Standardisierung beschrieben. Der Bereich geistiger Eigentumsrechte bildet in diesem Beziehungsgefüge ein drittes Element, wobei zahlreiche Interaktionen kennzeichnend sind. Die Ergebnisse zu Frage 2 der Umfrage InfraNorm (2011) zeigten ferner, dass die Teilnehmer des Sicherheitsforschungsprogramms zahlreiche Möglichkeiten zum Schutz ihrer geistigen Eigentumsrechte nutzen. Die Relevanz von Patenten, Schutzmarken und Copyrights wurde dargestellt. Darüber hinaus wurde in den Antworten zu Frage 11 der Umfrage auf mögliche Konflikte mit diesen Eigentumsrechten in der Normung und Standardisierung hingewiesen. Patente stellen eine wichtige Ausprägung geistiger Eigentumsrechte dar. Daher gilt ihnen bei den folgenden Betrachtungen das Hauptaugenmerk. Im Vergleich zu Normen und Standards existieren in ihrer Ausrichtung zahlreiche Unterschiede. Während z.b. DIN-Normen und -Spezifikationen als Allgemeingut gelten, sichern Patente die Rechte einzelner Akteure (vgl. Darst. 56). 158

159 Abgrenzung von Normen und Patenten Normen definieren Gemeinschaftsmerkmale und dienen der Öffnung von Märkten für innovative Produkte, Prozesse und Dienstleistungen Patente definieren Alleinstellungsmerkmale von Innovationen und dienen der Sicherung von technischen Wettbewerbsvorteilen in diesen Märkten Normen und Patente sind in FuE-Prozessen gleichwertige strategische Instrumente und müssen frühzeitig eingesetzt werden Quelle: in Anlehnung an Gindele (2013) Darst. 56: Abgrenzung von Normen und Patenten Patente als Bestandteile von Normen oder Standards können den Markt auf vielfältige Weise beeinflussen. Dabei sind u.a. drei Aspekte bedeutend: Essentielle 39 Patente in derartigen Regelwerken können ex-post zu einer Marktmacht der Inhaber führen Überlappende Rechte können eine komplexe IPR-Landschaft ( IPR- Landscape ) erzeugen Insofern mehrere Patente für eine Norm oder Spezifikation bedeutsam erscheinen, kann die Bewertung des jeweiligen ökonomischen Beitrags und die entsprechende Vergütung der Inhaber Konflikte hervorrufen (Bekkers, 2011:23). Aufgrund ihrer verschiedenen Kontexte sind Normungs- oder Standardisierungsvorhaben in unterschiedlicher Weise durch Konfliktpotential im Bereich geistiger Eigentumsrechte gekennzeichnet. Blind et al. (2002) sowie Blind/Iversen (2004) ermittelten dabei fünf Technologietypen: Early Stage-Technologien: Grundlagenforschung, begrenzte, aber steigende Anzahl geschützter geistiger Eigentumsrechte. Technologien mit hoher Patentintensität (a), ggf. kombiniert mit einer Reife im Lebenszyklus (b): a) z.b. in der Biotechnologie, b) z.b. im Bereich Pharma. Technologien mit geringer Patentintensität: z.b. Software: keine patentbezogene Probleme durch Normen oder Standards. Technologien mit parallelen Patentierungs- und Normungsaktivitäten mittleren Ausmaßes: existierten in der vorwettbewerblichen Phase der Aeronautik. Aufgrund der kleinen, homogenen Gruppe von Akteuren kam es dennoch zu keinen Konflikten. Informations- und Kommunikationstechnologien: starke IPR-Portfolios, aber Bedarf, Netzexternalitäten durch weltweit akzeptierte Regelwerke zu schaffen. 39 Der Begriff wurde in Kap. 8.1 erörtert. 159

160 Die Sicherheitswirtschaft wird in dieser Klassifikation nicht explizit erfasst. Im Sicherheitsforschungsprogramm stellen Informations- und Kommunikationstechnologien jedoch wichtige Themen dar. So umfasste z.b. in der ersten Förderphase der Bereich Szenarienorientierte Sicherheitsforschung - Schutz und Rettung von Menschen, Schwerpunkt Informations- und Kommunikationstechnologie u.a. die Themen Kommunikationssysteme für Einsatzleitstellen und zur Lageinformation, Mobile Endgeräte mit flexiblem Zugriff auf Lageund Einsatzdaten, Systeme zur Unterdrückung der Funkfernauslösung sowie Gemeinsame semantische Basis für Führungssysteme. In den Bereichen "Schutz von Verkehrsinfrastrukturen, Versorgungsinfrastrukturen und Sichere Warenketten wurden ebenfalls explizit Informations- und Kommunikationstechnologie-Themen adressiert. Auf dem Gebiet der Informations- und Kommunikationstechnologien haben sowohl Intellectual Property Rights als auch Normen und Standards eine hohe Bedeutung. Herausforderungen in Bezug auf geistige Eigentumsrechte können in der Normung v.a. entstehen, wenn die Implementierung des Regelwerks die Anwendung einer proprietären Technologie erfordert. Im Mittelpunkt stehen dabei essentielle Eigentumsrechte. Blind et al. (2002) nehmen eine detaillierte Untersuchung derartiger Herausforderungen vor. Dabei werden acht Themen betrachtet: eigene und fremde Patente, eigene und fremde Markenrechte, eigene und fremde Urheberrechte sowie eigene und fremde Geschäftsgeheimnisse. Probleme werden v.a. in Bezug auf Patente und Geschäftsgeheimnisse gesehen Lösungen zur Überwindung von IPR-Problemen bei der Entwicklung von Normen und Standards Lösungen individueller Teilnehmer Einführung Blind et al. (2002) ermittelten zur Überwindung von IPR-Problemen in der Normung und Standardisierung sechs Gruppen von Lösungsmöglichkeiten. Im Kontext möglicher Normungs- und Standardisierungsperspektiven der Teilnehmer des Sicherheitsforschungsprogramms erscheinen dabei entsprechend Darst. 57 vier Lösungsansätze als von Interesse. Erwerb von Lizenzen zur Nutzung der geschützten Technologie Umgehung der geschützten Technologie Beteiligung an einem Schutzrechtpool Sonstige Quelle: in Anlehnung an Blind et al. (2002) Darst. 57: Ausgewählte Strategien zum Umgang mit fremden IPR in Normung und Standardisierung Im Folgenden werden die ausgewählten Strategien zur Lösung von Problemen mit Intellectual Property Rights beschrieben. In Bezug auf den Lizenzerwerb wird dabei auch insbesondere die Spezialform der Kreuzlizensierung dargestellt. Sie greift sowohl Probleme mit eigenen als auch mit fremden Eigentumsrechten auf. Anschließend wird eine Bewertung vorgenommen. 160

161 Lizensierung Die Lizensierung wurde in der Studie von Blind et al. (2002) als eine der beiden wichtigsten Möglichkeiten zur Lösung von Problemen mit externen IPR identifiziert. Die Inanspruchnahme von Lizenzen setzt die Kenntnis über relevante Rechte, die prinzipielle Zustimmung des Inhabers sowie einen Konsens über die Preisgestaltung voraus. Ferner ist eine Unterscheidung zwischen den Organisationen, die ihre Patente während des Normungs- bzw. Standardsetzungsprozesses offenlegen, und denjenigen, die bis zu dessen Beendigung abwarten, erforderlich. Insofern signalisiert wird, dass Nutzungsrechte nur gegen unangemessen hohe Gebühren zur Verfügung gestellt werden, ist i.d.r. eine Neuentwicklung des Regelwerks erforderlich. Wurde es bereits implementiert, können dennoch hohe Wechselkosten entstehen. In Kap werden neben der Lizenzvergabe unter s.g. RAND- bzw. FRAND- Bedingungen Lizenzkonzepte vorgestellt, welche kostenfreie Nutzungsrechte oder eine Gebührendeckelung beinhalten. Kreuzlizensierung Neben dem regulären Lizensierungsmodell, bei dem gegen einen finanziellen Ausgleich Lizenzen für ein oder mehrere Patente erworben werden, existieren weitere Mechanismen zur Nutzung fremder IPR. Wichtige Ausprägungen sind dabei die Kreuzlizensierung und Non- Assertion Covenants (NACs), auf die kurz in Kap eingegangen wird. Die Kreuzlizensierung beschreibt ein Übereinkommen von zwei Firmen, das jedem beteiligten Unternehmen das Recht zur IPR-Nutzung des jeweiligen Partners gestattet. Tendenziell sind Kreuzlizenzen eher im Kontext von Konsortialstandards verbreitet. Schutzrechtpools Auch Schutzrechtpools bieten die Möglichkeit, Konflikte von IPR-Inhabern in einem Normungs- oder Standardisierungsgremium und in Interaktionen mit den Anwendern der Regelwerke zu lösen. Fräsdorf (2009:304) definiert Schutzrechtpools als Organisationsformen, bei denen sich einzelne Schutzrechtsinhaber zusammenschließen, um ihre Schutzrechte gemeinsam als Paket zu lizensieren. Schutzrechtpools für Patente, so genannte Patentpools, werden im Folgenden näher betrachtet. Neben der Reduktion von Risiken in Bezug auf einzelne IPR, beugen sie auch komplexen IPR-Kontexten mit möglichen Konfliktpotentialen in einem konkreten Normungs- bzw. Standardisierungsumfeld, s.g. Patent-Dickichts, vor (vgl. Shapiro, 2001:119). Bei einem Einsatz im Normungs- bzw. Standardisierungskontext sollten Patentpools nur essentielle Patente beinhalten. Vor ihrer Planung ist eine Analyse des Wettbewerbsumfelds wichtig. Zur Implementierung von Patentpools in Übereinstimmung mit dem Wettbewerbsrecht ist eine geeignete Implementierung von Gestaltungsmechanismen erforderlich. Bekkers (2001:252) hat hierfür zehn Empfehlungen formuliert: 161

162 Ausschließlicher Einbezug essentieller Patente Sicherstellung, dass die gepoolten Patente gültig und noch nicht ausgelaufen sind Falls nötig, Zulassung eines unabhängigen Schlichters, der auch die Gültigkeit und die Laufzeiten der Patente prüft Implementierung eines Prozesses, um Patente bei einem Auslaufen, bei einem ungültig Werden, bei einem Rückzug des Patentinhabers aus dem Pool oder bei Verlust der Essential -Eigenschaft aus dem Pool zu entfernen (vgl. auch Fräßdorf, 2009) Ausschließliche Aufnahme von Patenten, die bei Vertragsschluss bereits gewährt sind Sicherstellung, dass alle Patente des Pools separat von ihren Haltern unter FRAND- Bedingungen gewährt werden, auch für andere Zwecke als des normativen Regelwerks, insofern der Pool darauf ausgerichtet ist Sicherstellung, dass die Lizenzen des Pools für Dritte, die daran interessiert sind, zu FRAND 40 -Bedingungen verfügbar sind Nutzung einer Bestimmung um sicherzustellen, dass alle Lizenznehmer eine identische Lizenzgebühr zahlen Sicherstellung, dass die Lizenznehmer frei sind, Produkte zu produzieren, die nicht auf dem Standard aufbauen, für den der Pool etabliert wurde Einbezug einer s.g. Grantback-Verpflichtung, die Lizenzgeber, die selbst essentielle Lizenzen besitzen, aber nicht am Pool teilhaben, verpflichten, diese Lizenz unter FRAND-Bedingungen an alle Lizenzgeber und -nehmer des Pools zu lizensieren. Entsprechend Blind et al. (2002) sind essentielle Patente nicht substituierbar. Auf dieser Grundlage umfasst ein geeigneter Pool ausschließlich komplementäre Patente und reduziert dadurch das Risiko als wettbewerbshemmend eingestuft zu werden. Es ist wichtig, dass alle Teilnehmer eines Pools alle essentiellen Patente aus ihrem Besitz einbringen. Für den Fall, dass in der Zukunft ein weiteres derartiges Patent gewährt wird, sollte das Vertragswerk eine Einbringung in den Pool und eine Lizensierung an alle interessierten Kreise unter FRAND-Bedingungen vorschreiben. Ebenso bedeutend ist es, dass der Pool eine signifikante Anzahl essentieller Patente enthält. Andernfalls sind die Vorteile, z.b. aus Transaktionskostenreduktion, gering (vgl. Bekkers, 2001). Für eine geeignete Organisation und Arbeit eines Patenpools hat Bekkers (2001) sechs weitere Punkte definiert: Wie wird über Wesentlichkeit entschieden? Wie werden Teilnehmer gewonnen, die ihren Anteil an der kumulativen Gebühr als zu gering ansehen? Wie werden die Gebühreneinnahmen unter den Teilnehmern aufgeteilt? Wenn neue wesentliche Patente gefunden werden: wie werden sie in den Pool integriert und wie beeinflusst dies die Gesamtgebühr? Wie wird mit nationalen Unterschieden umgegangen? Nicht jedes Patent gilt für jedes Land. Es sind Patentpakete zu entwickeln, die in den jeweiligen Rechtssystemen Gültigkeit haben. 40 Vgl. Kap

163 Wie geht man mit Patenten um, die nur für optionale Features einer Norm oder eines Standards essentiell sind? In Bezug auf die Aufteilung der Lizenzeinnahmen differieren die Interessen der Teilnehmer aufgrund der zahlreichen Optionen erwartungsgemäß. Die Auswahl einer allgemeinen, von allen Teilnehmern akzeptierten Rechnung ist dabei i.d.r. kompliziert. Auch für die Verwaltung der Einnahmen besteht ein Bedarf nach geeigneten Lösungen. Handlungsmöglichkeiten werden in der Langform dieses Buches diskutiert. Bewertung der Lösungsmöglichkeiten Blind et al. (2002) erfragten in einer Erhebung, welche Bedeutung den sechs Lösungsoptionen zur Überwindung von IPR-Problemen bei der Normung und Standardisierung entsprechend Darst. 57 beigemessen wird. Die größte Bedeutung wurde von jeweils über 35% der Befragten dem Lizenzerwerb und der Umgehung geschützter Technologien beigemessen, gefolgt von der Beteiligung an einem Patentpool. Ein wichtiger weiterer Beitrag zur Lösung von IPR-Problemen liegt in der Auswahl bzw. Gewinnung geeigneter Gremienmitglieder. Eingangs wurden allgemeine Empfehlungen für Normungs- und Standardisierungsvorhaben zusammengestellt, darunter auch die adäquate Wahl der Kooperationspartner. Um IPR-Probleme zu umgehen, ist dabei insbesondere die Einbindung der Inhaber der erforderlichen Eigentumsrechte in das relevante Gremium von Bedeutung Lösungen von Normungsorganisationen und Arbeitsgruppen und Spezifika im Security-Kontext Die Prinzipien RAND und FRAND Normungsorganisationen verfügen i.d.r. über spezielle Regelwerke für den Einbezug geistiger Eigentumsrechte, insbesondere von Patenten in Normen und Standards. Eine besondere Bedeutung haben dabei die beiden Regelungen RAND und FRAND. Sie besagen, dass ein in Normen oder Standards enthaltenes Patent unter "reasonable and nondiscriminatory" (RAND) Lizenzbedingungen oder unter "fair, reasonable and nondiscriminatory terms" (FRAND) zur Verfügung gestellt werden muss. FRAND wird vorrangig in Europa genutzt, während RAND v.a. in den USA Bedeutung hat. Die verbreitungsfördernde Wirkung der Normung und Standardisierung kann dabei die geringeren Stücklizenzen ausgleichen und zudem zu wesentlich höheren Rückflüssen führen. Alternativ ist eine gebührenfreie Lizenzvergabe möglich. Dies kann für einen Patenthalter z.b. dann attraktiv sein, wenn er komplementäre eige- 163

164 ne Lösungen fördern möchte, die durchaus auf weiteren Patenten basieren können. Nachstehend werden die Regelungen ausgewählter Normungsorganisationen dargestellt. Grundsätzliche Empfehlungen der Europäischen Kommission Die Europäische Kommission hat eine Reihe von Empfehlungen für Normungs- und Standardisierungsprozesse, die geistige Eigentumsrechte enthalten, entwickelt. Ein wichtiges Dokument hat dabei den Titel 'Intellectual property rights and standardisation' - COM (92) 445 (Europäische Kommission, 1992). Nachstehend werden die aus Autorensicht wichtigsten aufgegriffen. Kein Teil eines Produkts oder Prozesses, das Intellectual Property Rights unterworfen ist, sollte als Norm/Standard verabschiedet werden, bevor der Rechteinhaber der Nutzung der Intellectual Property Rights für diesen Zweck zugestimmt hat (Europäische Kommission, 1992:13). Liegt der zu normenden/standardisierenden Technologie proprietäre IPR zugrunde und ist dies den Regelwerksentwicklern bekannt, so ist so schnell wie möglich ein Übereinkommen mit dem Rechteinhaber zu ersuchen, so dass bei einer Lizenzverweigerung rasch alternative Möglichkeiten analysiert werden können. Es ist hilfreich, für die Rückmeldung des Rechteinhabers eine zeitliche Frist zu setzen (Europäische Kommission, 1992:14). Wenn die Frist verstrichen ist und kein Übereinkommen erreicht werden konnte, ist die Arbeit an der erstgeplanten Lösung einzustellen und nach Alternativen zu suchen. Es ist nicht empfehlenswert, die Arbeit ohne Ersuchen oder Erlangen einer Zustimmung fortzusetzen (Europäische Kommission, 1992:14). Wenn ein Übereinkommen zwischen dem Rechteinhaber und der Normungs- oder Standardisierungsorganisation erreicht wurde, müssen die Lizenzbedingungen auf dem FRAND-Prinzip basieren (vgl. Abschnitt Regelungen ausgewählter Normungsorganisationen ), wobei es nicht möglich ist, dieses Merkmal in einer allgemeinen Empfehlung konkreter zu beschreiben. Grundsätzlich sollten die Gebühren die Entwicklungskosten des Rechteinhabers abdecken und sich an normalen frei verhandelten kommerziellen Lizenzgebühren orientieren (Europäische Kommission, 1992:14). Der Rechteinhaber hat die Freiheit, eine Lizenzvergabe abzulehnen, mit Ausnahme von Gründen der nationalen Sicherheit oder eines übermäßigen öffentlichen Interesses. Die Lizensierungsverweigerung des Rechteinhabers hat jedoch die Konsequenz, dass wahrscheinlich eine alternative technische Lösung als Standard adoptiert wird und die Position des Rechteinhabers schwächt (Europäische Kommission, 1992:17). Für Vorhaben im Kontext des zivilen Sicherheitsforschungsprogramms ergeben sich bezugnehmend auf Situationen der nationalen Sicherheit spezielle Rahmenbedingungen. Für die IEC und die ISO sowie mehrere weitere adoptierende Normungsorganisationen werden Regelungen zum Umgang mit Intellectual Property in den ISO/IEC Directives, Part 1 Procedures for the technical work in Kap und definiert. Eine angemessene Lizenzgebühr eines patentierten Objekts wird häufig als der Betrag definiert, den ein Nutzungsinteressent zu bezahlen bereit wäre und der eine Nutzung mit 164

165 einem angemessenen Gewinn gewährleistet. Eine Ermittlungsmethode wird dabei nicht festgelegt. Epstein/Marcus verweisen vielmehr auf das folgende Zitat des US Codes (USC), 284: Upon finding for the claimant the court shall award the claimant damages adequate to compensate for the infringement, but in no event less than a reasonable royalty for the use made of the invention by the infringer, together with interest and costs as fixed by the court. Dem Zitat zufolge soll der Patentinhaber angemessen entschädigt werden. In keinem Fall sollte dieser Betrag geringer sein als eine angemessene Lizenzgebühr für die Nutzung der Erfindung des Geschädigten zuzüglich der Zinsen und der Kosten, die durch das Gericht festgesetzt werden (vgl. USC 284 sowie Epstein/Marcus, 2007:557). Regelungen des Deutschen Instituts für Normung Das Deutsche Institut für Normung regelt Themen geistigen Eigentums in der DIN 820. Die DIN 820-1: enthält dabei insbesondere vier Regelungen: Ein Geltendmachen von Rechten Einzelner an den Ergebnissen der Normungsarbeit ist (ausgeschlossen). Jeder, der sich an der Normungsarbeit beteiligt, verpflichtet sich zur Einräumung der Urhebernutzungsrechte an den schutzfähigen Ergebnissen an das DIN ( 6.2). Normen sollten sich nicht auf Gegenstände erstrecken, auf denen Schutzrechte ruhen. Ist es in Ausnahmefällen nicht vermeidbar, dass bestehende Schutzrechte von einer Norm berührt werden, so ist mit den Schutzrechtsinhabern eine Vereinbarung zu treffen, die mit dem Allgemeininteresse in Einklang steht, z.b. (durch die) Vergabe von Lizenzen unter angemessenen, nicht diskriminierenden Bedingungen ( ) 41 ( 7.9). Benennungen, die markenrechtlich geschützt sind oder deren Aufnahme aus anderen Gründen wettbewerbsrechtlich beanstandet werden kann, dürfen nur in begründeten Ausnahmefällen in Normen aufgenommen werden ( 7.10). DIN-Normen stehen jedem zur Anwendung frei (vgl. 8.1). In Bezug auf Schutzrechte ist insbesondere die folgende Forderung bedeutsam: Normen sollten sich nicht auf Gegenstände erstrecken, auf denen Schutzrechte ruhen ( 6.2). Dennoch zeigt der Wortlaut des zitierten 7.9, dass eine Umsetzbarkeit nicht grundsätzlich gegeben ist. Die Norm enthält daher spezielle Regelungen für Ausnahmefälle, die insbesondere eine Lizenzvergabe unter RAND-Bedingungen oder eine kostenfreie Überlassung vorsehen. 41 Vgl. hierzu den vorausgegangenen Abschnitt zu RAND und FRAND. 165

166 Die DIN 820-2: beschreibt darüber hinaus im Anhang F (normativ) Patentrechte drei weitere Regelungen. Sie beinhalten eine Informationspflicht, falls Kenntnis über die Existenz von Patenten vorliegt, sowie spezielle Formulierungsvorgaben für Fälle, in denen keine Patentrechte identifiziert wurden (F.2) und für Situationen, in denen die Notwendigkeit einer Patentnutzung wahrscheinlich wird (F.3). Die Regelungen gemäß F.3 werden um den Hinweis ergänzt, dass der IPR-Inhaber seine Bereitschaft zugesichert hat, entweder kostenfrei oder über Lizenzen zu vernünftigen und nicht diskriminierenden Geschäftsbedingungen mit Antragstellern in der ganzen Welt zu verhandeln (DIN 820-2: ). Die entsprechende Erklärung des IPR-Inhabers wird bei der Normungsorganisation registriert. Um bei Bedarf weitere Informationen über die Eigentumsrechte zu ermöglichen, gibt das Dokument zusätzlich Auskunft über den Namen und die Adresse des IPR-Inhabers. Des Weiteren wird auf die Möglichkeit hingewiesen, dass Passagen der jeweiligen Dokumente Patentrechte berühren können, ohne dass diese vorstehend identifiziert wurden und dass die Normungsorganisation nicht für ihre Identifikation verantwortlich ist (DIN 820-2: ). In der Regel haben Patentinhaber Interesse an der Lizensierung essentieller IPR, da dieser Schritt erwartungsgemäß attraktive Umsatzquellen eröffnet. Eine Lizenzverwehrung verhindert hingegen Einnahmen und impliziert zudem mögliche Einkommensverluste, insbesondere, wenn eine alternative Technologie als Normungs- bzw. Standardisierungsgrundlage ausgewählt wird. Regelungen von CEN/CENELEC Die Patent-Policy von CEN/CENELEC wird im Dokument Guide 8 CEN-CENELEC Guidelines for Implementation of the Common IPR Policy 42 beschrieben. Das Regelwerk bezieht sich auf Patente, da die meisten IPR-Fragen der beiden Organisationen nach eigenen Angaben derartige Rechte betreffen. Gleichzeitig wird darauf hingewiesen, dass dieselben Prinzipien für alle anderen gesetzlich festgeschriebenen Eigentumsrechte auf Basis von Erfindungen gelten. Die beiden Organisationen distanzieren sich jedoch ausdrücklich von der Aufgabe, die Relevanz eines Patents für Nomen oder Standards zu beurteilen, sowie von der Beteiligung an Lizenzvereinbarungen. Ebenso wie der Patent Policy Guide von ITU-T, ITU-R, ISO und IEC mit entsprechendem Formblatt, der im folgenden Abschnitt näher erläutert wird, weisen CEN und CENELEC darauf hin, dass trotz einer Vereinbarung zur kostenlosen Lizenzvergabe Anforderungen an die Implementierenden definiert werden können. In Übereinstimmung mit den internationalen Regelwerken wird auch hier jeder an der Arbeit der Organisation Teilnehmende aufgefordert, von Beginn an seine Aufmerksamkeit auf jedes bekannte Patent und jede Offenlegungsanmeldung, sowohl in der eigenen als auch in anderen Organisationen, zu richten. Ungeachtet dessen, ob ein Patent vor oder nach der Genehmigung eines Regelwerksentwurfs identifiziert wird, und ob der Halter zu einer kostenlosen Überlassung oder einer Bereitstellung unter RAND-Bedingungen bereit ist, sind die Gremien der beiden Normungsorganisationen angewiesen, Dokumente aus ihrem Verantwortungsbereich unverzüglich zu überarbeiten, 42 Der ausführliche Titel lautet: Guide 8 CEN-CENELEC Guidelines for Implementation of the Common IPR Policy (Patents and other statutory intellectual property rights based on inventions). 166

167 wenn bekannt wird, dass sie von Patenten tangiert werden. Mit diesem Vorgehen soll potentiellen Konflikten vorgebeugt werden. Um die Entwicklung von Normen und Standards zu fördern, soll jede Organisation eine Datenbank mit Patentinformationen und den Inhalten der Deklarierungsformblätter bereitstellen. Für die Datenbank wird kein Anspruch auf Vollständigkeit erhoben. Bezweckt wird vielmehr eine Warnung der Nutzer, um ihnen eine frühzeitige Informationsgewinnung über mögliche Konsequenzen zu ermöglichen. Regelungen von ITU-T, ITU-R, ISO und IEC Die vier Akteure ITU-T, ITU-R, ISO und IEC haben eine gemeinsame Patent-Policy definiert. Darin wird beschrieben, dass ein Patent, welches vollständig oder anteilig in eine Recommendation oder ein Deliverable eingebunden ist, für jeden ohne unzulässige Beschränkungen zugänglich zu machen ist. Detaillierte Vereinbarungen, die aus dem Patentbesitz resultieren (Lizensierung, Gebühren, etc.), werden dabei den betreffenden Parteien überlassen. Der Code of Practice enthält zusammengefasst folgende Regelungen (vgl. ISO/IEC, 2009a): 1. Jede Partei, die sich an der Arbeit der ITU, ISO oder IEC beteiligt, sollte die Leitung der betreffenden Normungsorganisation über jegliche bekannte Patente oder Offenlegungsanmeldungen, sowohl in der eigenen als auch in anderen Organisationen, informieren. 2. Wenn eine Recommendation oder ein Deliverable entwickelt wird und derartige Informationen gegeben werden, können drei Situationen auftreten: 2.1 Der Patenthalter ist willig, einer kostenfreien Lizensierung zuzustimmen. In derartigen Fällen werden die Verhandlungen der betreffenden Parteien außerhalb der relevanten Standardisierungsorganisationen geführt. 2.2 Der Patenhalter ist willig, Lizenzvereinbarungen unter nichtdiskriminierenden Bedingungen auf Basis von reasonable terms and conditions (RAND) einzugehen. Auch hier werden die Verhandlungen der betreffenden Parteien außerhalb der relevanten Normungsorganisationen geführt. 2.3 Der Patenhalter ist nicht gewillt, die betreffenden Eigentumsrechte nach dem Bestimmungen von 2.1 oder 2.2 zur Verfügung zu stellen. In derartigen Fällen soll die Recommendation bzw. das Deliverable keine Vorschriften enthalten, die von diesem Patent abhängig sind. In allen drei Fällen muss der Patenthalter eine schriftliche Erklärung auf Grundlage des Formblatts "Patent Statement and Licensing Declaration" an die betreffende Organisation senden. Dabei ist anzugeben, ob er plant, die geistigen Eigentumsrechte allen Anwendern a) auf Grundlage einer kostenfreien Lizenz zur Verfügung zu stellen, b) zu RAND-Bedingungen zur Verfügung zu stellen oder c) keine Lizenz zu vergeben. 167

168 Im letztgenannten Fall sind Angaben über die betroffenen Teile des Regelwerks sowie eine Beschreibung der Patentansprüche, die durch das Dokument tangiert werden, erforderlich (vgl. ISO/IEC, 2009b). Anschließend ist das Dokument so zu überarbeiten, dass eine Patentunabhängigkeit sichergestellt ist. Exkurs: Weitere Regelungen für die Nutzung von Eigentumsrechten In der Fachliteratur werden, zum Teil alternativ zu RAND, FRAND und der gebührenfreien Lizenzvergabe, vier weitere mögliche Regelungen zur Nutzung von Eigentumsrechten erörtert: Lizensierung mit Gebührendeckelung (Royalty Caps), Non-Assertion Covenants (NACs), IPR-Landscaping sowie Ex-ante Offenlegung der Lizenzbedingungen. Wie zuvor beschrieben, finden (F)RAND-Bedingungen in den meisten für die Teilnehmer des Sicherheitsforschungsprogramms relevanten Normungsorganisationen Anwendung. Möglichkeiten zur kostenfreien Lizensierung sind dabei ebenfalls gegeben (vgl. z.b. ISO/IEC, 2009a). NACs haben in gleicher Weise eine gebührenfreie Lizensierung zum Inhalt. In Bezug auf Gebührendeckelungen kann West (2009) bisher auf keine Erfolgsbeispiele verweisen. Ein IPR-Landscaping bzw. eine Ex-ante Offenlegung der Lizenzbedingungen ist z.b. bei der europäischen Normungsorganisation ETSI von Bedeutung. Daher wird diese Option nachstehend dargestellt. Die weiteren Regelungsmöglichkeiten werden in der Langform dieses Werks erörtert. Bekkers/West definieren ein Patent- bzw. IPR-Landscaping als identifying possible IPR prior to standards selection (Bekkers/West, 2009:24). Es beinhaltet gezielte Aktivitäten zur Identifikation von geistigen Eigentumsrechten, welche Bezüge zu einem vorgeschlagenen technologischen Ansatz aufweisen. Die Auswahlentscheidung für eine Technologie wird dabei aufgrund der Anzahl der wesentlichen Patente und der verfügbaren Informationen über ihre Nutzungsbedingungen getroffen. Normalerweise wird ein IPR-Landscaping nicht von oder im Auftrag von Normungsorganisationen durchgeführt, da sie nicht für Patentrecherchen verantwortlich sind. Ausnahmen sind jedoch möglich (vgl. Bekkers/West, 2009:24). Wird das IPR-Landscaping mit der Forderung zur Offenlegung von Lizenzbedingungen verbunden, wird der Ansatz als Ex-ante Disclosure, zu Deutsch Ex-ante Offenlegung, bezeichnet. Sie stellt gegenüber dem IPR-Landscaping eine Weiterentwicklung dar. Die Organisationen bzw. Akteure, die als Inhaber essentieller IPR identifiziert wurden, werden dabei gebeten, ihre Lizenzbedingungen, insbesondere die Lizenzgebühren, zu kommunizieren (vgl. Bekkers/West, 2009). ETSI definiert Ex-ante Disclosures wie folgt: Ex ante disclosure of licensing terms is a mechanism about committing to licensing terms before the protected technology will be selected as part of a standard or in other words a mechanism about submitting anticipated licensing terms for a given standard draft before the contribution is locked-in as a standard (ETSI, 2010). 168

169 Ex-ante-Lizenzierungsverfahren werden auch als "Patentauktionen" bezeichnet. Damit wird Verfahrenskonzept beschrieben, in dem diejenigen Technologien ausgewählt werden, welche das beste Preis-Leistungs-Verhältnis aufweisen. Bei der konkreten Anwendung durch ETSI werden die Patent-Statements durch das Sekretariat der Normungsorganisation gesammelt und auf ihrer Website veröffentlicht. Allerdings erscheint die Option kaum populär zu sein. Beispielsweise konnte bei einer stichprobenartigen Prüfung am 4. Oktober 2012 keine Deklaration auf ETSIs Webseite gefunden werden. Vgl. weiterführend: Für FuE-intensive Unternehmen sind Ex-ante-Offenlegungen i.d.r. nicht attraktiv. Dabei wird argumentiert, dass Ungewissheiten wie die Entwicklung des Marktes der Möglichkeit konkreter Preiszusicherungen in der Anfangsphase einer Normung oder Standardentwicklung entgegenwirken (vgl. Bekkers/West, 2009). Ergänzende Lösungen seitens der Arbeitsgruppen Sorgsame Suche nach Eigentumsrechten, die Überschneidungen mit den vorgesehenen Regelwerken haben könnten Wie zuvor beschrieben, sind Probleme mit geistigen Eigentumsrechten v.a. mit Patenten verbunden. Für die Suche nach relevanten Patenten stehen mehrere Datenbanken zur Verfügung. Beispielhaft wurde hierfür in Kap. 7 die Datenbank Espacenet beschrieben. Bei der Durchführung von Recherchen ist dabei zu berücksichtigen, dass sich die Klassifikation von Normen und Standards (ICS) inhaltlich von der internationalen Patentklassifikation (IPC) unterscheidet. Pohlmann hat am Lehrstuhl für Innovationsökonomie der TU Berlin für 583 internationale Normungs- und Standardisierungsgremien im Bereich ICT eine Zuordnung zu relevanten Patentklassen vorgenommen. Weitere Informationen sind auf Anfrage über erhältlich. Exakte Prüfung potentieller Ansprüche Arbeitsgruppen einer Normungs- oder Standardisierungsorganisation können mit vielfältigen Forderungen konfrontiert werden, wobei es wichtig ist, potentielle Ansprüche exakt zu prüfen. Brim (2004) gibt hierzu weiterführende Beispiele. Berücksichtigung der Patentlaufzeit Die Lebenszyklusphase der relevanten Intellectual Property Rights bestimmt die Attraktivität einer Technologie zur Einbeziehung in eine Norm oder einen Standard. Ein Beispiel hierfür bot die Privacy-Enhanced-Mail-Arbeitsgruppe der IETF (PEM), die sich mit Verschlüsselungstechnologien befasste, vgl. Brim, 2004). Das Beispiel zeigt, dass es von Bedeutung ist, die Restlaufzeit von Patenten bei den Normungs- und Standardisierungsentscheidungen mit einzubeziehen. 169

170 Vorgehen bei verspäteter Offenlegung oder Geheimhaltung Verspätete oder unterlassene Offenlegungen zählen zu den häufigsten IPR-Problemen der Normung und Standardisierung. Dabei ist zu regeln, in welchem Umfang ein Rechteinhaber für diesen Umstand zur Verantwortung gezogen wird. Wenn eine angemessene Bekanntmachung der Normungs- bzw. Standardisierungsinitiative erfolgt ist, tragen die Gremienmitglieder selbst die Verantwortung, in ihrer jeweiligen Organisation eine Prüfung auf relevante Patente vorzunehmen. Häufig besteht in diesem Bereich Unkenntnis, deren sich die Teilnehmer nicht bewusst sind. Insbesondere Unternehmen mit umfangreichen IPR-Portfolios ist dabei ausreichend Zeit für die Prüfung auf relevante Eigentumsrechte einzuräumen. Wenn eine Normungs- oder Standardisierungsorganisation die Verantwortung übernommen hat, nach möglichen Patenten auf einem relevanten Gebiet zu recherchieren, dann liegt die Verantwortung zur transparenten Darstellung der relevanten Rechte nicht bei ihren Inhabern allein. Insofern eine Normungs- oder Standardisierungsorganisation ihre Arbeit auf einer technischen Lösung aufbaut, die sich nicht im Besitz eines Teilnehmers befindet und keine Maßnahmen zur Identifikation von IPR-Haltern und zur Erlangung einer Nutzungsgenehmigung vornimmt, dann liegt laut Patentrecht eine Rechtsverletzung vor. Ein nachträglicher Autorisierungsersuch legitimiert diese Verletzung nicht. Daher müssen angemessene Aufwendungen nachgewiesen werden, die darauf ausgerichtet sind, Rechte zu identifizieren und eine Verständigung mit dem Inhaber zu erzielen. Patent Advisory Groups Bei der Beantwortung von Frage 14 der Umfrage im Sicherheitsforschungsprogramm (InfraNorm, 2011) wurden u.a. Schlichtungsmechanismen im Normungs- bzw. Standardisierungskontext thematisiert. Zur Lösung von Patentkonflikten nutzt das World Wide Web Consortium (W3C) Patent Advisory Groups (PAG). Diese werden zur Konfliktlösung gebildet, wenn ein beteiligter Akteur zwar ein wesentliches Patent offenlegt, aber keine Lizenzkonditionen angibt. Eine PAG ist eine Ad-hoc-Gruppe, welche sich eigens zur Lösungsentwicklung für den speziellen Konflikt konstituiert. Sie wird durch zwei Bedingungen veranlasst (vgl. W3C, 2002): (1) Unvollständige Patentoffenlegung eines Arbeitsgruppenteilnehmers (2) Entdeckung wahrscheinlich wesentlicher, aber nicht gebührenfreier Patentansprüche Das Arbeitsergebnis einer PAG kann drei Ausprägungen haben: (1) Problembehebung, worauf die Arbeitsgruppe ihre Arbeit fortsetzen kann (2) Beschluss, dass das geplante Regelwerk gemäß der RAND-Bedingungen zu angemessenen, nicht-diskriminierenden Konditionen zur Verfügung gestellt werden soll (3) Empfehlung, die Arbeitsgruppe aufzulösen. In jedem Fall muss die PAG jedoch die Gründe in einem W3C-Dokument darlegen und mit dem nächsten Entwurf des normativen Dokuments veröffentlichen. 170

171 Antizipatorische Normung als besondere Chance der entwicklungsbegleitenden Normung Sherif (2001) definiert anticipatory standards als those standards that must be created before widespread acceptance of devices or services. Antizipatorische Normen und Standards bieten insbesondere zwei Vorteile: (1.) Beitrag zur proaktiven Etablierung des Stands der Technik (2.) Möglichkeit zur Konfliktreduktion bei der Normung bzw. Standardsetzung, da kein Handlungsdruck aufgrund einer unmittelbar bevorstehenden Kommerzialisierung besteht. Die proaktive Etablierung reduziert Anreize zur opportunistischen Entwicklung von Patenten, die auf einseitige Vorteile aus Normungs- bzw. Standardsetzungsprozessen ausgerichtet sind. Im Rahmen der entwicklungsbegleitenden Normung sind besondere Möglichkeiten zur antizipatorischen Standardsetzung gegeben Zusammenfassung: Verantwortungszuweisung seitens der Europäischen Union Zum geeigneten Umgang mit geistigen Eigentumsrechten hat die Europäische Kommission für Standardentwickler zusammenfassend neun Rechte und Pflichten definiert (Europäische Kommission, 1992:32f): Europäische Normungsorganisationen sollten sicherstellen dass: 1. alle Personen, die europäische Normen oder Standards nutzen wollen, zu diesen Regelwerken Zugang haben 2. die Regelwerke zu fairen, angemessenen und nicht-diskriminierenden Bedingungen verfügbar gemacht werden, unabhängig davon, ob der Nutzer an einer Normungsorganisation beteiligt ist oder nicht 3. Nutzer fähig sind, die Regelwerke in Übereinstimmung mit anderen europäischen Regelwerken bei der Produktion zu verwenden und Güter, auf denen ihre Produkte aufbauen, aus Drittländern zu importieren 4. bestmögliche Anstrengungen unternommen wurden, um IPR-Halter jeglicher Art durch Recherche oder Publikation adäquater Informationen an geeigneten Publikationsorten zu identifizieren, bevor die Normung bzw. Standardisierung vorgenommen wird 5. die Arbeit an einer bestimmten Lösung nur weitergeführt wird, wenn bekannte IPR zur Nutzung der Norm oder des Standards lizenziert werden kann 6. den IPR-Haltern faire Bedingungen geboten werden bezüglich der Zeitvorgaben zur Identifikation von IPR und insbesondere zur Nutzungszustimmung oder -ablehnung sowie in Bezug auf die Festlegung der Arbitragemechanismen wie z.b. von Lizenzgebühren. Inhaber geistiger Eigentumsrechte sollten: 1. bestmögliche Anstrengungen unternehmen, um zeitgerecht jegliche IPR zu identifizieren, die ihrer Meinung nach für einen sich in der Entwicklung befindlichen Stan- 171

172 dard relevant sein könnten und die Nutzungszustimmung oder -ablehnung unverzüglich vornehmen 2. faire, angemessene und nicht-diskriminierende finanzielle oder nicht-finanzielle Bedingungen zur Lizensierung der IPR bieten 3. Vereinbarungen zum Einbezug von IPR in einen Standard als unwiderruflich betrachten, mit Ausnahme von außergewöhnlichen Umständen, die einen Rückzug einer Lizenz nach der Adoption des Standards rechtfertigen Spezielle Probleme mit Eigentumsrechten von Teilnehmern des Sicherheitsforschungsprogramms und Lösungen Um eine effiziente Ergebnisverwertung durch Normung und Standardisierung innerhalb von Forschungskonsortien sicherzustellen, sollten bereits bei der Projektplanung und -beantragung sowie bei der Gestaltung des Konsortialvertrags Normungs- und Standardisierungsaspekte berücksichtigt werden. Im Rahmen von InfraNorm wurden entsprechend dem folgenden Kap. 9 mehrere Projekte durch Fallstudien begleitet. Dabei zeigten sich insbesondere zwei Probleme im Kontext von Intellectual Property: Die Verwertung von gemeinsamen Projektergebnissen durch Normung und Standardisierung Know-how externer Partner, die es nicht in die Normung oder Standardisierung einbringen möchten Das Problem der Ergebnisverwertung durch Normung und Standardisierung resultierte insbesondere aus ungünstigen Abschnitten im Konsortialvertrag des zugrundeliegenden Forschungsprojekts. Darin war vermerkt, dass die Verwertung von gemeinsamen Ergebnissen nur erfolgen könne, wenn alle Partner zustimmen. Ein Partner war gegen eine mögliche Spezifikation und es gelang ihm aufgrund des Vertragswerks erfolgreich, ein entsprechendes Vorhaben zu verhindern. In einem anderen Fall war ein möglicherweise wichtiger potentieller Partner nicht bereit, an der Standardisierung mitzuwirken. Daher war sein Wissen für das Gremium nicht nutzbar. Glücklicherweise konnte es anderweitig bereitgestellt werden. Es ist von Bedeutung, bereits bei der Antragstellung von Verbundprojekten Normungs- und Standardisierungsaspekte adäquat zu berücksichtigen. In Kap. 5 wurde hierzu ein geeigneter Ablaufplan dargestellt. Es wird empfohlen, geeignete, normungsfördernde Formulierungen in die Vertragswerke aufzunehmen. Die Nutzung der folgenden Formulierung wird als günstig erachtet: Die Verwertung von Ergebnissen durch Normung und Standardisierung bedarf nicht der Zustimmung aller Projektpartner. 172

173 8.5. Ausblick: Normungs- und Standardisierungsstrategien für Patentinhaber des Sicherheitsforschungsprogramms In Kap wurden patenbezogene Aspekte des Sicherheitsforschungsprogramms im Kontext der Normung und Standardisierung dargestellt. Das in Kap. 4.3 erwähnte MP 3 -Format gilt technologie- und themenübergreifend als ein Paradebeispiel für die Integration von Patenten eines Forschungsinstituts in weltweit verbreitete Normen und Standards. Um Patentierungs- und Normungs- bzw. Standardisierungsstrategien vor dem zuvor skizzierten Hintergrund erfolgreich kombinieren zu können, müssen mehrere strategische Fragen beantwortet werden, die im Folgenden dargestellt werden 43. Aus Vereinfachungsgründen wird dabei der Fall betrachtet, dass ein Patent als mögliche Grundlage von Lizenzvergaben gilt, d.h. eigene Produktionsaktivitäten auf Grundlage des Patents werden nicht betrachtet. Hierdurch wird berücksichtigt, dass viele teilnehmende Organisationen des Sicherheitsforschungsprogramms selbst keine Produktionsaktivitäten vornehmen. Zuerst stellt sich die Frage, ob das betrachtete Forschungsergebnis grundsätzlich patentierbar ist. Wenn diese Frage mit Ja beantwortet werden kann, ist in einem zweiten Schritt zu fragen, ob die Einrichtung eine Patentanmeldung anvisieren möchte. Bei den Umsetzungsüberlegungen sind die hiermit verbundenen, teilweise erheblichen Kosten zu berücksichtigen. Zudem können der Durchführung anderweitige politische Erwägungen entgegenstehen. Wenn die zweite Frage daher mit Nein beantwortet wird, können die Forschungsergebnisse ohne Restriktion geeigneten Normungs- bzw. Standardisierungsgremien vorgeschlagen werden. Normungsergebnisse werden als Stand der Technik gewertet. Daher wird durch die Normung hinsichtlich des Beitrags für den Stand von Wissenschaft und Technik ein ähnliches Ergebnis erzielt wie durch die Publikation der FuE-Ergebnisse in wissenschaftlichen Zeitschriften. Wenn sich eine Organisation für eine Patentanmeldung entschlossen hat und das Patent erteilt wird, sind mehrere weitere strategische Entscheidungen notwendig. Handelt es sich um ein Patent auf eine vielversprechende Technologie, die sich ohne den Beitrag der Patente Dritter von Unternehmen mit entsprechenden Entwicklungs- und Produktionskapazitäten vermarkten lässt, kann der traditionelle Weg gegangen werden. Es wird nach exklusiven oder nicht-exklusiven Lizenznehmern gesucht, ohne dass Normungs- bzw. Standardisierungsaktivitäten anvisiert werden. Gehört das Patent eher zu so genannten komplexen Technologien, dann sind für die Produktion eines innovativen Produktes auch die Patente und Technologien anderer Patentinhaber notwendig. Um diese - aus Sicht der Lizenznehmer - hohe Komplexität zu bewältigen, bietet sich die Normung bzw. Standardisierung als Koordinationsmechanismus an. Gibt es starke Konkurrenztechnologien, kann man durch eine erfolgreiche Normung bzw. Standardisierung die eigene Technologie im Vergleich zu den Konkurrenztechnologien besser positionieren. Wenn sich eine Forschungseinrichtung entschieden hat, die eigenen Patente in die Normung bzw. Standardisierung einzubringen und dies erfolgreich gelingt, stellt sich unmittelbar die Frage nach den Lizenzbedingungen. Grundsätzlich kann man die Patente unentgeltlich (gebührenfrei bzw. Royalty Free, RF) sowohl exklusiv als auch nicht exklusiv (NERF) an die 43 Dieses Teilkapitel basiert auf Blind (2010 und 2013). 173

174 Unternehmen abgeben, die die entsprechenden Normen oder Standards in ihre Produkte integrieren wollen. Eine solche Entscheidung führt nicht zu Lizenzeinnahmen, kann aber langfristig positive Effekte mit sich bringen, wenn sich die Norm bzw. der Standard erfolgreich verbreitet und es dadurch zu Imageverbesserungen kommt. Wenn es sich bei dem Regelwerk um eine Plattformnorm bzw. einen entsprechenden Standard handelt, gewinnen u. U. eigene Patente auf komplementäre Technologien stark an Wert, so dass sich auf diesem Wege die Lizenzeinnahmen realisieren lassen. Im Fall von positiven Lizenzgebühren gilt es als Obergrenze, die schon erwähnten FRAND- Lizenzierungsbedingungen zu nennen. Darst. 58 stellt die wesentlichen Entscheidungsoptionen einer Forschungseinrichtung von der Patentierung bis zur Integration patentierter Inhalte in eine Norm bzw. einen Standard in einer Übersicht zusammen. Quelle: Blind (2013) Darst. 58: Entscheidungsoptionen von wissenschaftlicher Erkenntnis über ein Patent zu einer Norm Um die angeführten Potenziale effektiv erschließen zu können, ist es wichtig, dass sich forschende Organisationen hinsichtlich der Interaktion zwischen Patentierung und Normung bzw. Standardisierung strategischer ausrichten. Es gilt nicht nur, das Engagement in der Normung bzw. Standardisierung auf das eigene Patentportfolio und die verfolgten Patentierungsstrategien auszurichten. Umgekehrt kann das Patentieren effizienter werden, wenn Erkenntnisse aus dem eigenen Normungs- und Standardisierungsengagement besser berücksichtigt werden. 174

175 9. Fallstudien im Sicherheitsforschungsprogramm 9.1. Methodik Erfolgsfaktorenforschung Die Betrachtung von Erfolgsfaktoren ist in vielen Bereichen von hohem wissenschaftlichen Interesse (siehe z.b. de Brentani, 1992, Cooper/Kleinschmidt, 1987, 1990, 1995, Ernst, 2002, Liu/Arnett, 2000). Bei der Durchführung von Projekten stellen Effizienz und Effektivität wichtige Ziele dar (siehe z.b. Kisielnicki/Sroka, 2005). Diesbezügliche Erfolgsfaktorenanalysen wurden z.b. von Boehlje/Schiek (1998), Clarke (1999) und Janecek/Hynek (2010) vorgenommen. Während Clarke (1999) Erfolg als die Effektivität eines Projekts definiert, untersuchen Boehlje/Schiek (1998) und Janecek/Hynek (2010) Faktoren, die zur Effizienz von Organisationen führen. Daher werden Erfolgsfaktoren in diesem Handbuch als eine Reihe von Merkmalen verstanden, die eine positive Auswirkung auf die Effizienz und Effektivität eines Projektes oder einer Organisation haben Fallstudienforschung Die Methodik der Fallstudienforschung wurde wegbereitend durch Eisenhardt (1989) und Yin (2003) erforscht. Eine Fallstudie (Case Study) ist eine research strategy which focuses on understanding the dynamics present within single settings (Eisenhardt, 1989:534). Case Studies gelten als besonders geeignet, wenn bei der Bearbeitung eines Forschungsthemas Wie - oder Warum -Fragen zu beantworten sind (vgl. Yin, 2003). Entsprechend Reetz (1988) können sie gleichzeitig wertvolle Lernhilfen darstellen. Die teilnehmende Beobachtung ist eine Methode der Feldforschung, die gleichzeitig Dokumentenanalyse, Interviews [ ], direkte Teilnahme und Beobachtung sowie Introspektion [kombinieren kann] (Flick, 1995:157). Kennzeichnend ist dabei, dass die Forscher direkt in das zu untersuchende soziale System gehen und dort in der natürlichen Umgebung Daten sammeln (Atteslander, 2008:88). Ein wichtiges Ziel besteht darin, Interaktionsmuster zu explorieren und für die wissenschaftliche Auswertung zu dokumentieren (Lamnek, 2005:548f). Der Ansatz gestattet es, Prozesse zu ermitteln, die andernfalls nur durch eine umständliche Kette von wiederholten Interviews oder Inhaltsanalysen zu erheben wären (Friedrichs/Lüdtke, 1973:21) Vorgehen Zur Entwicklung von Implikationen für die Teilnehmer des Sicherheitsforschungsprogramms wurden exemplarische Fallstudien über Normungs- und Standardisierungsprozesse im Bereich der zivilen Sicherheit mit Hilfe der Methodik teilnehmende Beobachtung erstellt. Als Grundlage der Arbeiten wurde eine zentrale Fragestellung formuliert: Wie können Sicherheitsforscher erfolgreich Normen und Standards entwickeln? 175

176 Es wurden drei Unterfragen abgeleitet: 1. Welche Faktoren führten zur erfolgreichen Entwicklung security-bezogener Normen und Standards? 2. Welche Herausforderungen traten hierbei auf? 3. Welche Lösungen konnten gefunden werden? Das Identifizieren von Erfolgsfaktoren setzt eine vorhergehende Analyse potentieller Probleme voraus. Hierzu diente die Umfrage InfraNorm (2011). Auf ihrer Grundlage wurden Bezug nehmend auf die unterschiedlichen Normungs- und Standardisierungsphasen die folgenden Aspekte für Erfolgsfaktorenanalysen ausgewählt: Vorhabensinitiierung: Ressourcenaufwand und benötigte Zeit, Entwicklung des Regelwerks: Konsensfindung, IPR sowie Spezialaspekte der security-spezifischen Normung und Standardisierung, Anwendung des Regelwerks: Akzeptanz in der Zielgruppe sowie Überarbeitung des Regelwerks: Weiterentwicklung des relevanten Dokuments. Als Spezialaspekte der security-spezifischen Normung oder Standardisierung wurden v.a. die Vermeidung eines Missbrauchs der Regelwerke sowie ethische und privacy-spezifische Aspekte betrachtet. Die ermittelten Lösungen wurden den beiden Erfolgsdimensionen Effizienz und Effektivität zugeordnet. Faktoren, die sich maßgeblich auf die Effizienz eines Normungs- bzw. Standardisierungsvorhabens beziehen, sind die benötigte Zeit und das Vorhandensein bzw. das Fehlen von Konflikten im Rahmen der Konsensfindung. Ressourcen, spezielle Probleme in Verbindung mit security-spezifischen Normen und Standards, die Akzeptanz des Regelwerks sowie Fragestellungen hinsichtlich ihrer Weiterentwicklung zählen hingegen zu Problemen, die die Effektivität beeinflussen. IPR-spezifische Probleme können mit beiden Dimensionen in Verbindung gebracht werden. Auf Grundlage der konkretisierten Fragestellungen wurden die drei folgenden Fallstudien im Sicherheitsforschungsprogramm erstellt. Die anschließenden Fallstudien in diesem sowie im folgenden Kapitel bieten weitere Lessons Learned sowie praktischen Detaildarstellungen der security-bezogenen Normung und Standardisierung. Die Fallstudien wurden anhand unterschiedlicher Quellen abgeleitet. Dabei handelte es sich u.a. um Businesspläne und Entwürfe der DIN SPECs sowie um Protokolle und Aufzeichnungen des prozessbegleitenden Forschers. Relevante Informationen wurden gefiltert und kategorisiert. Der Schwerpunkt lag dabei auf möglichen Lösungen für die zuvor definierten Betrachtungskategorien. Mögliche Herausforderungen der Arbeitsgruppen wurden ebenfalls identifiziert und entsprechend dokumentiert. Jede Fallstudie besteht auf dieser Grundlage aus einer Beschreibung des jeweiligen Vorhabens und einer Falldiskussion, in welcher die Erfolgsfaktorenbeschreibung im Mittelpunkt steht. Am Ende dieses Kapitels wird eine Ergebniszusammenfassung 176

177 der Studien im Sicherheitsforschungsprogramm gegeben. Im folgenden Kapitel werden weitere Beispiele ausgewählter Normungs- und Standardisierungsprojekte vorgestellt DIN SPEC für ein Datenaustauschformat in der zivilen Gefahrenabwehr Einführung Um einen Informationsaustausch zwischen unterschiedlichen Informationssystemen in der zivilen Gefahrenabwehr zu ermöglichen, werden teilweise aufwändig proprietäre Datenschnittstellen entwickelt. Der immer wieder neu entstehende Implementierungs- und Wartungsaufwand bei Produktupdates kann durch einen Kommunikationsstandard reduziert werden. Das Ziel der Entwicklung der DIN SPEC lag daher in der grundlegenden Schaffung von Interoperabilität zwischen diesen Informationssystemen. Die erstellte DIN-Spezifikation beschreibt ein Datenaustauschformat für Informationssysteme in der zivilen Gefahrenabwehr, das semantische und syntaktische Anforderungen an den Datenaustausch zur grundlegenden Schaffung von Interoperabilität umfasst. Den Kern bildet ein Format zum standardisierten Nachrichtenaustausch zwischen Informationssystemen unterschiedlicher Organisationen mit etablierten Kommunikationsbeziehungen, welches den Entwicklern jener Systeme die Entwicklung einer Datenschnittstelle ermöglicht. Über diese Schnittstelle ist ein in semantischer Hinsicht eindeutiger Datenaustausch durchführbar. Da der auszutauschende Inhalt im Konkreten vielfältig sein kann, spezifiziert das Dokument generalisierte Informationskategorien, mit denen sich ein Großteil des Informationsaustausches abbilden lässt (vgl. DIN SPEC 91287) Initiierung des Vorhabens und Kick-off-Meeting (Frühjahr 2011) Das Vorhaben basierte auf den Ergebnissen von drei Projekten des Sicherheitsforschungsprogramms. Es wurde vom Koordinator eines dieser Projekte eingeleitet und startete im Frühjahr 2011 mit der Erarbeitung des Geschäftsplans. Am Kick-off-Treffen im Juli 2011 nahmen zwei Universitätsforscher sowie vier Unternehmensvertreter teil. Die organisatorischen Prozessschritte bei der Erarbeitung der Spezifikation wurden von einem Mitarbeiter des DIN e.v. betreut. Die Mitarbeiter der Universität erkannten die strategische Bedeutung einer Spezifikation für den Datenaustausch als Verwertungsinstrument ihrer FuE-Ergebnisse. Pläne zur Nutzung der Spezifikation werden später konkreter erörtert. Sie betrafen u.a. einen Demonstrator und Referenz-Implementierungen. Die beteiligten Unternehmen sind Anbieter von Security-Lösungen. Ihre Vertreter erkannten die Notwendigkeit einer standardisierten Kommunikationslösung zur Erschließung neuer Effizienzpotentiale. Darüber hinaus wollten sie ihren Kunden die Möglichkeit eines modernen Standards anstelle einer Abhängigkeit von proprietären Lösungen bieten. Konkret brachte ein Unternehmensmitglied sein Interesse an dem Standardisierungsprojekt exemplarisch v.a. mit Unternehmenskontakten, mit der Gewinnung von Einblicken in die Ausrichtung und die 177

178 Arbeitsweisen anderer Unternehmen sowie mit der Impulsgabe in der Standardisierung in Verbindung. Die Entscheidung, eine DIN SPEC zu entwickeln hatte für das Gremium mehrere Gründe. Gemäß Kap. 3 ist ihre Entwicklung rascher realisierbar als die Erarbeitung einer DIN Norm. Der Prozess wurde auch als schneller und einfacher angesehen als die Entwicklung einer europäischen oder internationalen Spezifikation, wobei die Arbeitsgruppe für den Fall einer erfolgreichen Projektumsetzung von Anfang Interesse an einer späteren Fortsetzung der Aktivitäten auf europäischer oder internationaler Ebene äußerte. Auf Basis der drei deutschen Projekte war es leicht, Partner zu finden. Ohne die Notwendigkeit, Termine zwischen Partnern aus verschiedenen Ländern koordinieren zu müssen und durch die Vermeidung von umfangreichen Reisekosten und Sprachproblemen wurde ein schneller und effizienter Prozess erwartet. Wie in Kap. 3 gezeigt, sind maximal drei Jahre nach der Erstellung einer DIN SPEC Entscheidungen über ihre weitere Entwicklung zu treffen. Eines der Projekte, auf deren Ergebnissen die DIN SPEC basiert, nahm im Standardisierungsprozess eine Vorreiterrolle ein. Bereits bei der Erstellung des entsprechenden Projektantrags wurde die Entwicklung einer DIN SPEC vorgesehen. Somit waren die für das Vorhaben benötigten Ressourcen gut organisiert. Arbeiten zur Vorbereitung des Standardisierungsvorhabens wurden gezielt mit weiteren Arbeiten des FuE-Projekts synchronisiert. Die Bedürfnisse und Anforderungen der Zielgruppe wurden bereits in Gesprächen und Workshops erfasst, die im Rahmen der jeweiligen Forschungsprojekte stattfanden. Das Standardisierungsvorhaben begann offiziell im Frühjahr 2011 mit der Entwicklung des Businessplans, gefolgt von einem Kick-off-Treffen im Juli desselben Jahres. Darst. 59 gibt einen Überblick über die wichtigsten Merkmale des Projekts. Art der Spezifikation Initiator Grundlage Teilnehmer Laufzeit Umsetzung DIN SPEC für ein Datenaustauschformat Universität drei Projekte des Sicherheitsforschungsprogramms zwei Universitätsforscher, vier Unternehmensvertreter sechs Monate Kick-off-Meeting, drei Workshops, Abschlusstreffen, Telefonkonferenzen Darst. 59: Kontext der Erstellung des Datenaustauschformats Zur Erarbeitung der DIN SPEC wurden drei Arbeitstreffen in drei aufeinanderfolgenden Monaten sowie die anschließende Verabschiedung der Spezifikation Ende des vierten Quartals 2011 vorgesehen. Als Obmann wurde der Initiator des Vorhabens, ein Ingenieur der teilnehmenden Universität, gewählt. Der vorgestellte Geschäftsplan wurde einstimmig angenommen. 178

179 Das wichtigste Ergebnis der Initiierungsphase betraf die Fokus-Bestimmung der DIN SPEC. Hierbei wurde ein Austausch zwischen Ansprechpartnern der zivilen Gefahrenabwehr auf Grundlage einer direkten systembasierten Kommunikation angestrebt. Zur Konkretisierung der Adressaten der DIN SPEC wurde die Notwendigkeit der Erarbeitung eines gemeinsamen Verständnisses der Zielgruppe erkannt. Sie wurde daraufhin durch die folgenden Adressatenkreise konkretisiert: Nutzer von Leitstellen sowie entsprechende Softwarehersteller und Implementierer. Um die Komplexität der Aufgabenstellung zu reduzieren, wurde vereinbart, dass alle Teilnehmer zunächst themenrelevante Informationen und Dokumente zusammentragen, die für den Inhalt der DIN SPEC von Bedeutung sein könnten. Aufgrund einer Bedarfsanalyse der jeweiligen Kunden sollten die zehn wichtigsten Anwendungsszenarien zur späteren gemeinsamen Schwerpunktsetzung ermittelt werden. Dem Gremium war es wichtig, dass alle Teilnehmer trotz ihrer heterogenen Ziele einen Nutzen generieren. Daher bat der Obmann alle Partner, ihre Sichtweise der Thematik möglichst offen darzustellen und zu beschreiben, wie sie sich in den Prozess einbringen. Anhand der Zielsetzung, einen Datenaustausch zur Gefahrenabwehr im Kontext von Föderalismus zu ermöglichen, wurde eine gezielte Analyse entsprechender Normen und Standards durchgeführt. Das inhaltliche Konzept unterschied sich durch die nutzerseitig ermöglichte Beibehaltung unterschiedlicher Verfahren bei der gewährleisteten Kommunikation. Abgrenzende Schwerpunkte lagen dabei in der Flexibilität und Semistrukturierung. Zum Zeitpunkt der Projektinitiierung waren in vielen Einsatzbereichen der Zielgruppe anstelle der Nutzung von IT-Systemen manuelle, papierbasierte Aufzeichnungen verbreitet. Die Entwicklung der DIN SPEC erfolgte proaktiv, da ein Markt mit kommunikationsfähigen Gegenstellen noch nicht gegeben war. Das Gremium gewann die Erkenntnis, dass die Definition von zu anspruchsvollen Nutzerund Systemanforderungen als Voraussetzung der Spezifikationsnutzung zu einem Misserfolg der DIN SPEC führen könnte. Um die Verbreitung nicht zu behindern, wurde daher beschlossen, die Anforderungen später zu formulieren und nur eine geringe Eingrenzung vorzunehmen. Neben der Fokusbestimmung wurden in der Initiierungsphase technische Anforderungen an die Spezifikation definiert Erster Workshop (August 2011) Die Schwerpunkte des ersten Workshops umfassten neben Diskussionen über die Struktur und die Inhalte der ersten Dokumentenversion Überlegungen hinsichtlich des Contents der ausgetauschten Nachrichten und der Art der Datenübertragung. Das geplante Einsatzfeld des Datenaustauschformates erwies sich aufgrund des Föderalismus in Deutschland als sehr heterogen und machte gezielte Lösungen erforderlich. So existieren in den verschiedenen Bundesländern beispielsweise bei der Feuerwehr unterschiedliche Bezeichnungen für die Dienstgrade sowie nicht-identische Kategorien für Einsatzfahrzeuge. Heterogenitätsbezogene Herausforderungen wurden zudem durch die unterschiedli- 179

180 chen Arten von Sicherheitsleitständen ausgelöst, die in den einzelnen Bundesländern eingesetzt werden. In Bezug auf den Anwendungsbereich der Spezifikation favorisierten einige Teilnehmer den Ausnahmezustand, andere auch den Regelbetrieb. Für die erste Version sprach die raschere Umsetzungsmöglichkeit. Allerdings wäre in diesem Fall eine weitere SPEC für den Regelbetrieb nötig, wobei die Gefahr einer Inkompatibilität nicht ausgeschlossen werden konnte. Als Ergebnis des Treffens wurde ein Vorschlag erarbeitet, der vor dem zweiten Workshop per verteilt und diskutiert wurde. Er hatte u. a. eine Konkretisierung des Fokus zum Inhalt, wodurch eine vormalig beschränkte Ausrichtung der Spezifikation auf ausgewählte Typen von Leitstellen aufgehoben wurde. Hinzukommend wurde die Entscheidung getroffen, nur die Inhalte des Datenaustauschs zu spezifizieren, aber den Anwendern die Art der Datenübertragung freizustellen. Die Frage, ob ausschließlich der Informationsaustausch im Schadensfall betrachtet werden soll oder eine integrierte Lösung angestrebt wird, die auch die reguläre Kommunikation zwischen den Sicherheitsakteuren einschließt, blieb zunächst offen. In einem späteren Meeting wurde beschlossen, beide Bereiche durch die DIN SPEC abzudecken Zweiter und dritter Workshop (September und Anfang November 2011) Der zweite und dritte Workshop wurden durch die iterative Erstellung und Versendung mehrerer Versionen der DIN SPEC sowie die Rücksendung von Kommentaren durch das Gremium vorbereitet. Im zweiten Workshop wurde ein Teilaspekt, die Darstellung verfügbarer Ressourcen zur Gefahrenbewältigung, infolge des großen Umfangs aus der DIN SPEC ausgegliedert. Das Vorgehen wurde vom Leiter des Gremiums vorgeschlagen und förderte die Fokussierung der Aktivitäten auf Kernaspekte der Spezifikation. Alle Teilnehmer zeigten sich mit den bisher erreichten Projektergebnissen zufrieden. Die Agenda des dritten Workshops sah die inhaltliche Klärung verbleibender Aspekte sowie die Aufnahme weiterer Änderungswünsche in freier Diskussion vor. Ferner wurden Überlegungen zum weiteren Vorgehen nach der Veröffentlichung vorgenommen. Dabei wurde die Einbringung eines Normungsvorschlages zur Entwicklung einer Norm oder einer europäischen Spezifikation auf Basis dieser nationalen Spezifikation thematisiert. Die Betrachtung des europäischen Kontextes zeigte, dass hinsichtlich einer möglichen Zusammenarbeit danach zu unterscheiden ist, ob die zivile Sicherheit hierarchisch oder dezentral in den jeweiligen Ländern organisiert ist. Frankreich und Polen sind z.b. hierarchisch strukturiert. Italien nutzte das Common Alterting Protocol, CAP. Dies erschien weniger flexibel als die eigene Lösung, dennoch wurden einer Zusammenarbeit Mehrwerte beigemessen. Weitere relevante Ansätze wurden in TSO, dem Tactical Situation Object von OASIS, sowie einigen europäischen Forschungsergebnissen gesehen. Die Ansätze variieren in Bezug auf Systemgrenzen und Lösungsansätze, wodurch kein gemeinsames Ergebnis als möglich erachtet wurde. Das Gremium sah jedoch Potential für eine gemeinsame neue Lösung. 180

181 Vierter Workshop (Ende November 2011) Zur Vorbereitung des vierten Workshops wurde eine weitere Version der DIN SPEC durch den Obmann erstellt und durch das Gremium kommentiert. Die Agenda des Workshops umfasste die Finalisierung des Entwurfes, die Erörterung der benötigten organisatorischen Schritte zur Fertigstellung seitens des DIN, Verbreitungsmaßnahmen und die Schlussbesprechung. Um die bisherigen Projektergebnisse zu evaluieren, wurden u.a. die Prüfkriterien Internationalisierungsfähigkeit und Erweiterbarkeit genutzt. Die erstgenannte Anforderung wurde u.a. durch eine breite Definition der Semantik gewährleistet, die eine Anwendung in weiteren Ländern ermöglicht. Die Untersetzung des Prüfkriteriums Erweiterbarkeit umfasst u.a. die Möglichkeit einer Kommunikation zwischen Anwendern von Version 1 und von Folgeversionen der DIN SPEC, auch wenn Folgeversionen Zusatzkategorien für Sicherheitsmitteilungen bieten. Einige noch verbliebene Formulierungsanpassungen wurden im Anschluss an das Treffen vorgenommen und an die Teilnehmer versendet. Zur Verabschiedung der DIN SPEC wurde im Dezember 2011 eine Webkonferenz durchgeführt. Abschließende Änderungen wurden direkt in das Dokument eingepflegt. Die abgestimmte Version der DIN SPEC wurde zur Veröffentlichung freigegeben Ausblick Um eine geeignete Verbreitung der DIN SPEC sicherzustellen, wurden gezielt Marketingmaßnahmen geplant. Neben den Marketingmaßnahmen des DIN wurde beschlossen, in jeder beteiligten Organisation Öffentlichkeitsarbeit für die Spezifikation vorzunehmen. Die Unternehmensvertreter äußerten Bestrebungen, gegenüber ihren Kunden gezielt die folgende Botschaft zum Ausdruck zu bringen: Wir haben die SPEC mit erstellt und unsere Systeme arbeiten danach. Das Gremium beschloss, mehrere Exemplare der DIN SPEC käuflich zu erwerben und an Kooperationspartner und Kunden weiterzugeben. Zudem wurden mehrere Referenzimplementierungen unter Nutzung von Synergien mit anderen Forschungsprojekten geplant, u.a. durch die Implementierung in Demonstratoren. Berichte in Fachzeitschriften sowie Fachvorträge auf Tagungen wurden ebenfalls vorgesehen. Um Erfahrung in der Entwicklung von Systemen auf Basis der DIN SPEC zu gewinnen und tiefere Einblicke in das Wirken ihrer Funktionen zu erhalten, wählte die Arbeitsgruppe für erste Implementierungsaktivitäten eine konkrete Branche aus. Im Sommer 2012 wurde die englische Übersetzung der DIN SPEC beschlossen. Erste Internationalisierungsmaßnahmen begannen. 181

182 Erfolgsfaktoren des Gremiums Wie in Kap. 4 beschrieben, werden begrenzte Ressourcen oft als Herausforderung in Normungs- und Standardisierungsvorhaben angesehen. Im vorliegenden Fall wurden die Standardisierungsmaßnahmen jedoch bereits zum Zeitpunkt der Beantragung von Projektmitteln anvisiert und in der Ressourcenplanung berücksichtigt. Aktivitäten zu Vorbereitung der Standardentwicklung waren in das FuE-Projekt eingebunden und führten später zu Zeiteinsparungen. Als Grundlage des Projekts wurde ein spezieller Standardisierungsbedarf identifiziert, der nun durch die DIN SPEC abgedeckt wurde. Die Anforderungen der heterogenen Zielgruppe wurden im Vorfeld detailliert mithilfe von Workshops und Interviews analysiert und dienten als zentrale Basis der Standardisierung. Der Mehrwert der DIN SPEC war klar definiert. Die zuvor erwähnte Umfrage InfraNorm (2011) zeigte, dass die meisten deutschen Sicherheitsforscher keinerlei Normungs- oder Standardisierungserfahrungen besaßen. In dem betrachteten Vorhaben verfügte der Obmann bereits über Normungserfahrung, die in Kombination mit seinen Erfahrungen im Bereich der Sicherheitsforschung dem Gremium und dem gesamten Prozess zugutekamen. Aufgrund der nutzbaren Ergebnisse der Anforderungsanalyse konnte das Gremium als kleine Gruppe ohne Wettbewerb agieren. Dies ermöglichte ein konfliktfreies Arbeiten. Ziele und geplante Beiträge der Partner wurden offen dargestellt. Mittels eines wirksamen Zeitmanagements wurde genau geprüft, was in der zur Verfügung stehenden Zeit, die für die Entwicklung der DIN SPEC vorgesehen war, realisiert werden konnte. Bewusst wurde zwischen zeitlichen Zielen und der Realisierung von Elementen, die für die DIN SPEC wichtig erschienen, abgewogen. Dabei zeigte das Gremium Bereitschaft, einige nicht zwingend notwendige Themen zu streichen. Basierend auf dem Ziel, einem möglichst großen Adressatenkreis zu dienen, wurden überspezifizierte Umsetzungsalternativen, die lediglich ein Szenario oder einen Typ von Leitstellen betrachten, verworfen. Bei Entscheidungen wurde durch die gezielte Untersuchung und Berücksichtigung der Anforderungen der Zielgruppe ein ausdrücklicher Fokus auf die spätere Akzeptanz der DIN SPEC gelegt. Infolge einer geeigneten Definition des Anwendungsbereichs der DIN SPEC konnte einem möglichen Bedarf für eine zusätzliche DIN SPEC und Kompatibilitätsrisiken entgegengewirkt werden. Um eine angemessene Verbreitung der Spezifikation sicherzustellen, wurden zahlreiche Aktivitäten geplant. Zusätzlich wurde die Gremientätigkeit gezielt marketingstrategisch genutzt, indem kurz-, mittel- und langfristige Kommunikationsziele definiert wurden. Die Möglichkeit der internationalen Anwendung sowie der Weiterentwicklung der DIN SPEC wurde durch vielfältige Maßnahmen sichergestellt. Eine internationale Verbreitung der DIN SPEC ist beispielsweise durch die Nutzung englischer XML-Bezeichnungen, ein international anwendbares XML-Schema und einer breiten Definition der Semantik möglich. Weiterhin könnten zukünftige Versionen der DIN SPEC zusätzliche Kategorien besitzen, um Sicherheitsrisiken und kritische Vorfälle noch konkreter zu beschreiben. Dennoch bleibt die Kommunikation basierend auf der derzeitigen und den zukünftigen Versionen der DIN SPEC möglich, insbe- 182

183 sondere hinsichtlich der ursprünglichen Kategorien zur Informationsbeschreibung. Darst. 60 zeigt die Erfolgsfaktoren des Gremiums sowie die Probleme auf, für die sie Lösungen bieten. Potenzielle Probleme im Normungs- bzw. Standardisierungsprozess Ressourcen- und Zeitaufwand Konsensfindung/Konflikte innerhalb des Gremiums Erfolgsfaktoren im Projekt, um derartige Probleme zu lösen bzw. zu umgehen Geeignete Verbindung zwischen Forschung und Standardisierung mit angemessener Ressourcenplanung Wirksames Zeitmanagement Normungserfahrung des Obmanns Angemessene Gremienzusammensetzung Transparenz der Ziele und Beiträge der Partner Akzeptanz und Nutzbarkeit Klar definierter Mehrwert der DIN SPEC basierend auf Interviews, Workshops etc. innerhalb eines Forschungsprojektes Breiter Zielgruppenfokus Unterstützung der Adoption der DIN SPEC durch vielfältige Marketingmaßnahmen und die Inanspruchnahme identifizierter Synergien mit zukünftigen FuE-Projekten Spezialaspekte der security-spezifischen Standardisierung Weiterentwicklung der Spezifikation Nutzbarkeit der DIN SPEC für den Datenaustausch sowohl im Ausnahmezustand als auch im Regelbetrieb Sicherstellung der Internationalisierungsmöglichkeit und der weiteren Migration Überprüfung der DIN SPEC nach drei Jahren Darst. 60: Erfolgsfaktoren bei der Erstellung des Datenaustauschformats Gemäß Darst. 61 wurden die Erfolgsfaktoren in vier Kategorien eingeteilt: Rahmenbedingungen, Organisation des Vorhabens, Merkmale der DIN SPEC sowie Vorbereitung weiterer Schritte. Die beiden erstgenannten Erfolgsfaktorengruppen ermöglichten eine effiziente Projektbearbeitung. Neben geeigneten Rahmenbedingungen und Merkmalen der DIN SPEC begünstigten auch die gewählten Maßnahmen zur Vorbereitung weiterer Schritte die Effektivität des Vorhabens. Die Entwickler der DIN SPEC verfolgen das Ziel, eine hohe Nachfrage nach Systemen, welche auf der Spezifikation basieren, in der öffentlichen sicherheitsbezogenen Beschaffung zu erwirken. Die Umsetzung kann sich als ein entscheidender Faktor erweisen, um den Erfolg der DIN SPEC zu gewährleisten. Im Rahmen der Arbeiten an der DIN SPEC zeigten sich auch Herausforderungen. Dabei wurde v.a. die Anforderungsvielfalt aufgrund des Föderalismus in Deutschland als Problem erachtet: im Bereich der zivilen Gefahrenabwehr existieren in den einzelnen Bundesländern unterschiedliche Anforderungen hinsichtlich des Datenaustauschs. Diesem Problem wurde durch einen breiten Fokus der DIN SPEC entgegengewirkt. 183

184 EFFIZIENZ EFFEKTIVITÄT Rahmenbedingungen Geeignete Verbindung zwischen Forschung und Standardisierung mit angemessener Ressourcenplanung Normungserfahrung des Obmanns Geeignete Gremienzusammensetzung Organisation des Vorhabens Merkmale der DIN SPEC Transparenz der Ziele und Beiträge der Partner Wirksames Zeitmanagement Klar definierter Mehrwert der DIN SPEC basierend auf Interviews, Workshops etc. in einem FuE-Projekt Breiter Zielgruppenfokus Sicherstellung der Internationalisierung und der weiteren Migration Nutzbarkeit der DIN SPEC für Datenaustausch sowohl im Ausnahmezustand als auch im Regelbetrieb Vorbereitung weiterer Schritte Unterstützung der Adoption der DIN SPEC durch vielfältige Marketingmaßnahmen und die Inanspruchnahme identifizierter Synergien mit zukünftigen FuE-Projekten Überprüfung der DIN SPEC nach drei Jahren EFFEKTIVITÄT Darst. 61: Klassifizierte Erfolgsfaktoren bei der Erstellung des Datenaustauschformats Die DIN SPEC adressiert zukunftsweisend technische Systeme der zivilen Gefahrenabwehr. Wichtig ist es dabei, innerhalb der entsprechenden Organisationen Promotoren zu gewinnen, die die neuen Lösungen auf geeignete Weise bei den Mitarbeitern einführen. Aufgrund befristeter Stellen von Projektmitarbeitern erfordert die Planung der späteren Weiterentwicklung der DIN SPEC besondere Aufmerksamkeit. Durch die beteiligten Organisationen sicherten sich dabei Maßnahmen zur Gewährleistung der weiteren Zusammenarbeit zu Lessons Learned Das untersuchte Projekt zeigte, wie Standardisierung als Technologietransferkanal genutzt werden kann und welche Faktoren eine erfolgreiche Entwicklung einer Spezifikation im Bereich der zivilen Sicherheitsforschung unterstützen. Darüber hinaus zeigten sie die Bedeutung geeigneter Maßnahmen, um die weiteren Phasen im Lebenszyklus einer Spezifikation zu gestalten. Dies schließt auch zweckmäßige Marketingmaßnahmen, neben denen des DIN, ein. Verdeutlicht wurden zudem mögliche Synergien zwischen FuE und Standardisierung durch die vorgesehene Anwendung der DIN SPEC in künftigen FuE-Projekten. Weitere Synergien sind nutzbar, wenn die DIN SPEC in Lösungen, die aus den FuE-Projekten resultieren, integriert werden. Die Bereitstellung geeigneter Kombinationen von Safety- und Security-Lösungen sowie entsprechend integrierter Ansätze stellt ein wichtiges Anliegen des Sicherheitsforschungspro- 184

185 gramms dar. Die Fähigkeit der neuen Spezifikation, eine geeignete Kommunikation sowohl im Ausnahmezustand als auch im Regelbetrieb zu ermöglichen, kann hier als wichtigster Erfolgsfaktor angesehen werden. Hürden innerhalb des Standardisierungsprozesses und Lösungsansätze wurden ebenfalls aufgezeigt. Neben den Möglichkeiten, welche die adressierte Standardisierungslücke vor einem föderalistischen Hintergrund bietet, bringt ein derartiger Kontext auch Herausforderungen mit sich. Die unterschiedlichen Anforderungen an den Datenaustausch in der zivilen Gefahrenabwehr in den einzelnen Bundesländern erforderten geeignete Lösungen. Derartige Hürden wurden durch einen breiten Fokus der DIN SPEC umgangen DIN SPEC über die Grundlagen mikroskopischer Entfluchtungssimulationen Einführung Nach der deutschen Gesetzgebung sind bauliche Anlagen so zu errichten, zu ändern und instand zu halten, dass die öffentliche Sicherheit und Ordnung nicht gefährdet werden. Insbesondere für Gebäude, die planmäßig von vielen Personen genutzt werden, werden Entfluchtungsberechnungen empfohlen. Der Einsatz rechnergestützter Verfahren stellt die Aufsichtsbehörden dabei vor neue Herausforderungen. Vor allem für die angenommenen Szenarien und Parameter der Fluchtwegeberechnungen sind standardisierte Kriterien notwendig. Der Leitgedanke des hier beschriebenen Standardisierungsprojekts bestand darin, die Methodik für die Erstellung einer simulationsgestützten Entfluchtungsanalyse festzulegen. Dies beinhaltete die Erfassung und Bewertung der Entfluchtungszeit, die Ermöglichung von Nachweisen, dass Fluchtwege erforderliche Schutzziele erfüllen sowie das Aufzeigen signifikanter Stauungen, die während der Entfluchtung auftreten können. Die erarbeitete Spezifikation definiert einen Mindeststandard in Bezug auf die Eingangsgrößen, die Modellbildung, die rechnerische Simulation, die Auswertung sowie die Dokumentation einer Entfluchtungsanalyse Initiierung des Vorhabens und Kick-off-Meeting Im März 2011 wurde beim DIN e.v. der Antrag auf Eröffnung des Standardisierungsprojekts gestellt. Die geplante DIN SPEC nach dem PAS-Verfahren sollte Ziele, Begriffe und Vorgehensweisen von mikroskopischen Entfluchtungssimulationen festlegen und sie einem breiten Anwenderkreis bekannt und zugänglich machen. Neben dem Initiator, dem Geschäftsführer eines KMU und Mitglied eines Projekts des deutschen Sicherheitsforschungsprogramms, bestätigten drei weiteren Branchenexperten (zwei KMU, eine Universität) ihre Bereitschaft zur Mitgliedschaft in dem zu gründenden Arbeitsgremium. Die folgende Tabelle fasst die Merkmale des Vorhabens zusammen. 185

186 Art der Spezifikation Initiator Grundlage Teilnehmer Durchführungszeitraum Umsetzung Prozessstandard KMU BMBF-Projekt des Sicherheitsforschungsprogramms drei KMU, eine Universität sechs Monate Kick-off-Meeting, Telefonkonferenzen, ein interner Workshop, zwei Workshops mit der Zielgruppe, Abschlussmeeting Darst. 62: Kontext der Erstellung der Simulationsspezifikation Der Initiator verfügte durch die Mitentwicklung der IMO MSC.1/Circ.1238, einer Richtlinie der Maritime Organisation (IMO) zur Durchführung von Evakuierungsberechnungen für Passagierschiffe, über positive Erfahrungen mit einem ähnlichen Projekt. Er erörterte später in einem Projektmeeting, dass dies für ihn eine wichtige Grundlage der Vorhabensinitiierung bildete. Die IMO-Richtlinie wurde auf Initiative des deutschen Bundesministeriums für Verkehr, Bau und Stadtentwicklung (BMVBS) erstellt. Die Anforderungen der Richtlinie sowie eine mit ihr verbundene Zertifizierung fördern die Akzeptanz der Softwareprodukte des KMU in hohem Maße. Alle Teilnehmer des Standardisierungsprojekts kannten sich bereits aus verschiedenen Projekten. Dadurch konnte sich rasch ein gemeinsames inhaltliches Verständnis der Standardisierungsthematik bilden, welches ein effizientes Arbeiten ermöglichte. Inhaltlich wurde das Ziel artikuliert, dass die DIN SPEC Behörden eine Transparenz über gewählte Entfluchtungsansätze gewährleisten muss. Ebenso muss die Spezifikation eine Profilbildung derjenigen Akteure ermöglichen, die auf ihrer Grundlage Lösungen anbieten. Das Projekt starte im Mai Im Rahmen dieses Auftakt-Meetings wurde der Geschäftsplan erstellt, der Initiator zum Obmann gewählt und weitere Schritte eingeleitet. Die definierte Zielgruppe der DIN SPEC umfasste Brandschutzbüros, Veranstaltungstechniker, Feuerwehren, Software-Entwickler sowie Behörden. Der Projektablauf wurde wie folgt geplant: Monat 2: Beginn: Telefonkonferenz Ende: Fertigstellung des ersten internen Entwurf der DIN SPEC Monat 4: Vorstellung des Konzepts bei einem Branchenverein, weitere Telefonkonferenz Monat 5: Finalisierung der DIN SPEC Monat 6: Abschlusstreffen. Im Kontext des Projekts wurden mehrere existierende Regelwerke ermittelt, die jedoch nicht die geplanten Spezifika tangierten. Dabei handelte es sich z.b. im Baurecht um die Musterbauordnung und die Muster-Versammlungsstättenverordnung (MVSTätt VO) und in Bezug auf Schiffe um die IMO. Weitere Beispiele boten die DIN EN sowie die Richtlinie Ri- 186

187 MEA (Richtlinie für Mikroskopische Entfluchtungs-Analysen), welche eine wichtige Grundlage des Vorhabens darstellte. Von Anfang an nutzte das Gremium zur Kommunikation vielfältige elektronische Hilfsmittel, darunter Dropbox und Wiki. Telefonkonferenzen dienten für Diskussionsbelange und persönliche Treffen zur Entscheidungsfindung. Die Kommunikation mit externen Akteuren wurde insbesondere durch gute Kontakte zur Initiative RiMEA begünstigt. Kurz nach dem Kick-off-Meeting wurde das Vorhaben im Mai 2011 auf der Mitgliederversammlung des RiMEA e.v. vorgestellt. Weiterhin wurde angekündigt, dass der Entwurf der DIN SPEC auf dem nächsten Workshop im Herbst vorgestellt werden würde und dass das Feedback des Vereins in den Schlussentwurf einfließen werde. Zudem wurde vereinbart, dass ein gegenseitiges Widersprechen der DIN SPEC und RiMEA zu vermeiden ist. Der Verein erklärte sich darüber hinaus bereit, erforderliche redaktionelle Überarbeitungen an RiMEA vorzunehmen und nach Verabschiedung der DIN SPEC kurzfristig eine überarbeitete Version jener Richtlinie zu erstellen. Attraktiv erschien ferner, dass Verweise auf RiMEA in der DIN SPEC erlaubt sind. Als Fazit der Initiierungsphase stellte das Gremium fest, dass die DIN SPEC nicht zu detailliert werden dürfe, da sonst Herstellverfahren ausschlossen werden würden Erarbeitung der Dokumentenversionen 1 und 2 Zur Erarbeitung des ersten internen Entwurfs wurde vom Obmann ein Vorentwurf vorbereitet und an die Teilnehmer versendet. Das Dokument wurde in der Telefonkonferenz im Juli 2011 konkretisiert. Anschließend erhielten die Teilnehmer Zeit, diesen Entwurf elektronisch zu kommentieren. Auf einer anschließenden Telefonkonferenz im September 2011 wurde das Dokument weiterentwickelt. Parallel zu den Telefonkonferenzen wurden Wikis genutzt. Bestätigend wurde beschlossen, die aktuelle Fassung im September 2011 in einem RiMEA- Workshop vorzustellen. Im Rahmen des Workshops sollten offene Punkte zu konkreten Werten und Definitionen abgestimmt werden, z.b. wie Stauungen definiert werden sollen. Zur Information der interessierten Kreise wurde der Entwurf der DIN SPEC Ende des Sommers 2011 per an alle Mitglieder von RiMEA (rund 100 Personen) sowie an die rund 450 Mitglieder der XING-Gruppe Fußgängerüberquerung gesendet. Im September 2011 fand der RiMEA-Workshop an der FH Köln statt, bei dem 27 Teilnehmer anwesend waren. Der Entwurf stieß auf große Akzeptanz. Der Workshop erwirkte Ideen, Kontakte und weiterbringende Impulse. Als Grundlage des zweiten internen Entwurfs wurden die Ergebnisse des RiMEA-Workshops aufgenommen, sodass in der Telefonkonferenz im Oktober 2011 ein Austausch über die Einarbeitungen erfolgen konnte. Eine neue Version der DIN SPEC mit den Empfehlungen aus dem Workshop wurde ins Internet gestellt. Zunehmend wurde deutlich, dass die in Deutschland erarbeitete DIN SPEC auf dem relevanten Normungsgebiet der Vorreiter ist und im internationalen Kontext kein vergleichbares Regelwerk existiert. Die Entwicklung einer DIN SPEC brachte dabei aufgrund ihrer Schnelligkeit und einfachen Erstellung wichtige Vorteile. 187

188 Der Abschluss des zweiten internen Entwurfs führte im Gremium zu Zufriedenheit. Der Ri- MEA-Workshop erzeugte Aufmerksamkeit; der Nutzen für die Zielgruppe konnte verdeutlicht werden. Die DIN SPEC nimmt international eine Pionierrolle ein und grenzt keinen Akteur aus. Ein Abschlusstreffen wurde, wie geplant, für November 2011 angesetzt Abschlussworkshop und Verabschiedung der DIN SPEC Im November 2011 führte das Gremium den Abschlussworkshop durch. Zunächst wurde die Kommunikation mit der Zielgruppe und die bisherigen Rückmeldungen auf den Entwurf der DIN SPEC ausgewertet. Etwa 50 Personen erhielten durch die Webseite von RiMEA Kenntnis über das Dokument. Infolge der Verbreitung in der 450 Mitglieder zählenden XING- Gruppe Fußgängerüberquerung sendete ein Ingenieurbüro dem Gremium Anmerkungen mit Bezügen zum Baurecht, die sich als hilfreich erwiesen. Der zweite Entwurf der DIN SPEC wurde anhand der externen Anmerkungen überarbeitet. Das vollendete Manuskript wurde den Gremienmitgliedern anschließend vom Obmann zur Abstimmung gegeben. Alle Teilnehmer stimmten der Verabschiedung der DIN SPEC in der überarbeiteten Fassung zu. Den Zielgruppen erleichtert die DIN SPEC die Kommunikation. Gremienmitglieder als Teil der Zielgruppe planen erste Anwendungen. Es wurde erwartet, dass ca. 30 weitere Akteure, die Entfluchtungsgutachten erstellen, kurzfristig auf die DIN SPEC Bezug nehmen Ausblick Zur weiteren Verbreitung dienten bisher neben einer internationalen Konferenz in Zürich im Juli 2012 weitere Workshops von RiMEA. Etwa ein Jahr lang sollten Reaktionen auf die DIN SPEC beobachtet werden, um über weitere Maßnahmen, wie z.b. eine Normung oder die Entwicklung einer europäischen Spezifikation, zu entscheiden. (Der Betrachtungszeitraum der Fallstudie endete im September 2012.) Erfolgsfaktoren des Gremiums Darst. 63 listet die Erfolgsfaktoren des Gremiums sowie Probleme auf, die mit ihrer Hilfe gelöst werden sollen. Gemäß Darst. 64 wurden sie wie in Kap. 9.3 in vier Kategorien eingeteilt: 188

189 EFFIZIENZ EFFEKTIVITÄT Potenzielle Probleme im Standardisierungsprozess Erfolgsfaktoren im Projekt, um derartige Probleme zu lösen bzw. zu umgehen Ressourcen- und Zeitaufwand Effizienz durch Telefonkonferenzen und die Nutzung webbasierter Werkzeuge Nutzbarkeit von Vorarbeiten Geeignete Strukturierung des Vorhabens in Teilprozesse Normungserfahrung des Obmanns Konsensfindung/Konflikte innerhalb des Gremiums Positive gemeinsame Kooperationserfahrungen der Gremienmitglieder Akzeptanz und Nutzbarkeit Klar definierter Mehrwert der DIN SPEC Adressierung einer internationalen Normungslücke Nutzbarkeit etablierter Netzwerke Geeignete Kommunikation mit der Zielgruppe Spezialaspekte der security-spezifischen Normung oder Standardisierung Vermeidung einer frei verfügbaren Konkretisierung von Evakuierungszeiten um einen Missbrauch der Spezifikation zu vermeiden Weiterentwicklung der Spezifikation Monitoring der Reaktionen auf die DIN SPEC im Rahmen von rund zwölf Monaten zur Bestimmung weiterer Schritte Darst. 63: Erfolgsfaktoren bei der Erstellung der DIN SPEC für mikroskopische Entfluchtungsanalysen Grundlagen Normungserfahrung des Obmanns Positive gemeinsame Kooperationserfahrungen der Gremienmitglieder Organisation des Vorhabens Merkmale der DIN SPEC Effizienz durch Telefonkonferenzen und die Nutzung webbasierter Werkzeuge Klar definierter Mehrwert der DIN SPEC Adressierung einer internationalen Nutzbarkeit von Vorarbeiten Normungslücke Geeignete Strukturierung des Vermeidung einer frei verfügbaren Vorhabens in Teilprozesse Konkretisierung von Nutzbarkeit etablierter Netzwerke Evakuierungszeiten um einen Missbrauch der Spezifikation zu vermeiden Vorbereitung weiterer Schritte Nutzbarkeit etablierter Netzwerke Geeignete Kommunikation mit der Zielgruppe Monitoring der Reaktionen auf die DIN SPEC im Rahmen von rund zwölf Monaten zur Bestimmung weiterer Schritte EFFEKTIVITÄT Darst. 64: Klassifizierte Erfolgsfaktoren bei der Erstellung der DIN SPEC für mikroskopische Entfluchtungsanalysen Bei der Durchführung des Vorhabens konnte auf Standardisierungserfahrungen des Obmanns aufgebaut werden. Ein konfliktfreies Arbeiten wurde dadurch begünstigt, dass die Gremienteilnehmer sich bereits durch vielfältige Aktivitäten kannten. Sie hatten gute Erfahrungen in der bisherigen Zusammenarbeit gewonnen und waren mit den jeweiligen technischen Sichtweisen der Partner vertraut. 189

190 Die Arbeiten an der DIN SPEC bauten auf der RiMEA-Richtlinie auf. Die Berücksichtigung dieses Regelwerk stellt eine wichtige Grundlage für die künftige Anwendung und Akzeptanz der DIN SPEC dar. Das Gremium war eng mit der Zielgruppe vernetzt und kommunizierte intensiv mit einem großen Kreis von Interessenten, wodurch die Akzeptanz des Regelwerks zusätzlich gefördert wurde. Das Projekt konnte auf geeignete Weise in Teilprozesse zerlegt werden. Der Einsatz elektronischer Medien ermöglichte ein effizientes Arbeiten. Die DIN SPEC nimmt international eine Vorreiterrolle ein und grenzt keinen Akteur aus. Sicherheitskritische Aspekte werden aus der DIN SPEC ausgespart. So wird nicht beschrieben, wie viel Zeit eine Entfluchtung in Anspruch nimmt. Es wird ausschließlich spezifiziert, wie adäquate Berechnungen durchzuführen sind Herausforderungen und Lösungen Der Obmann sah die größte Herausforderung darin, das Projekt in einer überschaubaren Zeit abzuschließen. Die zuvor erörterten Erfolgsfaktoren, insbesondere die Nutzung elektronischer Medien, die geeignete Projektstrukturierung und das konstruktive Interagieren mit der Zielgruppe ermöglichten ein erfolgreiches Meistern dieses Problems. Eine weitere Begünstigung für das Vorhaben bestand darin, dass sich bei der Erarbeitung der DIN SPEC keine weiteren Herausforderungen zeigten. Das Gremium bedauerte, dass kein Behördenvertreter der Einladung zur Vorstellung des Spezifikationsentwurfs folgte Lessons Learned Das vorliegende Projekt sowie weitere Erfahrungen des Obmanns zeigen den Vorteil, bei der Durchführung von Normungs- und Standardisierungsprojekten wenn möglich an existierende Regelwerke anzuknüpfen. Eine wichtige Erfolgsgrundlage des Vorhabens bestand dem Obmann zufolge darin, gute Beziehungen mit den wesentlichen Stakeholdern des Vorhabens zu unterhalten. Bei der Initiierung des Vorhabens war es hilfreich, dass eine nahe gelegene Universitätsbibliothek über eine Datenbank zur Durchführung von Normenrecherchen verfügte. Für den Obmann war die Erkenntnis wichtig, dass Standardisierungsprojekte von der Gremienleitung die Bereitschaft erfordern, einen hohen Anteil des Arbeitsaufwands selbst zu erbringen. Da die Teilnahme an dem Gremium sowie alle relevanten Aktivitäten auf freiwilliger Basis erfolgten, war in dem Vorhaben nur ein geringer Anteil des Aufwands erfolgreich an die weiteren Mitarbeiter übertragbar. Ohne die aktive Vorbereitung jedes einzelnen Projekttermins durch den jeweiligen Obmann erscheinen derartige Projekte daher nicht erfolgreich durchführbar. 190

191 9.5. DIN SPEC für eine Security-Modellierungstechnik Einführung Infolge vermehrter terroristischer Anschläge seit der Jahrtausendwende wurden in unterschiedlichsten Bereichen Methoden und Technologien entwickelt, um Sicherheitsanforderungen zu erhöhen und dadurch den Gefahren terroristischer Bedrohungen entgegenzuwirken. Die Grundlagen der hier betrachteten Spezifikation gehen auf ein BMBF-Projekt zur Verbesserung der Sicherheit von Personen in der Fährschifffahrt zurück. Ein Projektergebnis bestand in der Entwicklung einer Security-Modellierungstechnik (SMT), welche auch weit über die Projektgrenzen hinaus auf breite Zustimmung stieß. Während der Untersuchungen in Häfen und an Bord von Schiffen wurden fünf Datenkategorien identifiziert, die für eine Situationsanalyse und somit das Situationsbewusstsein von Personen mit Security- Verantwortung zur Umsetzung bzw. Änderung von Gefahrenstufen grundlegend erschienen. Eine Methode, welche alle fünf Datenkategorien integriert dargestellt, konnte im Rahmen des Forschungsprojekts nicht identifiziert werden. Die Ermöglichung fortschrittlicher Security- Analysen implizierte daher einen Handlungsbedarf. Ziel der geplanten DIN SPEC war es daher, über eine integrierte Repräsentation aller fünf Datenkategorien Security verantwortliches Personal bei Entscheidungsfindungen zur Umsetzung bzw. Änderung von Gefahrenstufen, aber auch die Prüfung von Maßnahmen durch entsprechende Institutionen zu unterstützen Initiierung des Vorhabens und Kick-off-Meeting (Frühjahr 2012) Der Impuls für das Standardisierungsvorhaben ging von einem Forschungsinstitut aus, welches die Security-Modellierungstechnik im BMBF-Projekt entwickelt hatte. Als Initiator agierte dabei der Hauptentwickler der Modellierungstechnik. Im Rahmen einer Forschungskonferenz hatte er zuvor von den Vorteilen der Normung und Standardisierung von FuE-Projektergebnissen erfahren. Die folgende Darstellung fasst die Merkmale des Vorhabens zusammen. Art der Spezifikation Initiator Grundlage Teilnehmer Klassifikation/Prozessstandard Forschungsinstitut BMBF-Projekt des Sicherheitsforschungsprogramms zwei Vertreter eines Forschungsinstituts zwei Vertreter von BOS zwei Vertreter von zwei Endanwendern Durchführungszeitraum Ende April 2012 bis Anfang Dezember 2012 Umsetzung Zwei spezielle Projektmeetings, Telefonkonferenzen sowie Erfahrungsaustausch der Gremienmitglieder im Rahmen weiterer gemeinsamer Treffen im Kontext der Sicherheitsforschung Darst. 65: Kontext der Erstellung der Securitymodellierungstechnik 191

192 Die Erarbeitung des Geschäftsplans erfolgte im Frühjahr Dabei wurden Ziele, Ressourcen und Termine festgelegt. Zur Koordinierung des Vorhabens wurden die Aufgaben des Obmanns entsprechend dem Mustergeschäftsplan für DIN SPECs (vgl. Anhang) definiert. Sie umfassten die inhaltliche Leitung der Workshops, das Sicherstellen der Konsensfindung sowie die Sicherstellung des Einhaltens des Geschäftsplans. Um Zeit und Kosten zu sparen, erfolgte das Kick-off-Meeting Anfang Mai 2012 am selben Tag wie das Meeting eines gemeinsamen anderen Projekts. Die Agenda beinhaltete u.a. die Vorstellung des Geschäftsplans, organisatorische Aspekte, die Vorstellung des ersten Manuskriptes, die Diskussion des Manuskriptes sowie die Planung des weiteren Vorgehens. Im Zuge der Geschäftsplan-Veröffentlichung auf der DIN-Seite im Internet wurde kein weiteres Interesse an einer Teilnahme an der SMT-Spezifizierung bekundet. In Bezug auf organisatorische Aspekte erfolgten drei Beschlüsse: der Geschäftsplan wurde einstimmig angenommen, das Gremium wurde konstituiert und der Initiator wurde einstimmig zum Obmann gewählt. Bei der Erarbeitung des Manuskripts konnten umfangreiche Ergebnisse aus dem zugrundeliegenden Forschungsprojekt verwendet werden. Unter anderem waren drei bereits veröffentlichte Forschungsarbeiten aus dem Gremium zur Referenzierung nutzbar. Bei der Vorstellung und Diskussion des ersten Manuskriptes wurde beschlossen, in der DIN- Spezifikation überall der Begriff Security anstatt des Begriffs Sicherheit zu verwenden, um eine Verwechslung bzw. einen Einbezug von Safety zu verhindern. Parallel zur Erarbeitung der DIN SPEC wurde die Entwicklung einer Software, dem SMT- Editor, vorgesehen, der eine beispielhafte Umsetzung der DIN SPEC ermöglicht. Die Planung des weiteren Vorgehens sah folgende Punkte vor: April 2012: Überarbeitung des Manuskripts vom Obmann und Weiterleitung an die Partner in derselben Woche bis Ende Mai 2012: Gegenlesen des überarbeiteten Manuskripts durch die Gremien- Mitglieder und Rücksendung an den Obmann Ausgabe des SMT-Editors an die Gremienmitglieder, damit parallel zur Spezifizierung die Handhabung der SMT erprobt werden kann. Der SMT-Editor mit integrierter Spezifikation sollte vor Verabschiedung des Regelwerks von den Teilnehmern getestet werden, um mögliche Modifikationspotentiale aufzuzeigen. Um den Reise- und Kostenaufwand der Gremienmitglieder zu minimieren, wurden Telefonkonferenzen vor persönlichen Treffen präferiert. Des Weiteren wurde einstimmig entschieden, Stimmen nach Institutionen zu vergeben. Nach Fertigstellung der deutschen Version sollte eine englische Fassung der DIN SPEC erstellt werden. 192

193 Telefonkonferenz (Anfang Juni 2012) und nachfolgende Arbeiten Zur Vorbereitung des Termins wurden Ergänzungen und Änderungen der Spezifikation erarbeitet. Zur Verdeutlichung der Anwendungsmöglichkeiten der DIN SPEC wurde ein Beispiel einer Kommunikationsmodellierung in das Manuskript eingefügt. Die aktuelle Version der DIN SPEC wurde einstimmig bestätigt. Modelle, die auf ihrer Grundlage erstellt werden, sollen dabei Anwendung für folgende Aufgaben finden: Schnelles Auffinden und Zuordnen gefahrenstufenabhängiger Informationen, Unterstützung der Entscheidungsfindung von verantwortlichem Security-Personal bei der Umsetzung von gefahrenstufenabhängigen Security-Maßnahmen, Unterstützung des Situationsbewusstseins bezüglich umzusetzender und bereits umgesetzter Maßnahmen, Überprüfung der Vollständigkeit vorhandener Security-Maßnahmen. Die Anwendung erstellter SMT-Modelle kann entweder IT-basiert oder papierbasiert in Form eines Ausdrucks erfolgen. Dadurch ist eine Anwendbarkeit der DIN SPEC bei einem großen Personenkreis gegeben. In Bezug auf das weitere Vorgehen informierte der Obmann das Gremium über den Entwicklungsstand des SMT-Editors, der die SPEC nach aktuellem Stand exemplarisch nutzt. Er teilte den Teilnehmern mit, dass Ihnen die aktuelle Version des Editors Mitte des laufenden Monats zum Test zukommen wird. Aufgrund der beginnenden Urlaubszeit war es erforderlich, die Testphase bis einschließlich August 2012 anzusetzen. Daher wurde beschlossen, ein nächstes Treffen im Anschluss an ein anderweitiges Projektmeeting im August 2012 durchzuführen. Dabei sollten die Erfahrungen mit dem technischen System und daraus resultierende Änderungsvorschläge für die SPEC diskutiert werden. Bei der Installation des SMT-Editors traten unerwartete Hürden auf, die zur Verschiebung des geplanten Treffens führten. Die Installation der Software forderte den Download von Java 6. Zwischenzeitlich wurden Sicherheitsrisiken dieser Java-Version deutlich, sodass ihr Einsatz von Projektteilnehmern, welche mit Security-Aufgaben betraut sind, nicht als zulässig angesehen wurde. Eine Verwendung der neuen Java-Version Java 7 war noch nicht möglich. Um den SMT-Editor testen zu können, war daher zunächst eine Lauffähigkeit mit Java 7 herzustellen Abschlussworkshop (Oktober 2012) und Ausblick Zeit- und kostensparend wurde Ende Oktober 2012 gekoppelt an eine Konferenz ein weiterer Workshop durchgeführt. Zunächst berichteten die Teilnehmer über die Verwendung des SMT-Editors. Für die Spezifikation ergaben sich auf Grundlage der Erfahrungen keine Änderungen. Sie wurde als gebrauchstauglich erachtet. 193

194 Bei der anschließenden weiteren Diskussion von Anpassungsvorschlägen zur Spezifikation zeigte sich nur geringfügiger Änderungsbedarf. Konkrete Überlegungen waren der Frage gewidmet, wer als Autor der Spezifikation benannt werden soll. Das Gremium hatte hierbei keine Präferenzen und hätte dem Obmann auch die alleinige Autorenschaft zugestanden. Der Obmann überzeugte die Teilnehmer jedoch, alle Gremium-Mitglieder als Autoren zu benennen. Aufgrund des fortgeschrittenen Stadiums der Spezifikation wurde einer Abstimmung zu ihrer Verabschiedung von allen Mitgliedern zugestimmt. Die DIN SPEC wurde einstimmig verabschiedet, vorbehaltlich der zuvor beschriebenen, noch ausstehenden geringfügigen Änderungen. Die Spezifikation wurde im Änderungsmodus vom Obmann überarbeitet und Mitte November 2012 an die Gremienmitglieder versendet. Innerhalb einer Frist von vier Wochen konnten von den Gremienmitgliedern noch Einsprüche gegen Änderungen erhoben werden. Danach galt die Spezifikation als inhaltlich final. Es wurden geringfügige Änderungen eingefügt, auf deren Grundlage über die Veröffentlichung abgestimmt wurde. Der Obmann erklärte sich bereit, eine Übersetzung der Spezifikation ins Englische einzuleiten. Die inhaltlich finale Spezifikation wurde an das DIN versendet und dort auf formale Fehler geprüft. Anschließend wurde die Spezifikation vom DIN an den Beuth-Verlag zum Druck übergeben Erfolgsfaktoren des Gremiums Das Projekt wurde in kurzer Zeit erfolgreich umgesetzt. Gut aufbereitete Projektergebnisse konnten rasch zu einer SPEC weiterentwickelt werden. Gezielt sprach sich das Gremium dafür aus, wo möglich Telefonkonferenzen anstelle von persönlichen Treffen durchzuführen. Dabei kam den Teilnehmern zugute, dass sie sich aus dem zugrundeliegenden FuE-Projekt bereits persönlich kannten. Aufgrund der nicht zwingenden Beteiligung aller Stakeholder können Gremien zur Entwicklung von DIN SPECs in der Regel als kleine Gruppen agieren. Im Gegensatz zu Normungsgremien, in denen häufig 20 Mitglieder vertreten sind, bietet die Möglichkeit zur Durchführung von Telefonkonferenzen daher insbesondere bei der Entwicklung von DIN SPECs Chancen. Das Gremium war durch ein breites Spektrum an teilnehmenden Organisationstypen gekennzeichnet. Auch Endnutzer und speziell öffentliche Beschaffer waren beteiligt. Referenzierte Inhalte der Spezifikation aus dem relevanten Forschungsprojekt wurden bereits national und international veröffentlicht. Daher konnte wertvolles Feedback aus der Zielgruppe genutzt werden. Zudem war bereits ein gewisser Bekanntheitsgrad der entwickelten Modellierungstechnik gegeben. Die Anzahl an Modellierungskomponenten wurde bewusst gering gehalten, um eine einfache SMT-Modell-Erstellung für verantwortliches Security-Personal zu gewährleisten. Gemeinsam mit der grundsätzlich domänenunabhängigen Anwendbarkeit der Methode ermöglicht dies eine Nutzung der SMT nicht nur in der zivilen Schifffahrt, sondern auch in vielen anderen Bereichen. Die DIN SPEC wurde im Entwurfsstadium mehrere Monate in einem technischen System erprobt. Erforderliche Änderungen wurden in das Manuskript eingearbeitet. 194

195 Wissenschaftliche Studien zeigen, dass die Akzeptanz einer Norm oder eines Standards gesteigert werden kann, wenn sie a) durch viele und b) durch Akteure unterschiedlicher Organisationsformen erstellt wird (vgl. Riefler, 2008). Dabei ist es wichtig, die Anzahl und Herkunft der Akteure aufzuzeigen. Auf dieser Grundlage war es für die DIN SPEC bedeutsam, dass der Obmann die neutrale Einstellung des Gremiums hinsichtlich des Autorenverweises dahingehend ändern konnte, dass alle an der Spezifikationsentwicklung Beteiligten in dem entsprechenden Dokument aufgeführt werden. Darst. 66 fasst die Erfolgsfaktoren zusammen: Potenzielle Probleme im Standardisierungsprozess Ressourcen- und Zeitaufwand Konsensfindung/Konflikte innerhalb des Gremiums Erfolgsfaktoren im Projekt, um derartige Probleme zu lösen bzw. zu umgehen Geeignete Aufbereitung von Projektergebnissen Gezielte Nutzung von Telefonkonferenzen Verbindung von Projektmeetings mit anderen gemeinsamen Treffen Geeignete Partnerwahl, Möglichkeit von DIN SPECs in kleinen Gruppen zu agieren Akzeptanz und Nutzbarkeit Nutzung von Feedback der Zielgruppe durch die Präsentation vorgelagerter Projektergebnisse Spezialaspekte der security-spezifischen Standardisierung Weiterentwicklung der Spezifikation Mehrmonatige praktische Erprobung der DIN SPEC Breites Spektrum an teilnehmenden Organisationen Domainunabhängige Anwendbarkeit Einsetzbarkeit sowohl bei IT- als auch bei papierbasierter Gefahrenabwehrplanung Geeignete Darstellung der Autorenschaft Vermeidung einer im Security-Kontext unzweckmäßigen Softwareimplementierung Synchronisation mit einem weiteren gemeinsamen Projekt Darst. 66: Erfolgsfaktoren bei der Erstellung der Securitymodellierungstechnik Die Durchführung des zweiten, dreijährigen FuE-Vorhabens unter Beteiligung aller für das Standardisierungsvorhaben relevanter Teilnehmer stellt einen zusätzlichen Erfolgsfaktor dar. Das Vorhaben kann auch einen Rahmen bieten, um die nach drei Jahren erforderliche Überprüfung der SPEC vorzunehmen DIN SPEC einer Terminologie zum Securitymanagement von Verkehrsinfrastrukturen Einführung Zum Zeitpunkt der Planung des hier beschriebenen Projekts erfolgte die Nutzung zentraler Fachbegriffe unter den Akteuren, die sich mit dem Sicherheitsmanagement für Verkehrsinfrastrukturen beschäftigen, nicht zwingend einheitlich. Zur Sicherstellung eines gemeinsamen Sprachverständnisses war es daher wünschenswert, diese Begriffe in ihrer Bedeutung ver- 195

196 bindlich festzulegen und gegenüber benachbarten Begriffen abzugrenzen. Allgemeine Definitionen aus einschlägigen Gesetzen, Richtlinien und Normen sollten hierzu berücksichtigt werden Initiierung des Vorhabens und Kick-off-Meeting Die Entwicklung der betrachteten DIN SPEC auf Grundlage des PAS-Verfahrens basierte auf Ergebnissen eines BMBF-Projekts zum Schutz von Verkehrsinfrastrukturen, in welchem ein Sicherheitssystemkonzept für einen modernen Großflughafen entwickelt wurde. Der Impuls für die Standardisierungsmaßnahmen ging von einem promovierten Mitarbeiter eines teilnehmenden Unternehmens aus. Basierend auf Vorarbeiten, insbesondere in der zweiten Jahreshälfte 2010, wurde das Vorhaben im Dezember 2010 mit dem Arbeitstitel Terminologien für das Sicherheitsmanagement von Verkehrsinfrastrukturen beim DIN beantragt. Im Januar 2011 erfolgte das Kick-off-Meeting. Zu den Teilnehmern zählten das initiierende Unternehmen, repräsentiert durch zwei Mitarbeiter, ein Mitarbeiter einer Forschungseinrichtung, zwei Mitarbeiter aus einem selbstständigen Hochschul-Aninstitut, ein Mitarbeiter eines Flughafens sowie ein Vertreter einer wissenschaftlich-technischer Bundesbehörde. Im Rahmen des Treffens informierte der Initiator die Teilnehmer über einen geplanten Arbeitgeberwechsel. Daher wurde vorgesehen, dass nach einer Übergangsleitung sein Nachfolger das Amt des Obmanns einnimmt. Als Ergebnisse der Initiierungsphase lagen der Geschäftsplan des Vorhabens sowie die Version 0.1 der DIN SPEC mit dem Titel Terminologie für das Sicherheitsmanagement von Verkehrsinfrastrukturen vor. Die Version 0.1 griff größtenteils auf bestehende Dokumente zurück, z.b. vom DIN und der ISO, vom BMI (KRITIS) sowie auf die EU-Richtlinie 2008/114/EG Erarbeitung der Dokumentenversionen 1 bis 3 Der Beginn der Entwicklungsarbeiten war durch die Einführung und die Einarbeitung des neuen Obmanns gekennzeichnet. Die Versionen V0.2, V0.21, V0.3 und V0.31 wurden erarbeitet, per verschickt und diskutiert. Für die Version V0.21 wurde eine Definition der Begriffe Sicherheit, Safety und Security gewünscht. Die Entwürfe V0.3 und V0.31 wurden durch das teilnehmende Aninstitut einer Hochschule und das DIN erstellt. Ein wichtiges Ergebnis stellte die Umbenennung der DIN SPEC in Terminologie für das Securitymanagement von Verkehrsinfrastrukturen dar. Im Juli 2011 fand ein weiteres Meeting des Gremiums statt. Als Vorarbeit wurden Begriffe ermittelt, die in Normen bereits definiert waren, und auf ihre Eignung für die DIN SPEC geprüft. Sie wurden per versendet und kommentiert. Mehrere Teilnehmer gingen davon aus, dass die DIN SPEC nach letzten Abstimmungen bestätigt werden würde. Es zeigte sich jedoch weiterer Klärungsbedarf. Umfangreiche Überarbeitungen folgten. Dabei wurde angeregt, die Arbeiten aufzuteilen und anschließend alle Ergebnisse unter Aussparung schriftli- 44 EU-Richtlinie über die Ermittlung und Ausweisung europäischer kritischer Infrastrukturen und die Bewertung der Notwendigkeit, ihren Schutz zu verbessern (2008/114/EG), vgl. Europäische Union (2008). 196

197 cher Diskussionen persönlich zu besprechen. Die entsprechenden Begriffe wurden zur Bearbeitung verteilt. Erschwerend wurde deutlich, dass einige Partner für das Vorhaben keine Ressourcen eingeplant hatten. Weitere Akteure hatten diese Frage ursprünglich nicht genügend im Hinblick auf eine Arbeitsfortführung nach Ende des relevanten FuE-Projekts geklärt. Durch gezielte Lösungsfindungen konnten die Standardisierungsaktivitäten dennoch fortgesetzt werden. Bis September 2011 wurden alle bisher erarbeiteten Definitionen umgearbeitet. Eine vierte interne Version wurde geplant. Eine weitere Telefonkonferenz wurde angesetzt Erarbeitung der Dokumentenversion 4 Zur Erstellung des vierten internen Entwurfs wurden Vorarbeiten geleistet und per versendet. Die Telefonkonferenz wurde im Dezember 2011 durchgeführt. Es wurde beschlossen, die Begriffe in handlungsorientierte und situationsorientierte Themenabschnitte zu gruppieren. Das Gremium erwog, neben den Begriffen die englischen Bezeichnungen selbst hinzuzufügen. Anderweitig wurden in dem anspruchsvollen Begriffskontext Probleme durch unzweckmäßige Übersetzungen befürchtet. Ein Teilnehmer merkte positiv an, dass die betrachteten Begriffe z.b. im Internet sehr widersprüchlich gebraucht werden, sodass ein großer Mehrwert durch die DIN SPEC erwartet wird. Das Dokument wurde konstruktiv zur Version 4.2 weiterentwickelt. Im Januar 2012 erfolgte eine weitere Telefonkonferenz zur Diskussion der Version 4.3 des Manuskripts. Zunächst wurde über die Strukturierung beraten. Eine vorgeschlagene Änderung der Gliederung wurde akzeptiert. Sie führte zur folgenden Begriffssortierung: 1 Grundbegriffe 2 Gruppenbegriffe 3 Strukturorientierte Begriffe 4 Situationsorientierte Begriffe 5 Handlungsorientierte Begriffe 6 Technikbezogene Begriffe Verbleibende Fragen sollten bis zum nächsten Gremientermin geklärt werden. Klärungsbedarf entstand u.a. bei den englischen Übersetzungen der Begriffe. Der Begriff Gefahr wird z.b. mit danger, aber auch mit hazard übersetzt Erarbeitung der Dokumentenversionen 5 und 6 Im März 2012 wurde eine weitere Telefonkonferenz durchgeführt. Zu ihrer Vorbereitung wurde die Version 5.1 des Manuskripts erstellt. Im Rahmen der anschließenden Gespräche erfolgten mehrere Überlegungen zum internationalen Kontext. Es wurde erwogen, ausgewählte Begriffe auf identische Definitionen im Deutschen, Englischen und Französischen zu prüfen. Eine ausschließlich selektive Prüfung wurde letztendlich jedoch nicht als zielführend angesehen. 197

198 Das Gremium stellte fest, dass Security in Frankreich, anders als in der bisherigen Übersetzung des DIN SPEC-Titels, nicht als sécurité bezeichnet wird, sondern als sûrité. Die Übersetzung wurde entsprechend geändert. Es wurde beschlossen, Probleme mit den verschiedenen Sprachen in der Einleitung der DIN SPEC zu erörtern. Ein grundsätzliches Problem wurde darin gesehen, dass Definitionen häufig die Verwendung zusätzlicher Begriffe erfordern, die einer ergänzenden Definition bedürfen. Dabei erwies es sich als wichtig, möglichst wenige zusätzliche Begriffe zu verwenden. Bei der Überlegung zur Referenzierung eines Begriffs wurde darauf verwiesen, dass die DIN SPEC auch vielen Zielgruppen dienen solle, für die der Begriff nicht zu technisch spezialisiert sein dürfe. Noch offene Begriffe wurden zur weiteren Bearbeitung verteilt. Ein Abschlusstermin wurde geplant. Dabei herrschte Einvernehmen, sich persönlich zu treffen und die Verabschiedung nicht telefonisch vorzunehmen Abschlussworkshop und Ausblick Zur Vorbereitung des abschließenden Gremientreffens wurde die Version 6.1. des Manuskripts erarbeitet. Engagiert wurden Beschlussvorschläge angefertigt. Rasch konnte Konsens zur Ergebnisfreigabe erzielt werden. In einer anschließenden Feedbackrunde wurde die Wichtigkeit betont, bei der Erarbeitung von Terminologien weder zu weite noch zu enge Definitionen vorzunehmen. Des Weiteren bestehe bei Terminologien der Vorteil, dass ihre Erstellung keine komplexen Technologieauswahlprozesse oder technologische Konzeptentwicklungen erfordert. Im September 2012 wurden Gespräche mit Teilnehmern des Gremiums durchgeführt. Dabei wurde die Bedeutung der Terminologie verdeutlicht. Sie biete eine wichtige Grundlage für eine Reihe von Verträgen für Sicherheitssysteme, in denen Schutzleistungen genau zu definieren sind. Um eine Weiterentwicklung der DIN SPEC sicherzustellen, werden derartige Arbeiten und ihre Finanzierung gezielt in Förderanträge integriert Herausforderungen des Gremiums Die Projektumsetzung war durch mehrere Hindernisse gekennzeichnet. Es zeigte sich, dass die Ressourcenplanung zur Durchführung des Vorhabens sehr gering ausgeprägt war, wodurch der Projektablauf erschwert wurde. Gleichzeitig sensibilisierte dies für ressourcenbezogene Problempotentiale zuwendungsfinanzierter FuE-Projekte, wenn integrierte Standardisierungsvorhaben verlängert werden müssen. Ein weiteres Problem bestand darin, dass verschiedene Begriffe in existierenden Normen unterschiedlich definiert werden. Ein ISO/IEC-Guide, welcher mehrere Definitionen enthält, wurde nicht in Deutschland übernommen. Alternativ konnten zahlreiche Begriffe aus einem DIN-Dokument referenziert werden. Allerdings implizierte dies Probleme bezüglich einer späteren Internationalisierung der DIN SPEC. Die referenzierte DIN-Norm ist ausschließlich in 198

199 deutscher Sprache verfügbar und daher zur Referenzierung im internationalen Kontext nur bedingt geeignet Lessons learned Für die Umsetzung vergleichbarer Projekte führte das Vorhaben in mehrerlei Hinsicht zu einem Erkenntnisgewinn. Zu Beginn der Arbeiten wurde in einigen Arbeitsschritten ausschließlich per kommuniziert. Dies erwies sich zum Teil als nicht ausreichend. Die Verbindlichkeit von Zustimmungen, die per kommuniziert wurden und auf deren Grundlage teilweise weitere Arbeiten stattfanden, wurde dabei unterschiedlich eingeschätzt. Dies führte zu zusätzlichem Aufwand. Als Lösung wurde es als hilfreich erachtet, die Erarbeitung der Definitionen aufzuteilen, aber anschließend alle Erarbeitungen direkt zu besprechen. Bei einer Terminologie sind die Inhalte der einzelnen Begriffe laut Erfahrung der Gremienteilnehmer zu wichtig, um ausschließlich per zu kommunizieren. Sie müssen persönlich geklärt werden. Die Begriffe wurden daher an kleine Gruppen zur Bearbeitung verteilt. Darüber hinaus nutzte das Gremium im Laufe des Vorhabens zunehmend Telefonkonferenzen als Alternative zum Austausch per und zu persönlichen Treffen. Wichtige Aktivitäten waren künftigen Standardisierungsmaßnahmen gewidmet. Die Berücksichtigung der Weiterentwicklung der DIN SPEC in Förderanträgen bietet eine bedeutende Grundlage, um die Bereitstellung der erforderlichen Ressourcen zu gewährleisten DIN SPEC zur Erstellung von Notfallkonzepten für sensible Logistikagglomerationen Einführung Das hier beschriebene Standardisierungsvorhaben ist Teil eines vom BMBF geförderten Projektes (Laufzeit ), an dem sechs Projektpartner, einschließlich dem DIN e.v., sowie drei assoziierte Partner beteiligt sind. Initiator und fachlicher Ansprechpartner des Vorhabens ist ein Forschungs- und Beratungsinstitut. Das Projekt befindet sich zum Zeitpunkt der Fertigstellung dieses Handbuchs noch in der Entwicklung. Das dem Vorhaben zugrundeliegende Sicherheitsszenario geht von einer Störung einer Logistikagglomeration durch terroristische Handlungen oder durch andere unvorhersehbare Schadensereignisse aus. Gegenstand der zu erarbeitenden DIN SPEC (PAS) ist die Konfiguration, Simulation und Implementierung eines Notfallkonzeptes für sensible Logistikagglomerationen (wie z.b. GVZs, Logistikparks, etc.) zur bestmöglichen Aufrechterhaltung der Warenflüsse - auch im Falle einer erheblichen Störung. Mit Hilfe des Notfallkonzeptes soll ein Notbetrieb sofort nach Schadenseintritt ermöglicht werden. Die Konfiguration, Simulation und Implementierung des Notfallkonzeptes umfasst im Einzelnen sechs Schritte: Ist-Analyse von Agglomerationsstrukturen Referenzmodellbildung Überführung der Ergebnisse in ein agentenbasiertes Modell und Simulationsmodell/Simulation Erarbeitung eines Referenz-Interimskonzeptes 199

200 Erarbeitung und Implementierung einer IT-Lösung Implementierung eines Schulungskonzeptes. GVZ-Trägerschaften und weitere Dienstleister des Güterverkehrs als auch Endnutzer und Sicherheitskräfte sind am gesamten Vorhaben beteiligt. Sie gewährleisten die Berücksichtigung von Anwenderanforderungen sowie eine realitätsnahe Ausrichtung der Arbeiten. Die geplante inhaltliche Anwendung der DIN SPEC betrifft Bereiche mit überbetrieblichen Austauschbeziehungen zwischen Logistikakteuren sowie Wechselwirkungen in logistischen Netzwerken (z.b. GVZ, Logistik- und Industrieparks oder Flughäfen). Die Zielgruppe der DIN SPEC umfasst Trägerschaften von Logistikagglomerationen wie z.b. GVZ-Entwicklungsgesellschaften, Logistikparkbetreiber, Verkehrsmanagementzentralen sowie Wirtschaftsförderungsgesellschaften Bisherige Arbeiten Da das Vorhaben in ein BMBF-Projekt integriert war, wurden wichtige Merkmale des Vorhabens bereits bei Erstellung des Projektantrags definiert. Nach Projektbewilligung wurden die ersten Maßnahmen zur Konkretisierung des Standardisierungsvorhabens umgesetzt. Der Kick-off-Workshop erfolgte im Februar Die wichtigsten Inhalte des Workshops umfassten die Vorstellung von Vorarbeiten und die Konstituierung eines Gremiums. An dem Vorhaben sind sieben Organisationen sowie das DIN beteiligt, darunter ein Forschungs- und Beratungsinstitut (Organisator), eine Hochschule, eine BOS-Organisation ein Speditionsunternehmen (KMU) ein Güterverkehrszentrum ein Verband von Güterverkehrszentren ein Consulting-Unternehmen. Für die Umsetzung der vorgesehenen Arbeiten können laut Plan bei Bedarf kleinere Arbeitsgruppen festgelegt werden. Die Veröffentlichung der DIN SPEC (PAS) wurde für Juni 2013 geplant. Der Arbeitsplan des Gremiums wird in Darst. 67 gezeigt. Ein ausführlicher Zeitplan des Vorhabens wird in Darst. 68 abgebildet. 200

201 Meilensteine Inhalt Datum Kick-off-Workshop Konstitution des Gremiums, Wahl der Febr Obperson Sammeln wesentlicher Inhalte Verabschiedung der Gliederung der DIN SPEC Definition der Arbeitspakete Festlegung weiterer Schritte 2. Workshop Erarbeitung der DIN SPEC Sept Workshop Erarbeitung der DIN SPEC Nov Workshop Erarbeitung der DIN SPEC Febr Abschlussworkshop Verabschiedung der DIN SPEC Mai 2013 Quelle: Geschäftsplan des Vorhabens Darst. 67: Arbeitsplan zur Erstellung der DIN SPEC im Bereich Logistik Quelle: Geschäftsplan des Vorhabens Darst. 68: Ausführlicher Zeitplan zur Erstellung der DIN SPEC im Bereich Logistik Während des Kick-off-Meetings wurde der Initiator zum Obmann gewählt. Zur Koordinierung des Vorhabens wurden die Aufgaben des Obmanns entsprechend dem Mustergeschäftsplan für DIN SPECs (vgl. Anhang) definiert. Beschlüsse erfolgen laut interner Vereinbarungen unter Beteiligung aller Gremienmitglieder. Jede Institution des Gremiums ist dabei stimmberechtigt und hat jeweils eine Stimme. Bei Abstimmungen gelten einfache Mehrheiten der abgegebenen Stimmen. Eine hilfreiche Regelung wurde in Bezug auf eine mögliche Verhinderung von Teilnehmern bei Entscheidungsfindungen getroffen. Dabei heißt es: Wenn registrierte Personen/Institutionen bei solchen Entscheidungen verhindert sind, so sind diese über alternative Wege (z.b. auf elektronischem Wege) in den Entschei- 201

202 dungsprozess zu involvieren, um den nötigen Konsens sicherzustellen. Während des Kick-Off Workshops wurde beschlossen, dass Abstimmungen auch grundsätzlich per oder Livelink möglich sind (Quelle: Geschäftsplan des Gremiums). Wie zuvor beschrieben, befindet sich das Standardisierungsprojekt zum Zeitpunkt der Fertigstellung dieses Handbuchs noch in der Entwicklung Lessons Learned Das Standardisierungsprojekt konnte in ein Forschungsvorhaben integriert werden. Die frühzeitige Planung der Aktivitäten stellte dabei die erforderlichen Ressourcen sicher. Aufgrund der Anlehnung an das FuE-Vorhaben waren die wichtigsten Teilnehmer der Standardisierung bereits bei der Einreichung des Vorhabens definiert. Ein derartiges Vorgehen reduziert sowohl den zeitlichen Aufwand zur Definition der Gremieninhalte als auch den Zeitaufwand zur Partnergewinnung. Die Ressourcenplanung schloss nicht nur die Gremienmitglieder ein. Gezielt wurde auch das DIN in das Vorhaben eingebunden. Die Maßnahmen trugen gleichzeitig dazu bei, Finanzierungsprobleme in Rahmen des Vorhabens zu vermeiden Zusammenfassung aus den Fallstudien zur Entwicklung von DIN SPECs Trotz der Vielfalt ihrer Inhalte zeigen die Fallstudien eine Reihe von Resultaten von allgemeinem Interesse. Deutlich wurden Mehrwerte einer gemeinsamen Planung von Standardisierungsmaßnahmen und dazugehörigen Projekten im Sicherheitsforschungsprogramm, um Ressourcen für die Standardisierung sicherzustellen. Weitere Mehrwerte können durch die Kombination von Aufgaben zur Standardisierungsvorbereitung mit anderen Aufgaben relevanter FuE-Vorhaben erschlossen werden. In den Standardisierungsprojekten werden hierdurch attraktive Zeitersparnisse möglich. Die Kombination von Aktivitäten, die auf die kommerzielle Nutzung relevanter FuE- Ergebnisse sowie auf die Verbreitung einer neuen Spezifikation abzielen, ermöglicht weitere Synergien. Die Integration der erarbeiteten Spezifikationen in künftige FuE-Projekte begünstigt ihre Verbreitung ebenfalls. Zukunftsbezogen zeigte sich im Kontext projektbasierter Standardisierungsmaßnahmen die Bedeutung, die Weiterentwicklung der Standards auf geeignete Weise sicherzustellen. Zusätzlich ließen sich speziell im Hinblick auf Sicherheitsforschungsprojekte drei Empfehlungen ableiten: Knüpfen Sie geeignete Beziehungen zu öffentlichen Beschaffern im Security-Bereich! Realisieren Sie wenn möglich eine Anwendbarkeit der DIN SPEC sowohl in Ausnahmefällen als auch im Regelbetrieb Analysieren Sie Missbrauchsmöglichkeiten der DIN SPEC und verhindern Sie diese wirkungsvoll. Eine ausführliche Darstellung von Empfehlungen unter Einbezug der weiteren Fallstudien wird in Kap. 11 vorgenommen. 202

203 10. Externe Fallstudien der sicherheitsbezogenen Normung und Standardisierung In den folgenden Unterkapiteln werden exemplarisch fünf Normungs- bzw. Standardisierungsvorhaben vorgestellt, die ein breites Merkmalsspektrum abdecken. Sie beinhalten zwei FuE-basierte europäische Standardisierungsvorhaben sowie Normungsprojekte bei CEN, IEC und ETSI CWA Interface control document for provision of EGNOS CS/EDAS based services for tracking and tracing of the transport of goods Einführung Das CEN Workshop Agreement CWA wurde in dem europäischen Projekt SCUTUM entwickelt. Bei SCUTUM (SeCUring the EU GNSS adoption in the dangerous Material transport) handelte es sich um ein Vorhaben im siebenten Forschungsrahmenprogramm der EU (Laufzeit 2009 bis 2011), welches unter Leitung der europäischen Agentur für Global Navigation Satellite Systems (GSA) durchgeführt wurde. Im Mittelpunkt von SCUTUM stand die europäische Nutzung eines Global Navigation Satellite Systems (GNSS) für Gefahrguttransporte. Durch European Geostationary Navigation Overlay Services (EGNOS), deutsch Geostationäre Navigations-Ergänzungsdienste für Europa, können bei Gefahrguttransporten verbesserte Positionierungsinformationen genutzt und übermittelt werden. Das Ziel des Standardisierungsvorhabens bestand in der Entwicklung einer standardisierten Schnittstelle, welche die Datenformate dieser Dienste interpretieren und den Empfängergeräten zur Weiterverarbeitung bereitstellen kann. Andernfalls müssten die Hersteller derartiger Geräte aufwendige Modifikationen an ihren jeweiligen Produkten und Dienstleistungen vornehmen. Um die Marktentwicklung weiter voranzutreiben und den Aufwand der Hersteller zu senken, war eine standardisierte Lösung in Form einer Schnittstelle sinnvoll. Über den Einsatz im Bereich Gefahrgüter hinausgehend sollten die geplanten Inhalte zudem auch auf andere Transportbereiche übertragen werden können. Die Leitung des CEN Workshops oblag dem SCUTUM-Partner European Union Road Federation, Belgien, während das italienische Unternehmen Telespazio die Stellvertretung übernahm. Der Sekretär wurde von der italienischen Normungsorganisation UNI (Ente Nazionale Italiano di Unificazione) gestellt. Die nachstehende Fallstudie beruht auf einem Interview mit Antonella DiFazio, Telespazio S.p.A., Vize-Obfrau des CEN Workshops, einem von ihr gehaltenen Vortrag auf dem ETSI Security Workshop 2012 sowie auf der Auswertung von projektbezogenen Dokumenten Initiierung des Vorhabens EGNOS und GALILEO sind zwei Systeme, die unter der europäischen GNSS- (Global Navigation Satellite System)-Strategie implementiert wurden. EGNOS basiert auf dem ersten europäischen Projekt im Bereich der Satellitennavigation. Im Mittelpunkt steht das satellitenbasierte System SBAS (Satellite Based Augmentation System). Konkret besteht EGNOS aus 203

204 Transpondern an Bord dreier geostationärer Satelliten sowie am Boden aus einem Netz von 40 Ortungsstationen und vier Kontrollzentren, die alle miteinander vernetzt sind. SBAS verbessert die Präzision von Satellitennavigationssignalen über Europa und dem Mittelmeerraum. Es steigert die Korrektheit von GPS-Positionen, bietet integrierte Informationen und ermöglicht Applikationen, die sehr akkurate und garantierte Positionsangaben erfordern. Mögliche Anwendungsfelder betreffen insbesondere die Bereiche Luft- und Straßenverkehr, Seefahrt, Location-Based Services (LBS) und die Landwirtschaft (z.b. zur optimalen Düngung). EGNOS ist in den meisten europäischen Staaten nutzbar und soll noch weiter ausgedehnt werden. Es bildet die Grundlage für drei spezielle Dienste. Der Open Service (OS) ist seit Oktober 2009 frei verfügbar in Betrieb und für eine Vielzahl von Applikationen geeignet. Der Safety of Life Service (SoL) für Operateuren der zivilen Luftfahrt stand bei Erstellung des Businessplans des CWAs im Sommer 2010 noch vor der Einführung und wurde ab März 2011 nutzbar. Er leistet einen wichtigen Beitrag zur Safety-Steigerung in der Luftfahrt. Luftfrachtführer mit zertifizierten Receivern an Bord können EGNOS zur Navigation und Präzisierung nutzen. Der Dienst ermöglicht eine sichere Landung sowie energieeffizientere Flüge. Kleinen, regionalen Flughäfen gestattet er die Landung größerer Flugzeuge als mit bisherigen Navigationslösungen. Großen Flughäfen dient er als eine wirksame Ergänzung bisheriger Navigationslösungen. Der Commercial Service (CS) war als experimenteller Service seit dem Jahr 2008 in Betrieb (vgl. CEN/WS SCUTUM, 2010:1). Mit der Entwicklung eines Standards wurden dabei wichtige Mehrwerte verbunden, welche die spätere Nutzung begünstigen würden. Neben einer bereits früh bewiesenen Anwendbarkeit von EGNOS-Diensten für Warentransporte auf Seewegen demonstrierten europäische FuE-Projekte nicht nur die Anwendungsmöglichkeiten von EGNOS OS und CS für den Güterverkehr zu Land, sondern auch die Potentiale von Kombinationen beider Dienste, die vorrangig unter dem Label EDAS (EGNOS Data Access Services) angeboten wurden. Die Einsatzchancen basierten insbesondere auf den Vorteilen, zuverlässigere und genauere Überwachungs- und Güterverfolgungsinformationen im Vergleich zu den gegenwärtigen GPS-basierten Diensten zu erhalten. Die beiden Dienste boten eine höhere Genauigkeit, Verfügbarkeit und Sicherheit sowie eine Positionsgarantie. Ihr Mehrwert beruhte ferner auf der Fähigkeit, ein Vertrauensniveau mit garantierten Positionsinformationen zu gewähren, welches auch auf EGNOS-basierte Angebote von nachgelagerten Value Added Services-Providern übertragen werden kann. Der beste Weg für eine europäische Einführung von EGNOS OS und CS wurde darin gesehen, mit Anwendungen für bestimmte Transportarten zu beginnen und anschließend eine Ausweitung auf andere Transporttypen vorzunehmen. Um die hierfür erforderlichen Grundvoraussetzungen zu schaffen, wurde eine europäische Standardisierung und Harmonisierung erforderlich. Kurzfristig betraf der reifste Markt den Transport gefährlicher Güter. Einem standardisierten europäischen Regelwerk wurde dabei ein wichtiger Beitrag zur Einführung von EGNOS-Services in die Verkehrsmärkte beigemessen (vgl. CEN/WS SCUTUM, 2010:3). Vorrangig von der Industrie getrieben, einigte man sich auf die Erarbeitung eines CEN Workshop Agreements, um zunächst einen eher unverbindlichen, jedoch kurzfristig umsetzbaren Standard zu entwickeln. Das Ziel des Workshops bestand darin, einen Standard für EGNOS/EDAS-basierte Dienste speziell für die Überwachung und Verfolgung des Waren- 204

205 transports auf dem Seeweg sowie für eventuelle Erweiterungen für andere geregelte Transportgebiete, wie z.b. für den Verkehr zu Land, zu entwickeln. Als besonders wichtiges Ziel wurde festgehalten, dass eine spätere Lösung nicht zur Monopolstellung Einzelner führen dürfe. Darüber hinaus sollte die europaweite Anerkennung durch das Aufgreifen eines CWA anstelle einer einfachen technischen Spezifikation sichergestellt werden. Damit verbunden war die Ausarbeitung eines Businessplans in drei Ländern (Italien, Frankreich und Österreich) und einer Verwertungsstrategie für die Europäische Union (vgl. SCUTUM, 2011b). Es war geplant, im Rahmen des Workshops drei Versionen des CWA zu erarbeiten: erster Entwurf, Interim-Version und finale Version zur Genehmigung. Das CWA sollte in englischer Sprache erstellt werden. In der folgenden Tabelle ist der detaillierte Zeitplan dargestellt. Die 60-tägige Frist zur öffentlichen Kommentierung eines Drafts ist bei EU-finanzierten Projekten verpflichtend (vgl. CEN/WS SCUTUM, 2010:13). Beschreibung Datum Kick-off-Meeting September 2010 Erster Entwurf des CWA Januar 2011 Workshop ( Plenarversammlung ) Februar 2011 Zweite Version des CWA Mai 2011 Workshop ( Plenarversammlung ) Juli Tage öffentlicher Umlauf* Juli 2011 Dritte Version des CWA September 2011 Abschlussmeeting und finale Version / Freigabe des CWA November 2011 Veröffentlichung des CWA Nach redaktionellen Änderungen *Der Entwurfstext des CWA wurde auf der CEN-Webseite zur Verfügung gestellt. Quelle: CEN/WS SCUTUM (2010:13) Darst. 69: Zeitplan zur Erstellung des CWA Für die Workshops wurden vorrangig eintägige Treffen in Brüssel und Rom vorgesehen Umsetzung des Vorhabens Das SCUTUM-Projekt wurde von elf europäischen Partnern aus vier Ländern durchgeführt, welche die gesamte Wertschöpfungskette der EGNOS-Anwendungen repräsentieren (vgl. Darst. 70). Dabei handelt es sich insbesondere um Nutzer aus dem Bereich Gütertransporte sowie um die öffentliche Hand. Die Umsetzung des CWA erfolgte entsprechend Darst. 71 in 13 Monaten. Zwischen dem Kick-off-Meeting des Projekts und dem Kick-off des CEN Workshops standen dabei sieben Monate Vorlaufzeit zur Verfügung standen. Das CWA wurde im 20. Monat des Gesamtprojekts veröffentlicht. 205

206 13 Monate Quelle: SCUTUM (2011b) Darst. 70: Partner des Projekts SCUTUM Februar 2010 September 2010 November 2010 Dezember 2010 Juni 2011 Oktober 2011 November 2011 Dezember 2011 Kick off des FuE-Projekts Kick off des CEN Workshops EGNOS/EDAS-Workshop Start des operativen Einsatzes Erste SCUTUM-Veranstaltung CEN Workshop Agreement Zweite SCUTUM-Veranstaltung und öffentliche Vorstellung des CWA Projektende Quelle: SCUTUM (2011b) Darst. 71: Umsetzung des Projekts SCUTUM Das Kick-off-Meeting für die Erarbeitung des CEN Workshop Agreements erfolgte im September Es bezog zahlreiche europäische Stakeholder aus der Wirtschaft, aus öffentlichen Einrichtungen und der Forschung ein. Im Rahmen des Meetings wurde der Businessplan des CWAs erstellt. Neben den Partnern wies er weitere zwölf Stakeholder aus. Eine modifizierte Version wurde am 11. Oktober 2010 veröffentlicht. SCUTUM wurde anschließend Ende Oktober 2010 auf dem Weltkongress für intelligente Transportsysteme (IST) in Busan, Korea präsentiert (vgl. SCUTUM, 2010). Die Grundlage des geplanten CWAs bildeten Positionierungsinformationen, die durch EGNOS/EDAS erzeugt werden. Darauf aufbauend wurde die Spezifikationen einer Schnittstelle am Ein- und Ausgang der entsprechenden Verarbeitungsalgorithmen zur Bereitstellung EGNOS-/EDAS-basierter Dienste bezweckt. Das Konzept der Schnittstelle sah daher zwei Elemente vor. Das Zentrum der geplanten Arbeiten für den Eingangsbereich bildete dabei ein Protokoll für den Datenaustausch zwischen den GPS/EGNOS-Empfängern und dem Verarbeitungsalgorithmus. Im Fokus der Arbeiten für den Ausgabebereich standen Dienste, die aus der EGNOS/EDAS-Verarbeitung resultieren, einschließlich der EGNOS-Positionen und der relevanten Schutzniveaus (vgl. Darst. 72). 206

207 Quelle: Di Fazio (2012:18) Darst. 72: Inhalte des Standardisierungsvorhabens von SCUTUM Insgesamt wurden für das CWA vier Inhalte vorgesehen: Spezifizierung der Schnittstelle zwischen GNSS (GPS/EGNOS)-Receiver und den Verarbeitungsalgorithmen für die Implementierung von EGNOS/EDAS Präzisierung von Daten und relevantem Format, um die Umsetzung von EGNOS/EDASbasierten Diensten zu ermöglichen Versionen für Rohdatennachrichten: erweitert und reduziert Nutzung in intelligenten Transportsystemen, z.b. CALM 45, LBS 46 /OMA3GPP 47, Verkehrs- Info/DATEXII (vgl. Di Fazio, 2012:18). Das erstellte Dokument spezifiziert die Implementierung kommerzieller Services auf Basis von EGNOS in den Bereichen intelligente Transportsysteme und mobile Applikationen. Es wurde im Rahmen eines Meetings beim CEN am 28. Oktober 2011 unter Anwesenheit eines Vertreters der Europäischen Kommission bestätigt. Nach dem Treffen wurde die Publikation des CWAs zur freien Nutzung über die Webseite der Normungsorganisation eingeleitet. Im November 2011 erfolgte eine öffentliche Vorstellung des Dokuments auf dem zweiten SCUTUM-Workshop im Rahmen des EasyWay Annual Forums (SCUTUM, 2011a). (EasyWay ist ein europäisches Projekt zur europaweiten Einführung von intelligenten Transportsystemen an den wichtigsten Transportinfrastrukturkorridoren. Es wird von zahlreichen nationalen Straßenbehörden und Betreibern mit assoziierten Partnern durchgeführt, u.a. aus der Automobilindustrie und dem Bereich Telekommunikation.) Das CWA ist unter ftp://ftp.cen.eu/cen/sectors/list/ict/cwas/cwa16390.pdf (Stand: Dezember 2012) kostenfrei beziehbar. Die Adoption erfolgt auf freiwilliger Basis. Eine Weiterentwicklung zu einer technischen Norm ist möglich. Das Workshop Agreement ist z.b. für Entwickler und Integratoren von GNSS-Receivern/Lösungen von Interesse. 45 CALM = Communications Access for Land Mobiles 46 LBS = Location-Based Services 47 OMP = Open Mobile Alliance; 3GPP = 3rd Generation Partnership Project 207

208 Maßnahmen zur Verbreitungsförderung des Standards wurden bereits durch das Einbinden zahlreicher Teilnehmer aus einer Vielzahl von Bereichen getätigt. Dies förderte die Gewährleistung seiner praktischen Anwendbarkeit sowie eine weitgehende Akzeptanz. Das CWA wurde auf vielen internationalen Konferenzen vorgestellt. Gezielt wird ferner, z.b. auf den Internetseiten des SCUTUM-Projekts sowie durch weitere öffentliche Präsentationen, weltweit die praktische Anwendbarkeit des CWA gezeigt. Im Juli 2012 wurde der EDAS- bzw. der EGNOS-Commercial Service offiziell vom Vizepräsidenten der Europäischen Kommission, Antonio Tajani, freigegeben. Das SCUTUM-Projekt leistete für die Entwicklung dieses Dienstes einen wichtigen Beitrag. Es wurde bereits eine Reihe von Geräten entwickelt, die auf den Spezifikationen des CWA basieren Ausblick Ein CEN Workshop Agreement kann auf einzelne Länder übertragen werden, indem es zu einer nationalen Norm weiterentwickelt wird. Daher plant z.b. das italienische Ministerium für Infrastruktur und Verkehr, das CWA als nationale Norm zu etablieren. Der Prozess soll bis Ende 2013 abgeschlossen sein. Eine wichtige Frage, an der die beteiligten Akteure des CEN Workshop Agreements arbeiten, betrifft seine weitere Verbreitung Erfolgsfaktoren des Gremiums Der CEN Workshop wurde auf einem Gebiet positioniert, in welchem die Bereitstellung eines Standards ein großes Problemlösungspotential sowie klare Mehrwerte für die Stakeholder von EGNOS-Diensten bot. Dabei handelte es sich insbesondere um seinen Beitrag zur Marktentwicklung für EGNOS-Dienste sowie um realisierbare Kosteneinsparungen bei den Herstellern erforderlicher Geräten zur Nutzung der Dienste. Erfolgsfaktoren bei der Durchführung des Vorhabens lagen aus Sicht der Interviewpartnerin insbesondere in einer geeigneten Teilnehmerzusammensetzung. Bei der Entwicklung des CWAs wurde beschlossen, Teilnehmer aus sämtlichen Bereichen der Wertschöpfungskette zu involvieren. Dabei handelte es sich neben den Herstellern von Empfängergeräten unter anderem um Mobilfunkunternehmen, aber auch um sonstige spätere Nutzer. Um die spätere Verbreitung des Standards zu unterstützen, wurde bereits in diesem Schritt darauf geachtet, verschiedenste Teilnehmer aus möglichst zahlreichen europäischen Staaten mit einzubeziehen. Dadurch wurde gewährleistet, dass der Standard frühzeitig weitgehende Bekanntheit erlangt und zudem die praktische Anwendbarkeit hoch ist Herausforderungen und Lösungen Da die Beteiligung an einem CEN Workshop auf freiwilliger Basis erfolgt, erwiesen sich die Teilnehmergewinnung und das Zusammenstellen einer geeigneten Arbeitsgruppe zwar als anspruchsvoll, konnten aber erfolgreich umgesetzt werden. Im weiteren Verlauf des Projekts kam es zu keinen nennenswerten Herausforderungen. Obgleich sich bei der Erarbeitung des CWA durchaus unterschiedliche Interessen zeigten, konnten durch Kompromisse stets Lö- 208

209 sungen gefunden werden. Dies hatte zudem den positiven Effekt, dass die gefundenen Lösungen die Anerkennung sämtlicher Parteien besaßen und erhöhte den praktischen Nutzen und wirtschaftlichen Beitrag des CWA Lessons Learned Die Entwicklung des CWA bot ein Beispiel eines Standardisierungsprojekts, das mit der Intention der gezielten Weiterentwicklung neuer Märkte initiiert wurde. Die Fallstudie zeigte zudem, dass die Erstellung eines CWA in rund einem Jahr bei wenigen Gremientreffen möglich ist. Von Seiten der Interviewpartnerin wurde die Identifikation der Kernaufgaben des geplanten Regelwerks als ein wichtiger Erfolgsfaktor bei der Standarderarbeitung wahrgenommen. Dazu zählt u.a. der Aufbau eines Verständnisses, wer die relevanten Hauptakteure und Entscheider sind. Wichtig sei es, alle wichtigen Stakeholder frühzeitig in das Vorhaben einzubinden. Darüber hinaus sollte stets Augenmerk auf den wirtschaftlichen Nutzen eines Standards gelegt werden. SCUTM zeigte, dass Standards die Anwendbarkeit und Akzeptanz neuer Technologien signifikant steigern können. Die Standardisierungsmaßnahmen wurden dabei mit einer fokussierten Verwertungsstrategie verknüpft. Die Einführung eines neuen Standards erfordert eine klare Definition der Anwendungsfälle und eine gezielte Planung der Verbreitungsmaßnahmen in den unterschiedlichen Einsatzbereichen. Im Rahmen von SCUTUM wurden dabei gezielt Geschäftsmodelle für EGNOS entwickelt. Aufgrund der Vielfalt unterschiedlicher Einsatzfälle hatte die zeitlich abgestimmte Planung der Verbreitungsmaßnahmen für die unterschiedlichen Anwendungsbereiche in dem betrachteten Projekt eine besondere Relevanz. Gleichzeitig zeigte SCUTUM die Bedeutung geeigneter Maßnahmen zur Förderung der europäischen Diffusion von CWAs. Die internationale Verbreitung macht zusätzliche Aktivitäten erforderlich. Zum Zeitpunkt der Fallstudie wurde noch an entsprechenden Strategien gearbeitet CWA Container Security & Tracking Devices - Technical Specifications and Communication Standards Einführung Die Grundlage des CEN Workshop Agreements bildete Smart-CM (Smart Container Chain Management), ein Forschungsprojekt, welches im Rahmen des siebenten Europäischen Forschungsrahmenprogramms sowie von Industriepartnern aus dem Frachtbereich finanziert wurde. Die nachstehende Fallstudie beruht auf einem Interview mit Joseph McKinney, dem Obmann des CEN Workshops, einem von ihm gehaltenen Vortrag auf dem ETSI Security Workshop 2012 sowie auf der Auswertung von projektbezogenen Dokumenten. Zu den 36 internationalen Teilnehmern von Smart-CM zählten entsprechend Darst. 73 Transport- und Logistikunternehmen, öffentliche Einrichtungen aus sechs Ländern sowie Forschungsinstitute und Technologieanbieter. 209

210 Quelle: McKinney (2012) Darst. 73: Partner des Projekts Smart-CM Viele Millionen Containern werden jährlich zwischen den Kontinenten unter Beteiligung vielfältiger Akteure, z.b. von Transportunternehmen, Logistikdienstleistern und (Zoll-)Behörden, in der Logistikkette ausgetauscht. Die Beteiligten zeichnen sich durch unterschiedliche Prozesse, Netzwerkinfrastrukturen, in-house-plattformen und CSD-(Container Security Device)- Technologien aus. Im Mittelpunkt des CEN Workshops standen vor diesem Hintergrund die sichere Verfolgung von Seeverkehrsfracht und die Containersicherheit. Das konkrete Augenmerk lag dabei auf den erforderlichen technischen Geräten zur Gewährleistung dieser Aufgaben sowie auf ihrer Kommunikation untereinander. Für die Aktivitäten in der Containerlieferkette und den sicheren Informationsaustausch existieren zahlreiche Standards, Spezifikationen, Identifier, Datenkennungsmethoden, Protokolle und Anwendungen. Dabei handelt es sich z.b. um Normen und Standards von ISO, CEN, und ETSI (z.b. in den Bereichen RFID/E-Seals), um einen Standard der internationalen Non- Profit-Organisation GS1 sowie um die Formate UN/EDIFACT 48 und XML. Die Akteure der Lieferkette stehen zudem einer wachsenden Zahl verpflichtender Sicherheitsvorschriften gegenüber. Wichtige Anforderungen werden z.b. durch die Authorized Economic Operator (AEO)-Vorgaben und durch die Secure Trade Lanes definiert. Für ein einzelnes Unternehmen ist es dabei nahezu unmöglich, elektronische Datenaustausch-Verbindungen mit allen relevanten Akteuren herzustellen. Unnötige Kosten und Risiken entstehen, während attraktive Geschäftsmöglichkeiten unberücksichtigt bleiben. Daher entstand der Wunsch, die Interoperabilität zwischen Marktteilnehmern untereinander sowie zwischen Marktteilnehmern und Behörden (z.b. des Zollbereichs) zu straffen und auf Basis einer gemeinsamen industrieweiten und neutralen Vereinbarung zu standardisieren. Dabei waren Information Gateways" zu verbinden oder zu implementieren, wodurch eine einheitliche Plattform entwickelt 48 United Nations rules for Electronic Data Interchange for Administration, Commerce and Transport 210

211 werden sollte, die vielfältige Statusinformationen integriert, z.b. aus CSD-Geräten, E-Seals, RFID-Infrastrukturen sowie aus Hafen- oder Flottenmanagement-Systemen. Die konkrete Intension des CEN Workshops bestand daher darin, eine IT-Plattform zu schaffen, die einen neutralen, sicheren und interoperablen Datenaustausch zwischen Unternehmen sowie zwischen Unternehmen und Behörden im globalen Tür-zu-Tür-Container- Management ermöglicht (vgl. CEN, 2012a). Aufgrund der Neuartigkeit des Vorhabens gab es keine vorhergehenden Standardisierungsergebnisse, auf die hätte aufgebaut werden können Initiierung des Vorhabens Bereits bei der Konzeption des FuE-Vorhabens Smart-CM wurde die Bedeutung von Standardisierungsmaßnahmen für einen späteren erfolgreichen Transfer der Projektergebnisse erkannt. Sie wurden daher gezielt in die Projektplanung integriert und entsprechend zur Förderung beantragt. Die geplanten Ergebnisse von Smart-CM boten, insbesondere durch eine Interoperable Single Window Platform, Möglichkeiten zur Erleichterung des containerbasierten Handels und zur Verbindung bestehender technischer Lösungen und Initiativen der Lieferkette (vgl. CEN, 2012a). Für ihren Einsatz war es jedoch wichtig, technische Merkmale von Security- und Tracking-Geräten sowie von Sicherheitsstatusnachrichten zu vereinheitlichen. Durch die Standardisierungsmaßnahmen wurden daher folgende Lösungen angestrebt: Standardisierung der technischen Eigenschaften von Container-Geräten, Standardisierung eines Protokolls zum Informationsaustausch über den Sicherheitsstatus der Container, Erstellung von Standards zum Informationsaustausch mit bestehenden Plattformen. In Bezug auf das geplante Standardisierungsdokument wurde ein CEN Workshop Agreement aus mehreren Gründen als bestgeeignet angesehen: Es gab keine bestehenden Standards, auf die hätte aufgebaut werden können. Ein CWA erlaubt es, dass viele Personen an einem gemeinsamen Standard arbeiten und ihre individuellen Sichtweisen einbringen. Die Nutzung eines CWA hat keine restriktive oder zwingende Wirkung auf die Marktteilnehmer. Die Standardisierungsmaßnahmen wurden im Rahmen von Smart-CM vorbereitet. Zunächst mussten geeignete Teilnehmer gefunden und für das Projekt gewonnen werden. Da das Vorhaben EU-finanziert war, wurde ein vorrangig europäisch geprägter Teilnehmerkreis angestrebt. Besonders bei Seefracht war jedoch ein globaler Fokus zwingend erforderlich. Das übergeordnete Ziel des Vorhabens war deshalb die weltweite Anwendbarkeit des Standards. Daher wurde darauf geachtet, auch internationale Teilnehmer, z.b. aus China und den USA in das Gremium aufzunehmen. Als Chairman des CEN Workshops agierte Joe McKinney, Gründer der SCV Solutions (USA), unterstützt vom CEN-Sekretär Rolf Widmer (Schweiz). Die Erstellung des CWA wird in Darst. 74 skizziert und anschließend beschrieben. 211

212 Quelle: McKinney (2012) Darst. 74: Erstellungsprozess des CWA Im Rahmen der im Jahr 2009 begonnenen Vorbereitungen des Businessplans wurden gezielt ermittelte Standardisierungslücken und konkrete Spezifizierungsbedarfe in den Bereichen Supply Chain Security und Effizienzsteigerung in der Lieferkette berücksichtigt. Am 18. Mai 2010 wurde die aktuelle Version zur öffentlichen Kommentierung veröffentlicht. Kommentare konnten dabei bis zum 1. September 2010 eingereicht werden. Beim Kick-off- Meeting, welches am 21. Oktober 2010 beim CEN stattfand, wurde der Businessplan bestätigt (vgl. CEN, 2012b) Umsetzung des Vorhabens Der erste Workshop fand am 1. Juni 2011 in Brüssel statt. Über 30 Experten aus Belgien, Frankreich, Deutschland, Griechenland, Italien, der Schweiz und den USA sowie Beobachter der EU nahmen an der Veranstaltung teil. Nach der Einführung durch den Chairman wurden in neun Präsentationen praktische Einsatzdimensionen von Container-Security-Technologien aufgezeigt und anschließend diskutiert. Der Chairman und das Sekretariat konsolidierten die Ergebnisse in einem Entwurf des CWA, welcher den Teilnehmern Ende Juni 2011 zur Verfügung gestellt wurde. Des Weiteren wurde ein Zeitplan zum Abschluss des Workshops erstellt und allen Teilnehmern übermittelt. Am 19. September 2011 fand der zweite Workshop statt. Er zählte 156 Teilnehmer, darunter 18 Delegierte aus Deutschland (vgl. CEN, 2012c). Das 277-seitige CEN Workshop Agree- 212

213 ment wurde von Vertretern aller interessierten Parteien am 23. Dezember 2011 bestätigt und im Januar 2012 veröffentlicht (vgl. CEN, 2012a,c). Kommentare konnten bis zum 11. März 2012 beim CEN eingereicht werden. Im September 2012 wurde das Dokument CWA mit dem Titel Container Security & Tracking Devices - Technical Specifications and Communication Standards veröffentlicht. Zur Verbreitung des Standards wurden zahlreiche Maßnahmen eingeleitet. Da die globale Verbreitung von Anfang an ein klares Ziel darstellte, bestand eine der ersten Projektaufgaben darin, einen möglichst großen Teilnehmerkreis zu bilden. Dies gelang u.a. durch das Einbeziehen zahlreicher internationaler Industrieunternehmen und Organisationen. Dadurch wurde sichergestellt, dass das CWA weitgehende Akzeptanz innerhalb der Wirtschaft erhält und global präsent ist. Darüber hinaus fördert die erzielte Bekanntheit des Standards mittelfristig seine Weiterentwicklung zu einer CEN-Norm oder sogar zu einer weltweit gültigen ISO-Norm. Weitere Verbreitungsmaßnahmen umfassten die Teilnahme an Konferenzen und Foren sowie die Vorstellung in verschiedensten Organisationen Erfolgsfaktoren des Gremiums Aus Sicht des Obmanns war das Vorhaben durch drei Erfolgsfaktoren geprägt: Neuartigkeit des Standardisierungsgebiets, geeignete Verknüpfung zwischen Forschung und Standardisierung sowie ein verbreitungsfördernder Teilnehmerkreis der Workshops. Neuartigkeit des Standardisierungsgebiets Bislang gab es keine Standardisierungsvorhaben im Bereich des intelligenten Containermanagements (Smart Container Management), weshalb keine bestehenden Normen, technische Spezifikationen o.ä. berücksichtigt werden mussten. Es existierten lediglich vereinzelte Spezifikationen für bestimmte Teilaspekte, wie z.b. die Sendeverfahren von GPS-Geräten. Diesbezüglich waren somit kaum Einschränkungen gegeben. Dies erleichterte die Durchführung des Vorhabens maßgeblich. Geeignete Verknüpfung zwischen Forschung und Standardisierung Ein weiterer bedeutender Erfolgsfaktor war eine geeignete Planung des Vorhabens. Der Ablaufplan des FuE-Projekts Smart-CM sah von Anfang die Erstellung eines CWA vor, weshalb sämtliche Aktivitäten auf die Erreichung dieses Ziels ausgerichtet wurden. Verbreitungsfördernder Teilnehmerkreis der Workshops Ein kritischer Punkt bei der Umsetzung des CWA betraf die Vielzahl unterschiedlicher Technologien, die bei der Verfolgung von Seefracht eingesetzt werden. Durch das Einbinden vielfältiger Teilnehmer und zahlreicher Multiplikatoren wurde eine weitgehende Akzeptanz innerhalb der Industrie geschaffen und somit der Grundstein für die spätere Verbreitung des Standards gelegt. Durch den internationalen Teilnehmerkreis der Workshops wurde zudem die globale Verbreitung des Standards begünstigt. Besonders wichtig war dem Obmann dabei die Teilnahme 213

214 chinesischer Vertreter, da China einen großen Markt für zukünftige Container-Tracking- Geräte darstellt Herausforderungen und Lösungen Das Vorhaben war durch drei Herausforderungen geprägt: passive Teilnahme im Gremium, Aufbau eines gemeinsamen inhaltlichen Verständnisses der Teilnehmer sowie die Gremienmitarbeit nach Projektende. Klar waren zwei Teilnehmergruppen erkennbar: aktive und lediglich beobachtende Mitglieder. Die Letztgenannten bildeten dabei die größere Gruppe. Einerseits war dies gewollt, um bereits während der Projektdurchführung eine möglichst hohe Kenntnisnahme in den betreffenden Industrien zu erreichen (vgl. Kap ), andererseits kam es hierdurch auch zu Schwierigkeiten. Während die Projektleitung vor allem daran interessiert war, die Sichtweisen der Industrievertreter zu verstehen, um die größtmögliche Anwendbarkeit des CWA zu gewährleisten, waren diese nur bedingt bereit, ihre Erfahrungen und Ansichten mit einzubringen. Am eigentlichen Verfassen des Dokuments waren nur wenige Personen beteiligt. Eine zweite Herausforderung betraf die Abstimmung zwischen eher technisch orientierten Teilnehmern und solchen mit wirtschaftlichem Hintergrund. Um zu gewährleisten, dass der Standard sowohl technisch fundiert, als auch wirtschaftlich sinnvoll ist, war ein gemeinsames Verständnis der Vertreter beider Ausrichtungen erforderlich. Daher wurde bereits frühzeitig auf eine ausgewogene Zusammensetzung von Teilnehmern mit der jeweiligen Expertise geachtet. Darüber hinaus erschien es schwierig, die Projektmitglieder nach Projektende und somit dem Auslaufen der Finanzierung für eventuelle Weiterentwicklungen des CWA zu binden. Dieser Aspekt konnte nicht abschließend geklärt werden Lessons Learned Die Neuartigkeit des Standardisierungsgebiets wurde vom Obmann als ein wichtiger Erfolgsfaktor des Vorhabens beschrieben, da sie kaum eine Berücksichtigung bestehender Regelwerke bzw. diesbezügliche Abstimmungen erforderlich machte. Diese attraktive Rahmenbedingung ist erwartungsgemäß bei vielen FuE-basierten Standardisierungsprojekten nutzbar und trägt zu einer raschen Umsetzung der entsprechenden Maßnahmen bei. Derartige Standardisierungsvorhaben sind daher durch spezielle Begünstigungen gekennzeichnet, die in traditionellen Normungsprojekten möglicherweise nicht in ähnlicher Weise vorliegen. Ein wichtiges weiteres Projektmerkmal, welches der Obmann in Bezug auf Empfehlungen für weitere Vorhaben thematisierte, betraf die geeignete Gestaltung des Teilnehmerkreises. Um die Verbreitung eines Standards zu unterstützen und von Anfang an eine hohe Akzeptanz innerhalb der Industrie zu gewährleisten, sollte die Zahl der Teilnehmer zum einen relativ groß gehalten werden. Zum anderen Teilnehmer sollten verschiedenster Bereiche gewonnen werden. Dabei erwies es sich in dem betrachteten Projekt als besonders praktikabel, dass nicht alle Teilnehmer aktiv an der Entwicklung des CWA mitwirkten, sondern einige lediglich eine beobachtende Rolle einnahmen. Dadurch erhielten sie zwar rechtzeitig alle relevanten Informationen, verlangsamten den Projektablauf aber nicht durch unnötig ausgedehnte Bera- 214

215 tungen über Nebenthemen. Abschließend bemerkte der Obmann, dass eine zu enge anfängliche Fokussierung eines Standards die späteren Ergebnisse zu stark einschränke. Einen weiteren Lernaspekt boten die Maßnahmen zur gezielten Teilnehmergewinnung aus den USA und China als bedeutende potentielle Märkte für die Anwendung des CWA. In Bezug auf künftige Vorhaben zeigt dies die Bedeutung, Märkte mit einem großen Nachfragepotential für geplante Standardanwendungen zu identifizieren und gezielt Teilnehmer aus diesen Regionen zu gewinnen IEC : Alarm systems - Electronic access control systems - System and components requirements Einführung Das Normungsprojekt Alarm systems - Electronic access control systems - System and components requirements bezweckte die Normung von Systemen und Komponenten zur elektronischen Zutrittssteuerung in Form einer internationalen Norm bei der IEC. Als Teil der IEC Serie ( Alarm systems - Electronic access control systems ) befasste sich das Vorhaben mit den allgemeinen funktionellen Anforderungen elektronischer Zutrittssteuerungssysteme für die Anwendung in Sicherheitsfällen. Die Fallstudie basiert insbesondere auf einem Interview mit dem deutschen Gremiendelegierten Jürgen Junghanns und ergänzenden, projektrelevanten Dokumenten. Die bisherigen Arbeiten seit dem Jahr 2007 werden dabei aus der Perspektive vom Sommer 2012 rückblickend betrachtet. Die Veröffentlichung der Norm war dabei für Januar 2013 vorgesehen Projektablauf Mit dem Argument, es existiere keine internationale Norm zur Definition von Anforderungen an elektronische Zutrittssteuerungssysteme wurde Anfang 2007 von Kanada bei der IEC ein Projektantrag für ein entsprechendes Normungsvorhaben gestellt. Zu diesem Zeitpunkt wurde in Kanada eine ähnliche Norm mit regional beschränkter Gültigkeit verwendet. Während der dreimonatigen Kommentierungsphase ging beim IEC der Hinweis ein, dass auch in Europa als Teil der EN Reihe eine vergleichbare Norm existiere. Im März 2007 wurde das Vorhaben als neues Projekt angenommen und der weitere Normungsprozess eingeleitet. Vorab einigte sich das Gremium darauf, dass die beiden existierenden Normen aus Kanada und Europa zwar als Arbeitsgrundlage genutzt werden, aber eine eigenständige, neue Norm entwickelt wird. Gemäß den Richtlinien des IEC hatte Kanada als Antragsteller das Vorschlagsrecht für einen Obmann und stellte hierfür einen Kandidaten zur Verfügung. Das Gremium setzte sich aus 25 Teilnehmern zusammen, darunter Vertreter aus Kanada, China, Deutschland, Finnland, Frankreich, Großbritannien, Neuseeland, Russland, der Tschechischen Republik sowie den USA. Die Mehrzahl der Mitglieder besaß einen technischen Hintergrund. Neben direkten Treffen erfolgten im Herbst 2011 wöchentliche Telefon- 215

216 konferenzen. Bei den bisherigen neun Treffen waren jedoch jeweils nur vier bis sieben Mitglieder vertreten. Gemäß den definierten Prozessschritten des IEC wurde ein erster Entwurf des Normungsdokuments erstellt, welcher den Arbeitskreisen und nationalen Komitees nach Fertigstellung zur Kommentierung zur Verfügung gestellt wurde. Unter Berücksichtigung der eingegangenen Kommentare wurde dem IEC im Dezember 2011 eine aktualisierte Version vorgelegt, welche den nationalen Komitees bereits im Januar 2012 als Commitee draft for vote (CDV) zur Abstimmung gegeben wurde. Im Rahmen der Harmonisierung europäischer und internationaler Normen und um doppelten Aufwand zu vermeiden fand ein Parallel Voting von IEC und CENELEC entsprechend der Dresdner Vereinbarung statt. Die finale Veröffentlichung der Norm wurde für Januar 2013 vorgesehen (vgl. IEC, 2012). Wichtige Grundlagen für die Verbreitung der Norm wurden bereits durch das Einbinden zahlreicher Teilnehmer aus einer Vielzahl von Bereichen gelegt. Dies führte dazu, dass die praktische Anwendbarkeit der Norm frühzeitig gewährleistet wurde. Da die Dokumente, die im Rahmen von Normungsprozessen veröffentlicht werden, den nationalen Komitees zur Kommentierung übermittelt werden, sind diese Gremien über den jeweiligen Entwicklungsstand informiert. Entsendende Firmen und Verbände informieren ihre Mitarbeiter bzw. Mitglieder i.d.r. automatisch. In relevanten Interessenkreisen wird die spätere Norm zudem dadurch bekannt, dass sie bestehende Normen ablöst: Firmen, die die entsprechenden Normen im Rahmen eines Abonnements erworben haben, werden von den Normungsorganisationen, z.b. über den Beuth Verlag, automatisch über die Veröffentlichung der sie ablösenden Normen informiert. Zum Zeitpunkt der Fallstudie (Stand Juli 2012) wurden weitere Überlegungen zur Verbreitung der Norm noch nicht als prioritär angesehen, da die finale Veröffentlichung der Norm noch ausstand Erfolgsfaktoren des Gremiums Eine wichtige Grundlage für die konstruktive Zusammenarbeit der Gremienmitglieder und die erfolgreiche Umsetzung des Vorhabens bildete die Einigung zwischen Kanada und den europäischen Teilnehmern, keine der beiden bisherigen Normen zu bevorzugen, sondern sie beide als Arbeitsgrundlage für eine neue Norm zu verwenden. Zu den weiteren Faktoren, die die bisherige Normungsarbeit im vorliegenden Projekt erleichterten und maßgeblich zum Erfolg des Vorhabens beitrugen, zählten zudem: die Entwicklung geeigneter Norminhalte, welche die unterschiedlichen Rahmenbedingungen in den einzelnen Ländern berücksichtigen eine internationale, breite Besetzung des Gremiums die Praxiserfahrungen der Gremienmitglieder sowie ihre Erfahrungen in der Normungsarbeit. 216

217 Eine bedeutende Herausforderung für die Erarbeitung einer internationalen Norm stellen häufig die unterschiedlichen Rahmenbedingungen der einzelnen Länder dar. Als Lösung wurden Teile der Norm bewusst allgemein formuliert. Ein Vorschreiben technischer Details wurde vermieden. Als hilfreich erwies sich hierbei die internationale Besetzung des Gremiums. Somit konnten länderspezifischen Unterschiede rasch identifiziert werden. Durch das Einbinden von Herstellern, Verbänden und Errichtern von Sicherheitsanlagen konnten verschiedene Sichtweisen berücksichtigt werden. Darüber hinaus trug die Praxiserfahrung der Mitglieder dazu bei, dass die spätere Anwendbarkeit der Norm in der Praxis sichergestellt ist. Erfahrungen im Bereich Normung und Standardisierung, v.a. durch die frühere Teilnahme an Normungsaktivitäten, erleichtern das Verständnis der Arbeit im Gremium Herausforderungen und Lösungen Das Einbinden zahlreicher Industrievertreter, insbesondere von Herstellern, birgt dem Interviewpartner entsprechend die Gefahr, dass diese unter Umständen versuchen könnten, nur solchen Aspekten zuzustimmen, die von den eigenen Geräten erfüllt werden. Durch eine ausgewogene Mischung des Gremiums aus Herstellern, Verbänden und Errichtern von Sicherheitssystemen konnte dem Risiko einer einseitigen Berücksichtigung von Interessen entgegengewirkt werden. Zeitliche und finanzielle Beschränkungen stellten weitere Barrieren einer aktiven internationalen Normungsteilnahme dar, besonders für kleinere Unternehmen. Weil der Großteil der Teilnehmer aus Europa kam, fanden mit einer Ausnahme sämtliche Gremientreffen in Europa statt. Somit fielen die Reisekosten der europäischen Gremienmitglieder relativ gering aus. Da der Obmann aus Kanada stammte, stellte die vorrangige Bestimmung europäischer Orte für die Gremientreffen einen besonderen Erfolg der europäischen Delegierten dar Lessons Learned Die Fallstudie zeigt die Bedeutung, Aktivitäten anderer Länder bei der Beantragung europäischer oder internationaler Normungsprojekte zu analysieren. Wichtig ist zudem ein geeigneter Aktionszeitpunkt. Da Kanada das Vorhaben bei der IEC beantragte, hatte dieses nationale Mitglied die Möglichkeit, den Obmann zu stellen und das Projekt zu leiten. Weil der Vorschlag nicht von Europa ausging, konnte Europa die Leitungsposition nicht einnehmen, obgleich eine Reihe europäischer Länder an der europäischen Normenreihe EN mitgewirkt hatte, welche als eine Arbeitsgrundlage des neuen Vorhabens diente. Existieren bei der Initiierung multinationaler Normungsprojekte bereits vergleichbare Normen, jedoch mit regional beschränkter Gültigkeit, ist es zudem später wichtig, geeignete Grundlagen zur konstruktiven Zusammenarbeit zu definieren. Eine zentrale Herausforderung bei der Umsetzung von Normungsprojekten, die mit dem betrachteten Vorhaben vergleichbar sind, ist dem Interviewpartner zufolge ferner die Definition eines geeigneten Anwendungsgebiets des geplanten Regelwerks. Im Bereich der Zutrittssteuerung wurden z.b. unterschiedliche Sicherheitsstufen definiert und die entsprechenden Anforderungen zur Erfüllung einzeln beschrieben. Die Konzeption eines Zutrittssteuerungssystems lässt zu, dass eine installierte Anlage Zutritte auf Grundlage unterschiedlicher Si- 217

218 cherheitsgrade gestattet. Dies wurde möglich, weil sich das Gremium auf geeignete Definitionen einigen konnte. Es erleichtert die spätere Anwendung der Norm. Zudem kommt diese Wahlmöglichkeit der Verbreitung der Norm zugute. Darüber hinaus erwies es sich als hilfreich, zahlreiche Vertreter aus der Praxis in die Entwicklung einzubinden. Sie kannten sowohl die Anforderungen der Nutzer als auch die technischen Möglichkeiten und konnten dadurch zur Begünstigung der späteren Anwendbarkeit der Norm beitragen. Kap zeigte aufgrund des häufig geringen Bedarfs zur Berücksichtigung bestehender Regelwerke besondere Vorteile bei der Entwicklung FuE-basierter Spezifikationen auf neuen Technologiegebieten auf. Die vorliegende Fallstudie demonstrierte demgegenüber, dass für Normen spezielle Verbreitungsmechanismen existieren, welche für Spezifikationen teilweise nicht nutzbar sind. Oft sind in industriegetriebene Normungsprojekte Industrieverbände involviert, die ihrerseits unter ihren Mitgliedern über die neuen Normungsvorhaben und Normen informieren. An Forschungsvorhaben, welche die Grundlage für die Standardisierungsmaßnahmen im Sicherheitsforschungsprogramm bieten, sind Industrieverbände eher selten beteiligt. Daher hat die geeignete Unterstützung der Standardverbreitung hier besondere Bedeutung. Eine Zusammenarbeit mit Industrieverbänden kann dabei wertvolle Mehrwerte bieten DIN EN Reihe: Alarm-, Einbruch- und Überfallmeldeanlagen Einführung Die Normenreihe DIN EN befasst sich mit Einbruch- und Überfallmeldeanlagen. Neben den Anforderungen an Einbruch- und Überfallmeldeanlagen (DIN EN ) beinhaltet die Reihe u.a. Normen für Meldezentralen (DIN EN ), Sensoren (DIN EN , -3, -4, -5, -6, -7.1, -7.2 und -7.3) und Signalgeber (DIN EN ). Für die Normenreihe ist innerhalb Deutschlands das DKE-Unterkomitee DKE/UK Gefahrenmelde- und Überwachungsanlagen zuständig, welches neben der Spiegelung des für die DIN EN verantwortlichen Technischen Komitees CLC/TC 79 auch die Spiegelfunktion des Technischen Komitee IEC/TC 79 wahrnimmt. Die nachfolgende Fallstudie basiert insbesondere auf einem Interview mit dem deutschen Gremienmitglied Markus Link (LINK GmbH) Projektbeschreibung Trotz ihres längeren Bestehens gab es innerhalb der Reihe DIN EN zum Zeitpunkt der Fallstudie sechs laufende Normungsprojekte. Besonders die Hersteller entsprechender Anlagen haben, so der Interviewpartner, ein Interesse daran, derartige Vorhaben anzustoßen, um Normen zu nutzen, die mit ihren aktuellen oder geplanten Produkten konform sind. Die aktiven Treiber stammten vorrangig aus Großbritannien und Deutschland, aber auch aus Frankreich, der Schweiz und den Niederlanden. Die Gremien setzten sich vorrangig aus Industrievertretern (Hersteller sowie Test- und Zertifizierungsstellen) zusammen. Darüber hinaus entsendeten gelegentlich Verbände und Errichter bzw. Installateure Delegierte. Aufgrund von Budgeteinschränkungen ist die Polizei nicht in den Gremien vertreten, obwohl sie ein besonderes Interesse an der praktischen An- 218

219 wendbarkeit späterer Anlagen hat. Im Folgenden werden die wichtigsten Erkenntnisse aus der Erarbeitung der Normenreihe dargestellt. Aus pragmatischen Gründen werden die Abläufe der sechs Projekte dabei nicht im Detail vertieft. Die Grundlage zur Verbreitung der neuen Normen wurde jeweils durch die Bekanntmachung der neuen Normungsvorhaben gelegt. Insbesondere Verbände und Interessenkreise informierten dabei im Rahmen der sie betreffenden Themengebiete über die neuen Projekte, aber auch über die späteren neuen Normen. Dadurch wurde auch möglichen Problemen entgegengewirkt, dass Hersteller in Technologien investieren, die kurze Zeit später möglicherweise nicht mehr dem durch die Norm definierten aktuellen Stand der Technik entsprechen Erfolgsfaktoren des Gremiums Durch den Interviewpartner wurden drei Erfolgsfaktoren in den Bereichen Gremienstruktur, Hintergründe der Teilnehmer und Projektmanagement aufgezeigt: Bei der Erstellung der DIN EN Reihe erwies es sich häufig als hilfreich, die jeweiligen Arbeitsgruppen weiter zu unterteilen. Die Untergruppen konnten effizienter agieren, da die geringere Anzahl an Personen zu weniger Konflikten und damit verbundenen Diskussionen führte. Erfahrungen in der Normung und Standardisierung, idealerweise durch die frühere Teilnahme an Normungsaktivitäten, erleichterten die Arbeit im Gremium. Wichtig waren dabei insbesondere Kenntnisse der Prozesse und der strukturellen Abläufe. Bei Normenreihen wie im vorliegenden Fall sei es zudem wichtig, die Inhalte der dazugehörigen Normen sowie die Struktur der Reihe genau zu kennen, um neue Normen und Änderungen korrekt einordnen zu können und mit den weiteren Dokumenten der Normenreihe zu synchronisieren. Ein weiterer Erfolgsfaktor betraf das Zeitmanagement. Im Rahmen der bisherigen Arbeiten der Normenreihe war es wichtig, mögliche Verzögerungen frühzeitig zu erkennen und gegenzusteuern Herausforderungen und Lösungen In den Normungsprozessen zeigten sich auch Herausforderungen. Die Gremien waren durch vielfältige kulturelle und länderspezifische Hintergründe gekennzeichnet. Dies erhöhte die Schwierigkeit, Kompromisse zu finden. Konkret existierten in den einzelnen Ländern unterschiedliche Rahmenbedingungen, welche bei der Erstellung der Norm zu berücksichtigen waren. Bei Alarmanlagen betraf dies beispielsweise die sogenannte Scharfschaltung. Während in Deutschland Fehlalarme bereits im Vorfeld zu vermeiden sind (Scharfschaltungsverhinderung bei anstehenden Alarmsituationen bei Aktivierung der Anlage), fordert Großbritannien eine Alarmverifikation (z.b. Überprüfung einer Alarmauslösung durch einen separaten Sensor). Auf dieser Basis einen allgemeingültigen Ansatz zu formulieren, stellte eine große Schwierigkeit dar. Oft war eine Kompromissbereitschaft dem Interviewpartner zufolge bei Dokumenteninhalten, für die keine speziellen europäischen Vorgaben existierten, gering. 219

220 Des Weiteren wurden punktuell finanzielle Barrieren deutlich. Obgleich die Vertretung nationaler Interessen in den Vorhaben häufig große Bedeutung hatte, können finanzielle Aspekte für die Beteiligung nationaler Teilnehmer an europäischen Normungs-Meetings aus Sicht des Interviewpartners eine Hürde darstellen Lessons Learned Auch diese Fallstudie zeigte spezielle Rahmenbedingungen, welche die Verbreitung von Normen fördern, aber für die Einführung von Spezifikationen teilweise nicht nutzbar sind. Die betrachteten Normen wurden im Rahmen einer Normenreihe erarbeitet, wobei die ersten Regelwerke bereits Jahre zuvor entwickelt wurden. Die Vielzahl der beteiligten Akteure und der entwickelten Normen sowie die dadurch erzielte Bedeutung des entsprechenden Normenkomitees förderten dabei die Wahrnehmung der Aktivitäten in der Normenreihe. Da DIN SPECs, die im Bereich Innovation des DIN entwickelt werden, im Gegensatz zu Normen der DIN EN Reihe keine Normenreihen fortsetzen, verdeutlicht dies erneut die Bedeutung, ihre Verbreitung auf geeignete Weise durch zusätzliche Maßnahmen zu fördern. Gleichzeitig ist ggf. ein stärkerer Kommunikationsaufwand notwendig, um über die Merkmale und Wirkungsweise der neuen Standards zu informieren. Einen weiteren Lernbeitrag boten die inhaltlichen Arbeiten des Komitees. Vor Beginn eines Normungs- oder Standardisierungsvorhabens sollten, so der Interviewpartner, die Rahmenbedingungen genauestens geprüft werden. Im Bereich Security kann es z.b. durch das Wirken des Verbands der Schadensverhütung (VdS) bereits Regelwerke geben, die als Grundlage für eine Normungstätigkeit dienen können. Zudem ist es äußerst wichtig, geeignete Teilnehmer für die Gremienarbeit zu finden. Hierfür sollten internationale Beziehungen genutzt werden. In einigen Ländern besteht die Möglichkeit, Unterstützung aus einem hierfür eingerichteten finanziellen Pool zu erhalten, der von mehreren teilnehmenden Verbänden und Unternehmen, z.t. auch mit Unterstützung der öffentlichen Hand, getragen wird. Eine wichtige Empfehlung des Interviewpartners betraf auf dieser Grundlage zudem die Einrichtung eines Finanzierungspools zur Finanzierung der Normungsarbeit. Weiterhin können Reisekosten durch die Nutzung moderner Medien, wie z.b. Videokonferenzen, reduziert werden. An den betrachteten Vorhaben konnten einige mit Sicherheit betraute öffentliche Beschaffer nicht mitwirken, da hierfür kein Budget vorgesehen war. Dies zeigt die Wichtigkeit, diese Zielgruppe noch stärker für die Bedeutung von Normen und Standards zu sensibilisieren. In der folgenden Tabelle werden die Erkenntnisse aus den vier zuvor dargestellten Fallstudien zusammengefasst. 220

221 Regelwerk/ Dimension Erfolgsfaktoren Erfahrungen in der Normungsarbeit bei Normenreihen genaue Kenntnis bisheriger Inhalte Bildung von Arbeitsgruppen im Gremium Herausforderung: z.t. geringe Kompromissbereitschaft der europäischen Delegierten Herausforderungen und Lösungen Empfehlungen CWA (Interface für EGNOS CS/EDAS Services) Aufbau eines gemeinsamen Verständnisses, wer die Zielgruppe des Regelwerks bildet Herausforderung: Zusammenstellen einer geeigneten Arbeitsgruppe Lösung: Realisierung durch Inkaufnahme eines höheren Aufwands früh alle relevanten Stakeholder einbinden Augenmerk auf den wirtschaftlichen Nutzen eines geplanten normativen Regelwerks legen Standardisierungsmaßnahmen in FuE-Projekten mit klaren Verwertungsstrategien verknüpfen CWA (Standard für Container Security & Tracking Devices) Neuartigkeit des Normungsgebiets verbreitungsfördernder Teilnehmerkreis geeignete Verknüpfung zwischen FuE und Normung Herausforderung: Abstimmung zwischen Teilnehmern mit technischem und wirtschaftlichem Hintergrund, Aufbau eines gemeinsamen Verständnisses des Themas Lösung: frühzeitig geeignete Zusammensetzung von Teilnehmern mit entsprechender Expertise, ausreichender Zeitraum zur Bestimmung der Ausrichtung des CWA Weitere Herausforderung: Gremienmitarbeit nach Projektende und Auslaufen der Förderung Zahl der Teilnehmer relativ groß halten, um eine hohe Akzeptanz zu gewährleisten Teilnehmer verschiedenster Bereiche gewinnen am Anfang keinen zu engen Fokus wählen, er schränkt die späteren Ergebnisse zu stark ein IEC Alarm systems - Electronic access control systems Neuentwicklung statt Adaption einer bestehenden Norm internationale, breite Besetzung des Gremiums Normungs- und Praxiserfahrungen der Mitglieder Herausforderungen: - Versuch von Akteuren, nur Aspekten zuzustimmen, die von eigenen Produkten erfüllt werden, - unterschiedliche länderspezifische Rahmenbedingungen - Kosten und Zeitaufwand Lösungen: - geeignete Gremienzusammensetzung, um der Umsetzung von Einzelinteressen vorzubeugen, - gezielte Nutzung allgemeiner Formulierungen - Wahl geeigneter Orte für die Gremientreffen, die für die europäischen Teilnehmer zu geringen Kosten führten einen geeigneten Anwendungsbereich definieren zahlreiche Vertreter aus der Praxis einbinden DIN EN Reihe: Alarm-, Einbruch- und Überfallmeldeanlagen Lösung: in einzelnen Fällen europäische Vorgaben Weitere Herausforderung: finanzielle Beschränkungen vor Vorhabensbeginn gezielt Regelwerke recherchieren, die inhaltliche Grundlagen für eine geplante Norm bieten könnten geeignete Teilnehmer gewinnen in Verbänden und Kooperationen Finanzierungspools für europäische und internationale Normungstätigkeiten bilden Darst. 75: Erkenntnisse aus ausgewählten externen Fallstudien

222 10.5. EN Serie TErrestrial Trunked RAdio (TETRA) Einführung Die folgende Studie beschäftigt sich mit der Frage, welche Aspekte bei der Entwicklung von Sicherheitsstandards angesichts des Spannungsfelds zwischen nationaler Sicherheitspolitik sowie europäischen Normen und Sicherheitsrichtlinien besondere Aufmerksamkeit erfordern. Sie basiert auf zahlreichen Primärquellen. Dabei handelte es sich neben Interviewprotokollen sowohl um öffentliche als auch um private Quellenarchive, insbesondere: Archive der Schengen-Telecom-Gruppe (persönliches Archiv von H. Borgonjen auf Grundlage von Material der ISC, der niederländischen ICT-Organisation der Polizei, Archive des niederländischen Innenministeriums und Archive von ETSI und seiner niederländischen Partnerorganisation NELO. Die Archive beinhalten u.a.: europäische Policy-Reports zu Standardisierungsfragen, Schriftverkehr (z.b. zwischen der EU und ihren Mitgliedsstaaten und zwischen ETSI und polizeilichen Organisationen), Protokolle beteiligter Ausschüsse der TETRA-Normung (z.b. der Schengen-Telecom- Gruppe) sowie Sekundärliteratur. Darüber hinaus wurden Interviews mit Schlüsselakteuren bei der Entwicklung von TETRA geführt. Die Interviewpartner repräsentierten u.a. Anwendergruppen (z.b. die Polizei), die niederländische Regierung, die Industrie sowie Gremienmitglieder bei ETSI (siehe Kap ) Initiierung des Vorhabens In den frühen 1990er Jahren entwickelten die Niederlande Pläne zur Entwicklung eines neuen nationalen Funknetzes für Notfall- und Katastrophendienste. Das Projekt wurde unter der Schirmherrschaft des niederländischen Innenministeriums als Police Communication System 2000 gestartet. Aufgrund einer Ausdehnung des Anwendungsbereichs erfolgte 1994 eine Umbenennung in C2000. Durch die Erweiterung wurde neben der polizeilichen Kommunikation auch die Kommunikation mit Rettungsfahrzeugen und der Feuerwehr in den Anwendungsbereich von TETRA einbezogen. Nahezu von Anfang an wollten die Niederländer ihr System auf einem gemeinsamen europäischen Standard aufbauen und engagierten sich bei ETSI Umsetzung des Vorhabens Innerhalb der europäischen Normungsorganisation ETSI wurde 1988 mit der Normentwicklung eines mobilen digitalen Funksystems begonnen. Zunächst wurde dieses System Mobi- 222

223 le Digital Trunking Radio System genannt erfolgte die Umbenennung in TETRA (Trans European Trunked Radio, später, als die globalen Einsatzpotentiale TETRAs bekannt wurden, TErrestrial Trunked Radio). In den USA wurde in jener Zeit ein zu TETRA konkurrierender Standard namens APCO25 entwickelt. Entscheidungsträger aus Großbritannien verfolgte seine Entwicklung mit Interesse. Sie hatten auch von ETSIs neuem Normungsprojekt für die Mobilfunkkommunikation Kenntnis und informierten die Niederländer darüber. Zunächst einigten sich beide Länder, dass die Briten die Entwicklungen in den USA und die Niederländer bei ETSI verfolgen würden. So begann die niederländische Beteiligung an dem Gremium ETSI RES 49-6, in welchem die TETRA-Norm entwickelt wurde (#1). Kurze Zeit später trat auch Großbritannien den Aktivitäten bei ETSI bei. Im gleichen Zeitraum wurde ein Arbeitskreis von Telecom-Experten der Schengen-Länder 50 gegründet. Er stellte sich die Aufgabe, die funktionalen Anforderungen der sich in der Entwicklung befindenden ETSI-Norm zu definieren. Laut einem niederländischen Vertreter in der Schengen-Telecom-Gruppe lehnten sich die Niederländer an die Entwicklungen in den USA an, beschlossen aber schließlich, einer von der europäischen Industrie entwickelten Norm den Vorzug zu geben (vgl. Hommels/Egyedi, 2010). Abgesehen von industriepolitischen Überlegungen erwarteten die Niederländer auch, dass eine europäische Norm im Vergleich zur amerikanischen Alternative besser auf europäische Bedürfnisse eingehen würde. Auf dieser Grundlage wurde die Bereitstellung europäischer Produkte angestrebt, die besser den spezifischen europäischen Gegebenheiten gerecht werden würden. Ein Beispiel im Kontext TETRAs boten die Sendesysteme. Die geographischen Entfernungen zwischen den großen Städten sind in Europa wesentlich geringer ist in den USA. Daher sind in der Telekommunikation schwächere Sender ausreichend, argumentierte ein Telecom-Techniker der niederländischen Polizei. Diese Ansicht wurde von deutschen Akteuren geteilt. Sie erkannten: the advantage of [the TETRA standard] over the APCO standard is that the latter is based on the American geographical and urban reality, which is altogether different from the European situation (Protokoll der Schengen-Telecom-Sitzung vom 23. Juni 1992). Einen Einsatz von Tetrapol und GSM, den beiden zu jenem Zeitpunkt verfügbaren technologischen Alternativen, zog die niederländische Regierung nie ernsthaft in Erwägung. Tetrapol war ein französischer Industriestandard, der von der Firma Matra entwickelt und von ETSI nicht anerkannt wurde. Die Niederländer wollten sich hingegen nicht auf einen Lieferanten festlegen. Daher stellte Tetrapol keine Option dar (#2, #1, #3). 49 Radio Equipment and Systems 50 Anfänglich unterzeichneten am 14. Juni 1985 vier Länder (Belgien, die Niederlande, Luxemburg, Deutschland und Frankreich) das Schengen-Abkommen. Das Abkommen brachte die Ambition zum Ausdruck, ein paneuropäisches Netzwerk für öffentliche Sicherheit und Justiz zu schaffen und die Kooperation zwischen den Polizeidiensten in den verschiedenen europäischen Ländern zu fördern. Es wurde 1997 im Vertrag von Amsterdam offiziell als europäische Policy übernommen. 223

224 GSM wurde von Polizeiexperten abgelehnt, weil es keine Gruppenkommunikation erlaubte und zu viel Zeit zum Aufbau von Funkverbindungen für Telefonkonferenzen benötigte. Dieses Merkmal machte GSM für Rettungsdienste ungeeignet. Darüber hinaus war das GSM- Netzwerk nicht dediziert, wodurch es anfälliger für illegale Zugriffe war (#2). Während die Schengen-Telecom-Gruppe noch über die funktionalen Anforderungen der Norm diskutierte und ETSI an grundsätzlichen Aspekten ihrer Norm arbeitete, wuchs die Präferenz der niederländischen Regierung für TETRA. Im Dezember 1994 unterzeichnete sie ein Memorandum of Understanding (MoU), welches die kollektive Unterstützung der TETRA-Norm signalisierte. Die Unterzeichner des MoU (Hersteller, Anwender, Behörden und akkreditierte Prüfinstitute) gaben ihr Engagement für die TETRA-Technologie und ihre Absicht bekannt, Produktentwicklungen auf Basis von TETRA zu stimulieren. Obwohl mit diesem Schritt keine vertragliche Verpflichtung verbunden war, galt er als ein wichtiger Schritt im niederländischen Entscheidungsprozess (vgl. Hommels/Egyedi, 2010). Im Jahr 1994 wurde in den Verhandlungen über TETRA und C2000 unter den holländischen Akteuren bereits ein starkes Einverständnis über den technologischen Ansatz sichtbar. Eine Ursache und ein Schlüsselproblem hierfür stellten die veralteten analogen Kommunikationssysteme der niederländischen Polizei dar. Die eigene Entwicklung eines neuen landesweiten Systems erschien wirtschaftlich nicht rentabel. Das Hauptziel war daher, in den Niederlanden ein digitales Kommunikationsnetz auf Grundlage einer offenen europäischen Norm zu implementieren. Zu diesem Zeitpunkt wurde TETRA als der beste Weg angesehen, um dieses Ziel zu erreichen, obwohl die Normung und Konkretisierung der Merkmale TETRAs noch nicht abgeschlossen war. Die Norm sollte offen sein, weil die Niederländer die Etablierung eines Multi-Anbieter-Markt ohne Abhängigkeiten von einzelnen Lieferanten oder Herstellern anstrebten. Sie sollte zudem "europäisch" sein, weil die Niederlande zur Erfüllung der Schengen-Ziele beitragen und die europäische Industrie fördern wollten. Die niederländische Regierung investierte in TETRA, indem sie: Delegierte wichtiger Vertreter in die Schengen-Telecom-Arbeitsgruppe und den ETSI RES-6 Ausschuss sendete, pro-aktiv den Aufbau von Wissen und Know-how förderte, ihr Wissen im öffentlichen Sicherheitssektor teilte, und versuchte, ETSI von den funktionalen Spezifikationen, die sie für das niederländische Netzwerk benötigte, zu überzeugen. Neben der öffentlichen Verpflichtung durch die Unterzeichnung des TETRA-MoU betrieben die Niederlande in anderen europäischen Ländern aktiv Lobbyarbeit für TETRA. Dabei erklärte sich die niederländische Regierung bereit, eine führende Rolle bei der Umsetzung der öffentlichen Sicherheitsnetzwerke in Europa zu spielen. Ein Beamter, damals zuständig für internationale Beziehungen beim niederländischen Innenministerium, äußerte dabei: Yes, we knew that we were going to take a risk with the new technology and the new standard. But, okay, ( ) someone has to be the first to implement them. We invested a lot in spreading the uptake of the TETRA standard because we found it 224

225 very important to have, in Europe, a [common] radio communication network for emergency services, comparable with GSM. (#3) Im Laufe des Jahres 1998 verzeichnete TETRA einen starken Bedeutungszuwachs in Europa. Im Oktober 1998 hatten sich bereits die Niederlande, Belgien, Großbritannien, Finnland, Norwegen, Schweden und Portugal für TETRA entschieden 51. Die Niederlande strebten jedoch eine noch stärkere Verbreitung an. Daher plädierte der stellvertretende niederländische Innenminister, Gijs de Vries, für einen stärkeren Konsens innerhalb Europas. Sollten die übrigen Länder eine andere Norm wählen, würde dies die grenzüberschreitende Kommunikation behindern. Er bat deshalb die Europäische Kommission, die TETRA-Option unter den Mitgliedsstaaten zu fördern. Die Kommission antwortete jedoch, dass das öffentliche Vergaberecht in Europa eine Präferenz für TETRA und den Ausschluss von alternativen Technologien wie Tetrapol nicht erlaube, da dies gegen das Prinzip des offenen Marktes verstoßen würde 52. Herr de Vries begann daraufhin direkt unter den verbleibenden und den zu jenem Zeitpunkt kandidierenden europäischen Mitgliedsstaaten wie Polen und Ungarn Lobbyarbeit für TETRA zu betreiben. Die letztgenannten Länder entschieden sich schließlich für TETRA. Niederländische Regierungsvertreter waren sich der Risiken bewusst, die sie bei der Auswahl eines Systems, das noch nicht existierte, eingingen. Während sie bis 2002 alternative Optionen untersuchten, galt "the only conclusion of those studies was that there was no alternative. It has to be either this standard or we would have had to fall back on [inadequate] analogue technology. (#3) Der Forschungs- und Entwicklungsleiter der niederländischen Polizei stimmte zu: There were no better alternatives ( ) [therefore] the best thing one can do is use one s energy ( ) to make this standard a success. (#1) Eine hochrangiger Beamter des niederländischen Justizministeriums, der zu jener Zeit stark in die internationale polizeiliche Zusammenarbeit involviert war, erwähnte auch den Verlust des internationalen Ansehens, welchen die Niederlande erleiden würden, sollte sie TETRA aufgeben: We have invested so much in it and have come so far ( ) to then change views all of a sudden [and back another option] ( ). You soon end up empty-handed. ( ) Once you choose for a certain direction, even if better alternatives become available, you have to be very careful about opening up the discussion again. You can easily loose your credibility and risk losing the coalitions you have forged. (#4) 1997 veröffentlichte die niederländische Regierung eine Ausschreibung für die Entwicklung und Umsetzung des C2000-Netzwerks. Im April 1999 unterschrieb sie einen Vertrag mit Tetraned/Motorola. Minister de Vries äußerte hierzu: 51 Mitschriften des holländischen Parlaments , , Nr Brief des Deputy Minister of Internal Affairs to the Parliament, 16. Februar 2001, , Nr. 19, S

226 As long as a hundred small communication networks exist in the Netherlands, there will be communication problems between regions as well as between emergency services and the emergency response will not be optimal. For the safety of our citizens it is thus of utmost importance that there is one common communication system 53. Dem Vertrag zufolge würde Tetraned das Netzwerk für eine Pilotregion aufbauen. Im Erfolgsfall würde Tetraned den Auftrag zur Errichtung des nationalen Netzwerks erhalten. Dies bedeutete, dass es einen Termin über die grundsätzliche Weiterführung der Zusammenarbeit geben sollte. Obwohl Tetraned das Testnetz in der Pilotregion zu spät implementierte und nur Teile der angeforderten Funktionalitäten realisiert hatte, wurde der Vertrag schließlich fortgesetzt. Im "Roll-out"-Bericht 54 wurde dabei erörtert, dass eine Verschiebung der Umsetzung von C Millionen Gulden pro Monat kosten würde, da die vorhandenen analoge Geräte empfindlich und schwer zu ersetzen waren und Investitionsentscheidungen aufgrund von C2000 verschoben worden waren. Im Jahr 2000 wurden die Niederlande von zwei traumatischen Katastrophen heimgesucht, die die niederländische Haltung gegenüber TETRA stark beeinflussten. Im Mai 2000 explodierte eine Feuerwerkslagerhalle in der niederländischen Stadt Enschede nahe der deutschen Grenze. Dreiundzwanzig Menschen starben und über 950 Menschen wurden verletzt. Darüber ereignete sich beim Jahreswechsel 2000/2001 ein Unfall in Volendam. Ein Großbrand zerstörte ein Café, in dem viele junge Menschen Silvester feierten. Vierzehn Menschen starben und 180 Menschen wurden verletzt. Die beiden Katastrophen führten zu der Bestrebung, die nationale Einführung von C2000 zu beschleunigen: the disasters in Enschede and Volendam have shown that the present analogue radio communication networks of the public safety services urgently need replacement. 55 Ein weiteres, resultierendes politisches Ziel war eng mit der Einführung der C2000 verflochten: die Reorganisation der Notrufzentralen. Anstatt für jeden Rettungsdienst eine eigene Notrufzentrale zu nutzen, sollten sich die drei bestehenden Notdienste eine Zentrale teilen. Dies konnte nur mit einem einheitlichen nationalen Funknetz für alle drei Notdienste gelingen Lessons Learned Die Entwicklung von TETRA zeigt die Vorteile einer europäischen Norm aus der Perspektive der Regierung eines europäischen Mitgliedsstaates, den Niederlanden. Abgesehen von der Notwendigkeit einer grenzüberschreitenden Interoperabilität im Falle von Sicherheitsproblemen und Katastrophen in Grenzregionen gab es hierfür entsprechend der Machbarkeitsstudie TETRA vom Juli 1994 wirtschaftliche Gründe: der niederländische Sicherheitsmarkt war für die Hersteller zu klein, um nur Produkte für den einheimischen Markt zu entwickeln. Eine 53 Mitschriften des holländischen Parlaments , Nr. 14, S Nota Voluit report (preparation nation-wide roll-out C2000) Versie 1.2 J.H. Brinkman, Fortschrittsreport C2000 an das Parlament, , S

227 einheitliche Norm für die gesamte öffentliche Sicherheit in Europa würde Preisvorteile, die Möglichkeit der Lieferantenauswahl sowie technische Alternativen bieten. Die Niederlande sahen die Unabhängigkeit von bestimmten Lieferanten dabei als einen grundlegenden Vorteil der Europäischen und internationalen Normung an. Darüber hinaus würde aufgrund der Komplexität der Technik und der Entwicklungskosten eine europäische Norm benötigt. Die europäische Industrie auf diesem Gebiet sollte hierdurch gefördert werden (vgl. Hommels/Egyedi, 2010). Viele Gründe zur Normung von TETRA können auch für andere nationale Sicherheitsmärkte angewendet werden, z.b. der Bedarf für grenzüberschreitende Interoperabilität von Sicherheitsdiensten, Herstellerunabhängigkeit und das öffentliche Interesse bei der Förderung der europäischen Industrie. Vor allem aber zeigt die Fallstudie die zentrale Bedeutung von nationalen Bündnissen und Lobbyismus in europäischen Normungsgremien sowie auf nationaler Ebene. Darüber hinaus sensibilisiert die Studie auch für mögliche Herausforderungen bei der Entwicklung dual national-europäischer Normungsstrategien, die im Hinblick auf die Umsetzung des Europäischen Security Standardization Mandates M/487 benötigt werden. TETRA gab dabei ein Beispiel für die erfolgreiche Verfolgung einer derartigen Strategie Spezieller Quellennachweis Die Fallstudie wurde von drei Autorinnen verfasst: Simone Wurster, Technische Universität Berlin, Institut für Technologie und Management, Tineke M. Egyedi, Delft University of Technology, Department of Infrastructures/ TPM Faculty, Anique Hommels, Maastricht University, Faculty of Arts and Social Sciences, Department of Technology and Society Studies. Alle Interviews und Archiv-Analysen wurden von den niederländischen Forscherinnen durchgeführt. Die Ergebnisse ihrer Arbeiten wurden auch in Hommels, A., Egyedi, T. M. (2010). Beyond the 'Point of No Return': Constructing Irreversibility in Decision Making on the Tetra Standard in Dutch Emergency Communication. International Journal of IT Standards & Standardization Research, 8/1, publiziert. Hier relevante Primärquellen sind: #1. Ehemaliger Leiter des R&D Departments der holländischen Polizei, ehemaliger Chairman der Schengen Telecom, ehemaliges Mitglied bei ETSI RES-6, welches die Niederlande repräsentierte; Odijk: ; #2. Telecom-Experte der holländischen Polizei, holländischer Repräsentant der Schengen Telecom, Systemarchitekt von C2000; Odijk: ; Driebergen: #3. Beamter des holländischen Ministry of the Interior mit Verantwortung für Polizei und internationale Kontakte; Den Haag: #4. Ehemaliger hochrangiger Beamter des holländischen Ministry of Justice, holländischer Delegationsleiter bei Schengen; Leiden:

228

229 11. Zusammenfassung der Erkenntnisse und Handlungsempfehlungen für die Normung und Standardisierung im Sicherheitsforschungsprogramm In diesem Kapitel werden Erfolgsfaktoren sowie mögliche Herausforderungen und ihre Überwindung bei der Entwicklung security-bezogener Normen und Spezifikationen zusammengefasst und Empfehlungen abgeleitet Erfolgsfaktoren in den Projekten Im Rahmen von InfraNorm konnten zahlreiche Erfolgsfaktoren in security-bezogenen Normungs- und Standardisierungsprojekten ermittelt werden. Zunächst werden sie thematisch und anschließend prozessbezogen entsprechend den Entwicklungsschritten von Normungsund Standardisierungsvorhaben dargestellt. Thematisch wurden security-bezogene und weitere Erfolgsfaktoren unterschieden. Die zweitgenannte Erfolgsfaktorengruppe umfasst dabei drei Kategorien: strukturelle Erfolgsfaktoren des Gremiums, prozessbezogene Erfolgsfaktoren sowie geeignete Inhalte der Regelwerke: Security-bezogene Erfolgsfaktoren Vier ermittelte Erfolgsfaktoren beziehen sich auf spezielle security-bezogene Aspekte der Regelwerke. Sie beinhalten: Die Identifikation und gezielte Aussparung sicherheitskritischer Aspekte Die Berücksichtigung ethik- und privacy-spezifischer Aspekte Den Einbezug öffentlicher Beschaffer in die Normungs- bzw. Standardisierungsprojekte sowie Ein weites Anwendungsspektrum der Regelwerke auch im Nicht-Gefahrenfall. Die Faktoren basieren insbesondere auf den Erkenntnissen aus der Erstellung der Spezifikationen zum Datenaustausch in der zivilen Gefahrenabwehr, für mikroskopische Entfluchtungsanalysen, für die Security-Modellierungstechnik sowie auf den InfraNorm-Studien (2011 und 2012) in Verbindung mit dem Standardisierungsmandat M/487 (Europäische Kommission, 2011). Die gezielte Aussparung sicherheitskritischer Aspekte kennzeichnete insbesondere die Erarbeitung der DIN SPEC für mikroskopische Entfluchtungsanalysen. Begünstigend wirkt, dass sicherheitskritische Aspekte nur in Teilbereichen der security-bezogenen Normung und Standardisierung eine Rolle spielen. Bei der Entwicklung der Security-Terminologie beispielsweise stellten diese Aspekte kein Problem dar. Die Bedeutung ethik- und privacy-spezifischer Erfolgsfaktoren wurde insbesondere in den Studien InfraNorm (2011 und 2012) sowie durch das Standardisierungsmandat M/487 (Europäische Kommission, 2011) deutlich. In dem Mandat wird gezielt dazu aufgefordert, derartige Aspekte in künftige europäische security-bezogene Normungs- und Standardisierungsprojekte zu integrieren. 229

230 Ein gelungenes Beispiel für den Einbezug öffentlicher Beschaffer bot die Standardisierung der Security-Modellierungstechnik. Der letztgenannte Erfolgsfaktor, ein weites Anwendungsspektrum, welches auch Nicht-Gefahrenfälle einschließt, kennzeichnet z.b. das Datenaustauschformat zur zivilen Gefahrenabwehr. Die erweiterten Einsatzmöglichkeiten steigerten dabei den Wert der Spezifikation. Strukturelle Erfolgsfaktoren des Gremiums Zur Ermittlung der gremienbezogenen Erfolgsfaktoren trugen sowohl die InfraNorm-Projekte als auch die ergänzenden Fallstudien bei. Im Ergebnis waren vier erfolgsfördernde Merkmale bedeutsam: Normungserfahrungen im Gremium, v.a. des Obmanns Eine geeignete Gremienzusammensetzung Den Einbezug von Praxisvertretern und die Nutzung von Praxiserfahrungen sowie Die gezielte Gewinnung von Vertretern wichtiger Zukunftsmärkte bei Europäischen und internationalen Vorhaben. Die ersten beiden Erfolgsfaktoren resultierten u.a. aus den Fallstudien über die Standardisierungen des Datenaustauschformats und der mikroskopischen Entfluchtungsanalysen sowie aus den Fallstudien IEC , DIN EN und CWA Die Bedeutung einer zielorientierten Gewinnung geeigneter Teilnehmer zeigte beispielsweise die Fallstudie DIN EN Die Partnergewinnung kann auch im Hinblick auf eine Begünstigung der späteren Verbreitung des Regelwerks erfolgen und diesbezügliche Mehrwerte schaffen. Der Erfolgsfaktor Praxiserfahrung wurde v.a. in der Fallstudie zur IEC betont. Für Standardisierungsprojekte im Sicherheitsforschungsprogramm resultiert daraus die Empfehlung, in die entsprechenden Vorhaben neben den Forschungspartnern gezielt auch geeignete Praxisvertreter einzubeziehen. Ein treffendes Beispiel für die Gewinnung von Vertretern wichtiger Zukunftsmärkte bot das Projekt Smart-CM. Bei der Entwicklung des CWA wurde dabei in Bezug auf ihren späteren Einsatz die hohe Bedeutung des USamerikanischen und chinesischen Marktes erkannt. Daher wurden gezielt entsprechende Vertreter für das europäische Normungsvorhaben gewonnen. Prozessbezogene Erfolgsfaktoren Die prozessbezogenen Erfolgsfaktoren wurden insbesondere aus den Fallstudien Datenaustausch in ziviler Gefahrenabwehr und mikroskopische Entfluchtungsanalysen sowie Security-Modellierungstechnik abgeleitet. Sie umfassen acht Aspekte: Eine geeignete Verknüpfung zwischen Forschung und Normung Transparenz der Ziele und Beiträge der Partner Wirksames Zeitmanagement Eine geeignete Projektstrukturierung und Arbeitsteilung Ergänzender Einsatz elektronischer Hilfsmittel, z.b. von Wikis und DropBox Eine geeignete Kommunikation mit der Zielgruppe 230

231 Die Erprobung des praktischen Einsatzes der Spezifikation sowie Die Unterstützung der Adoption des Regelwerks durch geeignete Marketingmaßnahmen. Ein Beispiel für eine geeignete Verknüpfung zwischen Forschung und Standardisierung bot neben dem Vorhaben Datenaustauschformat für die zivile Gefahrenabwehr das CWA Einen transparenten Austausch über ihre Standardisierungsziele praktizierten die Teilnehmer des Standardisierungsvorhabens zur Erstellung des Datenaustauschformats ebenfalls. Dies förderte das gegenseitige Vertrauen im Arbeitsprozess sowie die spätere Konsensfindung. In Bezug auf das Zeitmanagement wurden Telefonkonferenzen häufig als vorteilig gegenüber einem reinen austausch erachtet sowie punktuell als zeit- und kostengünstige Alternative zu persönlichen Treffen angesehen. Ergänzend kamen Dropbox und Wikis zum Einsatz. Des Weiteren konnten die Teilnehmer mehrerer InfraNorm-Projekte die erforderliche Zeit und Kosten reduzieren, indem Treffen der Standardisierungsgremien mit Terminen der relevanten FuE-Projekte verbunden wurden. Zur geeigneten Arbeitsteilung wurde z.b. im Kontext der DIN EN die Gründung von Adhoc-Arbeitsgruppen empfohlen. Im Hinblick auf die Kommunikation mit der Zielgruppe erwies sich die Entwicklung der Spezifikation für mikroskopische Entfluchtungsanalysen als besonders beispielhaft. Als Grundlage eines konstruktiven Dialogs wurden die Arbeiten mehrfach auf Workshops einer Industrievereinigung vorgestellt. Gezielt wurden ferner im Internet, z.b. in einer XING- Gruppe, Informationen über das Vorhaben ausgetauscht. Ein gelungenes Beispiel für die Erprobung eines Regelwerks durch praktische Implementierungen im Rahmen des Standardisierungsprozesses bot die Standardisierung der Security-Modellierungstechnik. Umfangreiche attraktive Marketingmaßnahmen kennzeichnen die Standardisierung des Datenaustauschformats und die anschließende Anwendungsphase der erarbeiteten Spezifikation. Geeignete Inhalte der Standards und Normen Zur Ermittlung der Erfolgsfaktoren, welche die Inhalte der Spezifikationen betreffen, diente insbesondere die Fallstudie Datenaustauschformat und Security-Terminologie. Es handelt sich um: Den Aufbau auf bestehenden Regelwerken Einen breiten Zielgruppenfokus Eine gezielte Ausrichtung auf die technischen Voraussetzungen der Zielgruppe und auf die spätere Akzeptanz des Regelwerks Die Sicherung von Internationalisierungsmöglichkeiten für das Regelwerk sowie Die Berücksichtigung von Erweiterungs- und Weiterentwicklungsmöglichkeiten. 231

232 In mehreren Fallstudien wurde es als vorteilhaft angesehen, in neuen Normungs- oder Standardisierungsgebieten aktiv zu sein, in denen kaum bestehende Regelwerke zu berücksichtigen sind und in denen das Vorhaben auch zu keinem Ersatz von Regelwerken führt. Dennoch erweist sich eine gezielte Suche nach Regelwerken als hilfreich, um Doppelarbeit zu vermeiden und durch Referenzierung Vertrauen zu schaffen. Insbesondere in Bezug auf Privacy-Aspekte existieren, wie in Kap. 7 gezeigt, viele referenzierbare Regelwerke. Um die spätere Verbreitung eines neuen Regelwerks zu fördern, ist ein weiter Zielgruppenfokus empfehlenswert. Insbesondere bei der entwicklungsbegleitendenden Normung, die auf innovativen FuE-Vorhaben aufbaut, ist es zudem wichtig, die technischen Voraussetzungen der Zielgruppe auf geeignete Weise zu berücksichtigen. Der Internationalisierungsaspekt hat insbesondere bei nationalen Vorhaben Bedeutung. Bei der Entwicklung der DIN SPEC des Datenaustauschformats für die zivile Gefahrenabwehr waren zur Gewährleistung der Internationalisierung insbesondere technische Aspekte bedeutsam. Bei der Terminologie-Spezifikation könnte sich eine Internationalisierung als anspruchsvoll erweisen, da die referenzierten Regelwerke international nicht einheitlich genutzt werden. Hier werden später spezielle Lösungen erforderlich. Gleichzeitig wurde durch das gewählte Vorgehen klar dem Bedarf deutscher Akteure an die Inhalte der Spezifikation entsprochen. In der Fallstudie IEC wurde verdeutlicht, dass eine Internationalisierung aufgrund weiterer länderspezifischer Unterschiede erfordern kann, Teile der Regelwerke ausschließlich grob zu formulieren und Freiheitsgrade zu ermöglichen. Attraktive Weiterentwicklungsmöglichkeiten in technischer Hinsicht wurden insbesondere bei der Entwicklung der Spezifikation für den Datenaustausch in der zivilen Gefahrenabwehr deutlich Herausforderungen und Lösungen in den Projekten Auf Grundlage der InfraNorm-Umfrage und der Fallstudien wurden auch Herausforderungen ermittelt. Phasenbezogen wurden im Rahmen der Umfrage InfraNorm (2011) z.b. Probleme erörtert, die bereits bei der Initiierung der Vorhaben beginnen. In besonderer Weise bieten die Innovationsplattformen ( als intensiv genutzte Medien im Sicherheitsforschungsprogramm dabei Möglichkeiten, Normungs- und Standardisierungsprojekte und Projektideen anzukündigen und zusätzliche Partner zu gewinnen. Weitere mögliche Probleme werden nachstehend erörtert. Betrachtet werden dabei die Aspekte Ressourcen- und Zeitbedarf, Konsensfindung, Akzeptanz des Regelwerks, Spezialaspekte der Security-Normung und -Standardisierung sowie die Weiterentwicklung der Regelwerke. Hierauf basierend werden Lösungsansätze aus zwei speziellen Projekten in Darst. 76 zusammengefasst und gegenübergestellt. Die ermittelten Synergien zwischen Forschungs- und Standardisierungsmaßnahmen machten einen verringerten Ressourcenbedarf zur Normung bzw. Standardisierung möglich. Dies ermöglichte es auch, die relevanten Vorhaben in relativ kurzer Zeit umzusetzen. In Bezug auf die Konsensfindung ist eine geeignete Rahmenbedingung dadurch gegeben, dass sich viele Akteure FuE-begleitender Standardisierungsprojekte bereits durch die Forschungsaktivitäten kennen und die Standardisierungsvorhaben auf ihre Forschungsergebnisse abstimmen können. 232

233 Zur Förderung der Akzeptanz der späteren Spezifikationen wurde der Nutzen von Workshops deutlich, in denen sowohl FuE-Themen als auch die Standardisierung adressiert wurden. Potenzielle allgemeine Probleme Ressourcen- und Zeitbedarf Konsensfindung/ Konflikte innerhalb des Gremiums Akzeptanz und Nutzbarkeit security-spezifische Spezialaspekte Weiterentwicklung der Regelwerke Lösungen in zwei betrachteten Projekten, um derartige Probleme zu lösen bzw. zu umgehen DIN SPEC Datenaustauschformat DIN SPEC für mikroskopische Entfluchtungsanalysen Geeignete Verbindung zwischen Forschung und Standarrenzen und die Nutzung web- Effizienz durch Telefonkonfedisierung mit angemessener basierter Werkzeuge Ressourcenplanung Nutzbarkeit von Vorarbeiten Normungserfahrung des Obmanns Wirksames Zeitmanagement auf Grundlage einer geeigneten Selektion und Definition der Projektziele Angemessene Gremienzusammensetzung Transparenz der Ziele und Beiträge der Partner Klar definierter Mehrwert der DIN SPEC basierend auf Interviews, Workshops etc. innerhalb eines FuE-Projekts Breiter Zielgruppenfokus Unterstützung der Adoption der DIN SPEC durch vielfältige Marketingmaßnahmen Inanspruchnahme identifizierter Synergien mit weiteren FuE- Projekten Nutzbarkeit der DIN SPEC für Datenaustausch sowohl im Ausnahmezustand als auch im Regelbetrieb Sicherstellung der Internationalisierung und technischer Möglichkeiten zur Weiterentwicklung Monitoring der Reaktionen auf die DIN SPEC zur Bestimmung weiterer Schritte Normungserfahrung des Obmanns Wirksames Zeitmanagement durch Strukturierung des Vorhabens in Teilprozesse Positive gemeinsame Kooperationserfahrungen der Gremienmitglieder Klar definierter Mehrwert der DIN SPEC durch spezifische Markt- und Technologiekenntnisse der Teilnehmer Adressierung einer internationalen Normungslücke Nutzbarkeit etablierter Netzwerke Geeignete Kommunikation mit der Zielgruppe Vermeidung einer frei verfügbaren Konkretisierung von Evakuierungszeiten um einen Missbrauch der Spezifikation zu vermeiden Monitoring der Reaktionen auf die DIN SPEC zur Bestimmung weiterer Schritte Darst. 76: Ausgewählte Probleme der Sicherheitsforscher und Lösungen in den Fallstudien In Bezug auf Spezialaspekte der security-spezifischen Normung oder Standardisierung erwies es sich als günstig, eine Nutzung auch im Nicht-Gefahrenfall zu ermöglichen. Sicherheitskritische Aspekte wurden gezielt aus der Standardisierung ausgespart. So wurde bei der Entwicklung der Spezifikation für mikroskopische Entfluchtungsanalysen keine frei verfügbare Konkretisierung von Evakuierungszeiten vorgenommen, um einen Missbrauch der Spezifikation zu vermeiden. 233

234 Die Weiterentwicklung der betrachteten DIN SPECs beinhaltet z.b. Maßnahmen zur Erstellung einer DIN Norm oder eines europäischen bzw. internationalen Regelwerks. In der Regel werden DIN SPECs nach drei Jahren geprüft. Derartige Reviews sind zur Bewertung der Regelwerke und zur Definition erforderlicher Anpassungen von hoher Bedeutung. Da viele InfraNorm-Partner aus Forschungsinstituten im Rahmen öffentlich finanzierter Projekte tätig sind, werden Lösungen zur finanziellen Sicherstellung der Weiterentwicklung der DIN SPECs erforderlich. In den Fallstudien stellte sich ferner das Problem des Personalwechsels als ausgeprägt dar. Es wurde in drei von sechs InfraNorm-Projekten (zum Teil mehrfach) beobachtet 56. Es betrifft sowohl aktuelle Projektaktivitäten als auch die spätere Weiterentwicklung. In der Fallstudie CWA wurde das Problem ebenfalls erörtert. Hochschulen und Forschungseinrichtungen beschäftigen ihre Mitarbeiter häufig auf der Grundlage von Wissenschaftszeitverträgen. Dies wirft die Frage auf, wie in diesem Kontext die Weiterentwicklung von Normen und Spezifikationen betreut wird. Daher erscheint es empfehlenswert, Verantwortliche mit unbefristeten Beschäftigungsverhältnissen für die weitere Entwicklung der Normen und Spezifikationen und die langfristige Sicherung der Organisationsinteressen zu ernennen. Dieser Ansatz ist insbesondere für Normungs- oder Standardisierungsvorhaben von Nutzen, deren Projektleiter befristet eingestellt sind. Lösungsansätze konnten hier bei der Entwicklung der DIN SPEC für das Datenaustauschformat erarbeitet werden. Gezielt bestätigten sich die beteiligten Institute gegenseitig, Ansprechpartner für weitere Entwicklungsschritte bereitzustellen. Ausführliche Lösungen werden in Kap anhand von Darst. 77f beschrieben Handlungsempfehlungen Empfehlungen für Teilnehmer des Sicherheitsforschungsprogramms In diesem und dem folgenden Teilkapitel werden Hinweise für die Teilnehmer des Sicherheitsforschungsprogramms sowie strategische Empfehlungen für die weitere Programmgestaltung gegeben. Sie basieren auf den Erkenntnissen aus Kap und 11.2 und werden Bezug nehmend auf die sechs allgemeinen Normungs- und Standardisierungsphasen Vorbereitung, Initiierung, Entwicklung, Veröffentlichung, Anwendung und Überarbeitung dargestellt. Eine grundlegende Empfehlung für die Programmteilnehmer betrifft die strategische Verankerung der Normungs- und Standardisierungsaktivitäten. In vielen forschenden Organisationen stehen für Patentierungsfragen zentrale Ansprechpartner zur Verfügung. Um geeignete Rahmenbedingungen für Normungs- und Standardisierungsprojekte zu entwickeln, ist es hilfreich, auch mit der diesbezüglichen Unterstützung spezielle Ansprechpartner zu betrauen und die Normungs- und Standardisierungsaktivitäten organisationsweit transparent zu machen. In großen Unternehmen ist dies häufig gewährleistet. In KMU und Forschungseinrichtungen gestalten sich die Situationen sehr unterschiedlich. Handlungsbedarf und -potential werden dabei v.a. im Kontext der Hochschulforschung gesehen. 56 In diesem Handbuch wurden vier der sechs Vorhaben betrachtet. 234

235 Für die Vorbereitung spezieller FuE-basierter Normungs- oder Standardisierungsvorhaben ist es wichtig, die Aktivitäten frühzeitig in der FuE-Projektplanung zu berücksichtigen. Im Rahmen vieler öffentlicher Förderprogramme sind Normungs- und Standardisierungsaktivitäten zum FuE-Ergebnistransfer förderbar. Daher ist bereits bei der Antragstellung eine Planung der entsprechenden Maßnahmen empfehlenswert. Die Maßnahmen können z.b. in Arbeitspakete zur Verbreitung der Projektergebnisse integriert werden, vgl. Ganesh (2012). Gemessen am Zeitplan der relevanten FuE-Projekte bietet eine frühzeitige Initiierung der Normungs- bzw. Standardisierungsvorhaben häufig Vorteile, insbesondere zur Nutzung möglicher Synergien. Denkbar sind dabei z.b. kombinierte Bedarfsanalysen bei der Zielgruppe, um sowohl Informationen zur Gestaltung der Forschungsvorhaben als auch über erforderliche Inhalte der geplanten Regelwerke zu gewinnen. Erfahrungen des Projekts InfraNorm zeigten nicht nur in diesem Kontext die Bedeutung, eine grundsätzliche Normungs- bzw. Standardisierungsbereitschaft in den Konsortialverträgen von FuE- Projektkonsortien zu fixieren. Durch den Zusammenschluss vieler Projektverbünde mit ähnlichen Ausrichtungen bieten die Innovationsplattformen attraktive Möglichkeiten, um Partner für Normungs- oder Standardisierungsvorhaben zu gewinnen. Geeignete Norm- und Standardrecherchen ermöglichen die Definition klarer Alleinstellungsmerkmale der geplanten Regelwerke. Die gezielte Wahl von Projektpartnern mit einer guten Marktpositionierung kann die spätere Verbreitung der Regelwerke enorm begünstigen. Im Bereich der zivilen Sicherheit stellen öffentliche Beschaffer eine wichtige Gruppe von Nachfragern für Produkte und Dienstleistungen dar. Daher hat ihr Einbezug in Normungs- und Standardisierungsprozesse eine besondere Bedeutung. Blind (2009) zeigte, dass Normen und Standards die Entwicklung von Leitmärkten fördern können. Gleichzeitig ist es wichtig, eine Anwendbarkeit der Regelwerke in bedeutenden Zukunftsmärkten sicherzustellen und dem Beispiel des CWA entsprechend in Europäischen und internationalen Standardisierungsprojekten gezielt Teilnehmer aus diesen Regionen einzubeziehen. Darst. 77 fasst die Empfehlungen für die Vorbereitung und Initiierung zusammen. In der Entwicklungsphase sind Synergien nutzbar, um Normungs- und Standardisierungsmaßnahmen mit anderen Aufgaben der relevanten FuE-Projekte zu verbinden und die spätere Entwicklung des Regelwerks effizient zu gestalten. Synergien können beispielsweise erzielt werden, indem Projekt- und Standardisierungsmeetings miteinander verbunden werden, sodass der Reiseaufwand für das relevante Standardisierungsvorhaben möglichst gering ist. Bei Normen und Standards im Security-Kontext ist es besonders wichtig, eine Übereinstimmung mit relevanten privacy-spezifischen Regelwerken sicherzustellen. Bei Bedarf sind in die Normungs- oder Standardisierungsaktivitäten Rechtsexperten und Vertreter der von der Technologieanwendung Betroffenen zur Berücksichtigung von Privacy-Aspekten einzubeziehen. Dies kann auch zur späteren Akzeptanzsteigerung der Regelwerke sowie der entsprechenden technischen Lösungen einen wertvollen Beitrag leisten. In diesem Zusammenhang ist es ebenfalls bedeutsam, mögliche regelwerksbezogene Verwundbarkeitspotentiale der 235

236 relevanten Systeme zu prüfen 57 und geeignete Schutzmaßnahmen zu implementieren. Sicherheitskritische Aspekte sind auszusparen. Vorbereitung von Normungs- und Standardisierungsvorhaben Normungs- und Standardisierungsaktivitäten organisationsintern zentral durch Bestimmung von Kontaktpersonen unterstützen Normungs- und Standardisierungsaktivitäten organisationsintern zentral erfassen Bei Planung von (Förder-)Projekten Ressourcen für entsprechende Aktivitäten berücksichtigen Initiierung von Normungs- und Standardisierungsvorhaben Frühzeitig entsprechende Aktivitäten initiieren In Verbundprojekten schon bei der Antragstellung sowie später im Konsortialvertrag Normungsbereitschaft fixieren Vorbereitende Aktivitäten für die Normung und Standardisierung mit anderen Aufgaben der relevanten FuE-Projekte verbinden Innovationsplattformen zur Ankündigung der Vorhaben und Partnergewinnung nutzen Passende weitere Partner in Hinblick auf Erfahrung und Verbreitungsmöglichkeiten einbeziehen Öffentliche Beschaffer einbeziehen Ressourcen geeignet bereitstellen Normrecherchen durchführen Stand der Konsortialstandards in einschlägigen Datenbanken ermitteln Darst. 77: Empfehlungen für Teilnehmer des Forschungsprogramms für die Vorbereitung und Initiierung von Normungs- und Standardisierungsvorhaben Aus Kosten- und Effizienzgründen ist es sinnvoll, wenn möglich, eine zusätzliche Nutzung der Normen oder Standards im Nicht-Gefahrenfall zu ermöglichen. Internationalisierungsmöglichkeiten sind auf geeignete Weise sicherzustellen. In Darst. 78 werden die Empfehlungen für die Entwicklungsphase zusammengefasst. Insofern ein Gremienmitglied nur befristet in der Forschungseinrichtung tätig ist, sind Ansprechpartner für künftige Aktivitäten zu benennen. In der Veröffentlichungsphase hat die Einleitung geeigneter Marketingmaßnahmen besondere Bedeutung. Dabei erweisen sich v.a. die folgenden Aktivitäten als erfolgversprechend 58 : Entwicklung von Referenzimplementierungen/Pre-Implementierungen Entwicklung von Referenzumgebungen/Einbau in Demonstratoren Angebot von Interoperabilitätsworkshops (z.b. Plug-Tests) Organisation eines Dialogs zwischen Standardentwicklern und Implementierern Angebot von Fachartikeln und -vorträgen Käuflicher Erwerb der DIN SPEC zur Weitergabe an Multiplikatoren oder Pilotanwender in der Zielgruppe. Durch eine Verbindung mit Aktivitäten zur Verbreitung von FuE-Ergebnissen lassen sich im Hinblick auf die Diffusion des entwickelten Regelwerks wirkungsvolle Synergien erzeugen. 57 Entsprechend dem Mandat M/487 ist die Entwicklung von Methoden für Security Vulnerability Assessments vorgesehen, welche derartige Verwundbarkeitsanalysen erleichtern können. 58 Neben den Erkenntnissen aus InfraNorm basieren einige der folgenden Empfehlungen auf Folmer (2012:250). 236

237 Die Integration der entwickelten Standards/Normen in künftige FuE-Projekte bietet ebenfalls Erfolgspotentiale, sowohl zur Verbreitung der Regelwerke als auch zu ihrer Weiterentwicklung. Entwicklung von Normungs- und Standardisierungsvorhaben Normungs- und Standardisierungsmaßnahmen mit FuE-Aufgaben verbinden Mögliche Konfliktpotentiale gemeinsam identifizieren, mit besonderem Augenmerk verfolgen Ausreichend Zeit zur Definition des Gültigkeitsbereichs der Regelwerke einplanen Aufgaben geeignet teilen Wo möglich, Telefonkonferenzen und elektronische Medien nutzen Übereinstimmung mit relevanten privacy-spezifischen Regelwerken sicherstellen Bei Bedarf Rechtsexperten und Vertreter der von der Technologieanwendung Betroffenen zur Berücksichtigung von privacy-aspekten einbeziehen Mögliche regelwerksbezogene Verwundbarkeitspotentiale der relevanten Systeme prüfen und geeignete Schutzmaßnahmen implementieren, sicherheitskritische Aspekte aussparen Wenn möglich, zusätzliche Nutzung im Nicht-Gefahrenfall ermöglichen Internationalisierungsmöglichkeiten schaffen Ansprechpartner für künftige Aktivitäten benennen Darst. 78: Empfehlungen für Teilnehmer des Forschungsprogramms Phase Entwicklung Für die Anwendungs- und Überarbeitungsphase ist es wichtig, die Weiterentwicklung des Regelwerks geeignet vorzubereiten, indem Änderungsbedarfe zweckmäßig gesammelt werden und Ressourcen für die beabsichtigten Maßnahmen bereitgestellt werden. In mehreren betrachteten InfraNorm-Projekten wurde beschlossen, ein Monitoring der Reaktionen auf die erarbeiteten Spezifikationen vorzunehmen. Darst. 79 fasst die Empfehlungen für die Veröffentlichungs-, Anwendungs- und Überarbeitungsphase zusammen. Veröffentlichung der Ergebnisse aus Normungs- und Standardisierungsvorhaben Geeignete Marketingmaßnahmen einleiten Synergien zwischen Aktivitäten zur Verwertung relevanter FuE-Ergebnisse und von Maßnahmen zur Förderung der Diffusion der neuen Regelwerke identifizieren Synergien zwischen Aktivitäten zur Förderung der Diffusion der neuen Regelwerke und neuen FuE-Projekten in Bezug auf den Einsatz der Regelwerke identifizieren Anwendung der Ergebnisse aus Normungs- und Standardisierungsvorhaben Geeignetes Monitoring implementieren Änderungsbedarf bei allen Partnern sammeln Überarbeitung der Ergebnisse aus Normungs- und Standardisierungsvorhaben Comittment für die geplanten Änderungen bei den Partnern erwirken Ressourcen sichern Darst. 79: Empfehlungen für Teilnehmer des Forschungsprogramms Phase Veröffentlichung, Anwendung und Überarbeitung 237

238 Ergänzende Empfehlungen betreffen die Entwicklung neuer Privacy-Normen und Standards. Entsprechend Kap. 6 und 7 kann sich die Einhaltung von ethik- und privacy-bezogenen Regelwerken für die Entwickler von Sicherheitstechnologien hinsichtlich der Vermarktungschancen als signifikant erweisen. Vergleiche zwischen der Studie InfraNorm (2012) und dem aktuellen Stand der Normung und Standardisierung zeigten, dass Fragestellungen neuer technischer Lösungen durch bisherige Privacy-Regelwerke oft nur bedingt abgebildet werden. Auf dieser Grundlage bietet die Entwicklung ergänzender privacy-bezogener Normen und Spezifikationen in Kombination mit einer geeigneten Umsetzung Potentiale, die Akzeptanz neuer technischer Lösungen zu steigern. Chancen und Möglichkeiten zur Entwicklung derartiger Regelwerke sollten daher frühzeitig geprüft werden. Zur Verdeutlichung einer Konformität sowohl mit diesen als auch mit bestehenden privacybezogenen Regelwerken bietet die Entwicklung von Privacy-Zertifikaten in Verbindung mit einer Nutzung derartiger Zertifizierungsprozesse Erfolgspotentiale (vgl. InfraNorm, 2012). Darüber hinaus ist im Hinblick auf die Akzeptanz neuer security-bezogener Lösungen eine geeignete Information der Bevölkerung über relevante Technologie- und Einsatzmerkmale bedeutsam (vgl. InfraNorm, 2012 und ISO/IEC :2012). Normungs- und Standardisierungsprojekte im Sicherheitsforschungsprogramm werden durch den Bezug zu gemeinsamen FuE-Projekten häufig durch kleine, in ihren Interessen relativ homogene Arbeitsgruppen erstellt (vgl. Riefler, 2008). Wichtig ist es dabei, die Interessen der breiten Öffentlichkeit auf geeignete Weise zu berücksichtigen. Den Beispielen einiger begleiteter Vorhaben entsprechend bieten Workshops und Umfragen im Rahmen der relevanten FuE-Projekte hierfür gute Möglichkeiten und können gleichzeitig spezielle Synergien zwischen Forschung und Standardisierung schaffen Strategische Empfehlungen für das Sicherheitsforschungsprogramm Auf Grundlage der Erkenntnisse von InfraNorm wurden zehn Empfehlungen für das Sicherheitsforschungsprogramm abgeleitet, die in Darst. 80 zusammengefasst und nachstehend erörtert werden. Analysen im Projekt InfraNorm zeigten, dass Sicherheitsforschern die Chancen der Standardisierung zur Förderung innovativer Technologien, Produkte und Dienstleistungen sowie die speziellen Erfolgspotentiale neuartiger Standardisierungsinstrumente, insbesondere von DIN SPECs, noch zu wenig bekannt sind. Dies reflektiert die europäischen Befunde von INTEREST (2006) sowie von Blind und Gauch (2007a) und verdeutlicht gleichzeitig Chancen für die deutsche Forschungslandschaft, durch geeignete Aktivitäten Wettbewerbsvorteile zu schaffen. Konkret besteht ein Bedarf für gebündelte Werbemaßnahmen, um den Forschern die entsprechenden Chancen gezielt nahzubringen. In besonderer Weise wird dabei eine Werbekampagne vorgeschlagen, welche das Ziel hat, Standardisierungsmaßnahmen stärker im Sicherheitsforschungsprogramm und in der Hightech-Strategie zu integrieren. 238

239 Strategische Empfehlungen für das Forschungsprogramm 1. Kampagne zur Förderung von Standardisierungsmaßnahmen im Rahmen der Hightech- Strategie durchführen 2. Normungs- und Standardisierungsberatung als Teil der Forschungsförderung implementieren 3. Normungsfachexperten mit einem Kurzcheck neuer Vorhaben hinsichtlich ihrer Normungsund Standardisierungspotentiale betrauen 4. Evaluatoren bezüglich Normung und Standardisierung schulen (lassen) 5. Normungs- und Standardisierungsaspekte in die Bewertungskriterien für Projektanträge aufnehmen 6. Normung und Standardisierung zur Verbreitung von FuE-Ergebnissen finanziell fördern 7. Normungs- und Standardisierungsaspekte in Musterverträge für FuE-Verbünde integrieren 8. Koordinierende Instanz für Normungs- und Standardisierungsaktivitäten in Forschungsprogrammen definieren 9. Bei neuen Forschungsfeldern am Anfang der Normungs- und Standardisierungsaktivitäten auf die Entwicklung von Terminologien hinwirken 10. Erfolgreiche Normungs- und Standardisierungsaktivitäten als Erfolgskriterien für FuE- Projekte verwenden Darst. 80: Strategische Empfehlungen für das Forschungsprogramm Quellen: eigene Befunde, CEN/CENELEC STAIR (2011) Zur operativen Förderung der Normung und Standardisierung als Technologieverbreitungsund Transferkanal wird empfohlen, entsprechende Fachexperten auf geeignete Weise in die Forschungsberatung zu integrieren. Die Intention ist hierbei, Antragstellern gezielt Optionen aufzuzeigen, wie ihre Projekte zur Entwicklung von Normen und Standards beitragen und/oder von Normen und Standards profitieren können. Empfohlen wird dabei eine stärkere Zusammenarbeit mit Normungs- und Normungsforschungseinrichtungen in den jeweiligen Antragsbewertungsphasen, um neue Vorhaben in Kurzchecks auf Normungs- und Standardisierungspotentiale zu prüfen. Evaluatoren, die mit der Bewertung von Projekten des Sicherheitsforschungsprogramms betraut werden, benötigen darüber hinaus eine geeignete Schulung sowie aktuelle Informationen über die für sie relevanten Normungs- und Standardisierungsgebiete. Um Antragssteller von Förderprojekten stärker für den Normungs- und Standardisierungskontext sowie Normungs- und Standardisierungspotentiale zu sensibilisieren, wären Ergänzungen der Ausschreibungsanforderungen denkbar, sodass der darzustellende Stand der Technik auch eine Analyse einschlägiger Normen und Normungsvorhaben im Kontext der Projektvorschläge beinhaltet. Ähnlich vielen europäischen Ausschreibungen 59 ist es zudem empfehlenswert, die Planung von Normungs- und Standardisierungsaktivitäten in die Bewertungskriterien von Projektanträgen aufzunehmen. Normen und Standards bieten eine Möglichkeit des FuE-Ergebnistransfers, in welchem die Ergebnisse sowohl den Entwicklern als auch der Öffentlichkeit zugutekommen. Daher erscheint es wichtig, derartige Maßnahmen im Rahmen der FuE-Förderung finanziell zu fördern. 59 vgl. hierzu auch Ganesh (2012) sowie CEN/CENELEC (2012) zu Bestrebungen für Horizon

240 Für Fälle, in denen die Finanzierung nicht in der Planungsphase berücksichtigt wurde, wird die Bereitstellung eines separaten Budgets für den Transfer von FuE-Ergebnissen mittels Normung und Standardisierung angeregt. Zur Förderung von Normungs- und Standardisierungsaktivitäten für den Transfer von Sicherheitsforschungsergebnissen aus Hochschulen könnten spezialisierte Normungsfördermaßnahmen einen wichtigen Beitrag leisten. Um eine geeignete Integration der Normungs- und Standardisierungsaktivitäten in Forschungsprojekte zu fördern, wird die Bereitstellung von Musterverträgen für die Projektkonsortien empfohlen, welche eine Bereitschaft für derartige Aktivitäten explizit festschreiben. Im Mittelpunkt steht dabei ein Übereinkommen, sich gegenseitig die Möglichkeit zu gewähren, Ergebnisse der jeweiligen Vorhaben in Normen oder Standards einfließen zu lassen. Weitere Empfehlungen betreffen die strategische Koordination der forschungsspezifischen Normungs- und Standardisierungsmaßnahmen. Insbesondere im Bereich Terminologien wurde im Projekt InfraNorm ein entsprechender Bedarf deutlich. Dabei bestand ein günstiger Umstand darin, dass in einem Projekt zum Schutz von Verkehrsinfrastrukturen Terminologien entwickelt wurden und zu einer Spezifikation weiterentwickelt werden konnten. Eher zufällig bekundeten die Vertreter dieses Vorhabens relativ früh ein Standardisierungsinteresse, sodass die Spezifikation in anderen Standardisierungsprojekten im Sicherheitsforschungsprogramm referenziert werden konnte. Terminologien haben als Grundlage der Normung und Standardisierung hohe Bedeutung. Gleichzeitig besteht keine Garantie dahingehend, dass insbesondere in anderen Forschungsfeldern Projektvertreter a) eine Terminologie-Spezifikation erstellen möchten und dass dies b) zeitlich günstig in das Gesamtgefüge aller Normungs- und Standardisierungsaktivitäten eines Forschungsprogramms eingebettet ist. Daher wird empfohlen, seitens der Programmkoordination explizit auf die frühzeitige Entwicklung von Terminologien hinzuwirken. Dabei ist es beispielsweise möglich, ausgewählten Projektvertretern eine Zusatzoption zur Aufstockung der Projektförderung, z.b. für ein bis zwei Mannmonat(e), zur Erstellung der Terminologien zu gewähren. Terminologien ermöglichen eher selten eine direkt monetär messbare Verwertung. Daher sind den Beteiligten die Chancen zu verdeutlichen, die sich durch den Entwicklungsprozess an sich ergeben, insbesondere durch die Entwicklung von Kontakten und die Nutzung der Standardisierung als Plattform für einen wissenschaftlichen Dialog. Wie zuvor beschrieben, bieten Normen und Standards die Möglichkeit, die Vorteile von FuE- Ergebnissen sowohl den Entwicklern als auch der Öffentlichkeit zugutekommen zu lassen. Daher erscheint es empfehlenswert, die Initiierung neuer Normungs- und Standardisierungsprozesse und die Veröffentlichung von Normen oder Spezifikationen als Erfolgskriterien für FuE-Aktivitäten zu verwenden. Um Wettbewerbsvorteile gegenüber anderen Ländern zu realisieren, wird über die zuvor erörterten Vorschläge hinausgehend abschließend eine weitere Empfehlung gegeben. Sie bezieht sich auf eine gezielte Suche nach Normungslücken im Kontext des Förderprogramms, verbunden mit der Initiierung strategischer Normungs- und Standardisierungsprojekte. Derartige Maßnahmen können bei der Realisierung von Wettbewerbsvorteilen wichtige Chancen bieten. 240

241 Literaturverzeichnis A Albers, A. (2011). Privacy vs. Data: Business Models in the digital, mobile Economy. Lecture Privacy & Privacy Protection WS 2011/ /dl/down/open/rannenberg/28f3c89ffa72fda0718b9cd16f7a18aa073b a ef235f50251ba92627e09ad39983cdefbfefb74/L09_Privacy Privacy_Protection AA.pdf, Abruf am Artikel-29-DSG [Artikel-29-Datenschutzgruppe] (2007). Stellungnahme 1/2007 zum Grünbuch über Detektionstechnologien und ihre Anwendung durch Strafverfolgungs-, Zoll- und andere Sicherheitsbehörden /wp129_de.pdf, Abruf am Atteslander, P. (2008). Methoden der empirischen Sozialforschung. Berlin. B Bahke, T. (2002). Normen und Wettbewerb. Berlin Bekkers, R. (2001). The development of European mobile telecommunications standards: An assessment of the success of GSM, TETRA, ERMES and UMTS (doctoral dissertation). Eindhoven University of Technology, The Netherlands. Bekkers, R. (2011). Review of the literature. In: Blind, K. et al. (2011). Report of the Study on the Interplay between Standards and Intellectual Property Rights (IPRs). Berlin, Utrecht, Paris, Geneva, Oslo 2011, Bekkers, R., West, J. (2009). The Limits to IPR Standardization Policies as Evidenced by Strategic Patenting in UMTS. Telecommunications Policy 33 (2009) Benkler, Y. (2001). Coase s Penguin, or, Linux and the Nature of the Firm. MIT Sloan Management Review, Oct Best, K. (2007). Reducing the Cost of Standards Activities. com/ documentation/white_papers/reducing_costs.pdf, Abruf am BFDI (2013). Videoüberwachung auf Bahnhöfen. nn_530528/de/themen/inneresicherheit/bundespolizei/artikel/videoueberwachungbahn hoefe.html, Abruf am Bier, C., Birnstill, P., Krempel, E., Vagts, H., Beyerer, J. (2012). How is positive-sum privacy feasible? In: Aschenbruck, N. [Hrsg.] (2012). Future Security. 7th Security Research Conference Proceedings: Bonn, Germany, September 4-6, 2012, Blarkom, G. W., Borking, John, J., Olk., J.G. (2003). Handbook of Privacy and Privacy- Enhancing Technologies - PISA Privacy Incorporating Software Agent. The Hague, Onlineversion: Abruf am Blind, K. (2008). Standardization and Standards in Security Research and Emerging Security Markets. Fraunhofer Symposium Furture Security, 3rd Security Research Conference Karlsruhe, 10th - 11th September 2008, Blind, K. (2009). Standardisation: a catalyst for innovation. eur.nl/ir/repub/ asset/17558/eia lis.pdf, Abruf am Blind, K. (2010). Patentierung und Standardisierung - Komplementäre Strategien für Forschungseinrichtungen. PTB-Mitteilungen 120 (2010), Heft 4, Abruf am Blind, K. (2013). Rolle von Normen und Patenten Chancen der Standardisierung für junge Unternehmen. Vortrag am Blind, K., Bekkers, R., Dietrich, Y., Iversen, E., Köhler, F., Müller, B., Pohlmann, T., Smeets, S., Verweijen, J. (2011a). Report of the Study on the Interplay between Standards and Intellectual Property Rights (IPRs). Berlin, Utrecht, Paris, Geneva, Oslo

242 Blind, K., Bierhals, R., Thumm, N., Hossain, K., Sillwood, J. Iversen, E., van Reekum, R., Rixius, B. (2002). Study on the Interaction between Standardisation and Intellectual Property Rights. EC Contract No G6MA-CT Blind, K., Gauch, S. (2007a). Probleme und Lösungsansätze. Warum Forscher wenig normen. In: Wissenschaftsmanagement, Special 2/2007, Blind, K., Gauch, S. (2007b). Forscher profitieren von Normung. Normen sollten parallel zu den Forschungsprozessen erarbeitet werden. In: Wissenschaftsmanagement, Special 2/2007, Blind, K., Gauch, S. (2009). Research and Standardisation in Nanotechnology: Evidence from Germany. In: Journal of Technology Transfer 34 (3), June 2009, Blind K, Iversen, E. (2004). The Interrelationship between IPR and Standardisation: Patterns and Policies. Presented at the EURAS Conference: Paris, Blind, K., Jungmittag, A., Mangelsdorf, A. (2011b). The Economic Benefits of Standardization. An update of the study carried out by DIN in sixcms_upload/media/2896/din_gnn_2011_engl_akt_neu.pdf, Abruf am Blind, K., Nowak, B. (2008). Weiterführung der Untersuchung der Zusammenhänge von nationalen Normungstätigkeiten und dem wirtschaftlichen Erfolg von klein- und mittelständischen Unternehmen (KMUs) in der Luft- und Raumfahrindustrie, Projekt im Auftrag des Normenausschuss Luft- und Raumfahrt des DIN e.v. Berlin: DIN. sixcms_upload/media/2566/ins_225_endbericht_deutsch.pdf, Abruf am BMBF (2009). Forschung für die zivile Sicherheit. Schutz von Verkehrsinfrastrukturen. Berlin, Bonn, BMBF (2010). Ideen. Innovation. Wachstum. Hightech-Strategie 2020 für Deutschland. Abruf am BMBF (2011). Nationale Förderung in der Sicherheitsforschung. /11770.php, Abruf am BMI [Hrsg.] (2005). Schutz Kritischer Infrastrukturen Basisschutzkonzept. Empfehlungen für Unternehmen. Berlin BMI (2009). Gesetz über Personalausweise und den elektronischen Identitätsnachweis sowie zur Änderung weiterer Vorschriften /publicationFile/35245/eperso.pdf, Abruf am BMJ (2001). Gesetz über Rahmenbedingungen für elektronische Signaturen (Signaturgesetz - SigG). Abruf am BMJ (2005a). Gesetz zur Regelung des Zugangs zu Informationen des Bundes (Informationsfreiheitsgesetz - IFG). Abruf am BMJ (2005b). Verordnung zur Durchführung von regelmäßigen Datenübermittlungen zwischen Meldebehörden verschiedener Länder (Erste Bundesmeldedatenübermittlungsverordnung - 1. BMeldDÜV). _2005/gesamt.pdf, Abruf am BMJ (2007). Verordnung zur Erfassung und Qualitätssicherung des Lichtbildes und der Fingerabdrücke in den Passbehörden und der Übermittlung der Passantragsdaten an den Passhersteller (Passdatenerfassungs- und Übermittlungsverordnung - PassDEÜV). Abruf am BMJ (2009). Bundesdatenschutzgesetz. (BDSG). bdsg_1990/gesamt.pdf, Abruf am BMJ (2010). Verordnung über Personalausweise und den elektronischen Identitätsnachweis (Personalausweisverordnung - PAuswV). pauswv/gesamt.pdf, Abruf am Boehlje, M., Schiek, W. (1998). Critical success factors in a competitive dairy market. Jounrnal of Dairy Science, 81(6),

243 Bolduan, G. (2010). Lebensnerven der Gesellschaft. Technology Review 8/ Abruf am Brim, S. (2004). Guidelines for Working Groups on Intellectual Property Issues. Abruf am BVerfG (2008). Leitsätze zum Urteil des Ersten Senats vom 27. Februar Abruf am C Cadzow, S. (2010). Identity and Privacy in NGNs. The Authorisation Challenge in NGNs. Präsentation auf dem 5. ETSI Security Workshop am Cadzow, S. (2011). Security and Privacy in Future RFID: Summary of the ESO Response to EU Mandate M/436. Präsentation auf dem 6. ETSI Security Workshop am Cadzow, S. (2012a). ITS SECURITY. A challenge for society and technology. Präsentation auf dem 7. ETSI Security Workshop am Cadzow, S. (2012b). The role of ETSI standardisation to preserve the security and privacy of users of fixed and mobile networks including RFID and ITS. Paper for the ISO Standards Conference. docbox.etsi.org/...rfid/.../..., Abruf am Cadzow S. (o.d.). ITS Challenges for privacy-security-safety. C3L for i-tour. Abruf am Cavoukian, A. (2011a). Privacy by Design. The 7 Foundational Principles. bydesign.ca/content/uploads/2009/08/7foundationalprinciples.pdf, Abruf am Cavoukian, A. (2011b). Privacy by Design. Die 7 Grundprinzipien. ca/content/uploads/2009/08/7foundationalprinciples-german.pdf, Abruf am CEN (2005). CWA Analysis of Privacy Protection Technologies, Privacy- Enhancing Technologies (PET), Privacy Management Systems (PMS) and Identity Management systems (IMS), the Drivers thereof and the need for standardization. Sectors/Sectors/ISSS/CEN%20Workshop%20Agreements/Pages/DPPCWA.aspx, Abruf am CEN (2009). Products. Abruf am CEN (2010a). Guidance - Characteristics of the CEN/CENELEC Workshop Agreement and CEN/CENELEC Workshop guidelines. documents/gd052%20-%20cwa%20and%20cen%20workshop%20guidelines/pages/ default.aspx, Abruf am CEN (2010b). CWA 16113:2010 Personal Data Protection Good Practices. eu/cen/sectors/sectors/isss/cen%20workshop%20agreements/pages/dppcwa.aspx, Abruf: CEN (2012a). CEN Workshop on 'Container Security & Tracking Devices' (Smart CM). Abruf am CEN (2012b). D8.1.4 Business Plan for a CEN Workshop Container Security & Tracking Devices technical characteristics and Security Messages standardization. eu/cen/sectors/sectors/isss/documents/smart-cm_businessplan pdf, Abruf am CEN (2012c). CEN Workshop Agreement. Container Security & Tracking Devices Technical Specifications and Communication Standards. ftp://ftp.cen.eu/cen/sectors/list/ict/ Activities/ CWA-SMART-CM.pdf, Abruf am CEN/CENELEC (2010). CEN/CENELEC Guide 8. CEN-CENELEC Guidelines for Implementation of the Common IPR Policy (Patents and other statutory intellectual property rights based on inventions). Ed. 2. ftp://ftp.cenorm.be/boss/reference_documents/ Guides/ CEN_CLC/CEN_CLC_8.pdf, Abruf am

244 CEN/CENELEC (2012a). Guidance - Characteristics of the CEN/CENELEC Workshop Agreement and CEN/CENELEC Workshop guidelines. guidance%20documents/gd052%20-%20cwa%20and%20cen%20workshop%20 guidelines/pages/default.aspx. Abruf am CEN/CENELEC (2012b). CEN-CENELEC Position Paper on Horizon Abruf am CEN/CENELEC (o.d.). Linking research and standardization. Integrating standards in your research project: a pocket guide for project proposers. ftp://ftp.cencenelec.eu/ /Publications/Brochures/LinkingResearch.pdf, Abruf am CEN CENELEC STAIR (2011). The Operationalisation of the Integrated Approach: Submission of STAIR to the Consultation of the Green Paper From Challenges to Opportunities: Towards a Common Strategic Framework for EU Research and Innovation funding. -cenelec_stair_joint_strategic_working_group.pdf, Abruf am CEN/SmartCM (2010). Invitation. Abruf am CEN/WS SCUTUM (2010). CEN_WS_SCUTUM_N_03_BP_ pdf, Abruf am Clarke, A. (1999). A practical use of key success factors to improve the effectiveness of project management. International Journal of Project Management, 17(3), CoE [Council of Europe] (1981). Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. Strasbourg, 28.I Zusatzprotokoll. Amtliche Übersetzung Deutschlands. treaties/html/108.htm, Abruf am CoE [Council of Europe] (2010). Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data. Council of Europe Convention Abruf am Cooper, R. G., Kleinschmidt, E. J. (1987). Success Factors in Product Innovation. Industrial Marketing Management, 16(3), Cooper, R. G., Kleinschmidt, E. J. (1990). New Product Success Factors A Comparison of Kills versus Successes and Failures. R & D Management, 20(1), Cooper, R. G., Kleinschmidt, E. J. (1995). Benchmarking the Firm s Critical Success Factors in New Product Development. Journal of Product Innovation Management, 12(5), COPRAS (2006). Brochures. Abruf am Cordis (2011). Ethical Issues Table. ftp://ftp.cordis.europa.eu/pub/fp7/docs/ethical-issuestable-annex4.pdf, Abruf am CREATIF (2009). D.2.x.3: Standards and methods available for testing CBRNE detection systems. Abruf am CREATIF (2011). CREATIF Newsletter. Issue 6, August D de Brentani, U. (1991). Success Factors in Developing New Business Services. European Journal of Marketing, 25(2), de Vries, H. J. (1999). Standards for the Nation. Analysis of National Standardization Organisations. Bosten u.a Dejure (2012). Europäische Menschenrechtskonvention. MRK/8.html, Abruf am Di Fazio, A. (2012). SCUTUM Transport of dangerous goods. Präsentation auf dem 7. ETSI Security Workshop am

245 Die Bundesregierung (2007). Normungspolitisches Konzept der Bundesregierung. Abruf am DIESIS (2010). DIESIS. Design of an Interoperable European federated Simulation network for critical InfraStructures. D3.3 Standard for Interoperable Critical Infrastructure Simulation. DIN (1994a). DIN 820 Teil 1 Normungsarbeit Grundsätze. Berlin DIN (1994b). DIN 820 Teil 3 Normungsarbeit Begriffe. Berlin DIN (2000). Economic Benefits of Standardization: Summary of Results. sixcms_upload/media/2896/economic_benefits_standardization.pdf, Abruf am DIN (2009a). Entwicklungsbegleitende Normung. Mit dem richtigen Anstoß viel bewegen. Abruf am DIN (2009b). Richtlinie für Normenausschüsse im DIN Deutsches Institut für Normung e. V. Berlin. Abruf am DIN (2010a). Entwicklungsbegleitende Normung. Leistungsspektrum. de/cmd?level=tpl-rubrik&menuid=52932&cmsareaid =52932&cmsrubid=53065&menu rubricid=53065&languageid=de, Abruf am DIN (2010b). FuE-Ergebnisverwertung. BMWi führt Fördermaßnahme "Transfer von Forschungs- und Entwicklungsergebnissen (FuE) durch Normung und Standardisierung" fort Abruf am DIN (2011a). DIN e.v. =47391&menurubricid=47514&cmsrubid=47514&languageid=de, Abruf am DIN (2011b). Willkommen...auf den Seiten der Entwicklungsbegleitenden Normung des DIN. Abruf am DIN (2011c). DIN-Beitragsschlüssel /2896/DIN_Beitrag_ pdf, Abruf am DIN (2012a). Normungsarbeit. contextid=din&cmsrubid=47441&cmsareaid=47420&menurubricid=47441&lang uageid=de mit Unterseiten, Abruf am DIN (2012b). Leistungen und Kompetenzen. level=tpl-rubrik&cmsrubid=50378&cmsareaid=47389&menurubricid=50378& languageid=de, Abruf am DKE (2012). Wir über uns. Abruf am Dolmans, M. (2002). Standards for Standards. Paper for American Bar Association, Section of Antitrust law, Spring meeting 2002, Session on Trade Associations, Washington DC, April 26, 2002, and for the Joint Department of Justice Antitrust Division/Federal Trade EC Commission hearings on Competition and Intellectual Property Law and Policy in the Knowledge-Based Economy, Session on Comparative Law Topics: Licensing of Intellectual Property in Other Jurisdictions, Washington DC, May opp/intellect/020522dolmans.pdf, Abruf am DP & PC [Data Protection and Privacy Commissioners] (2010). Resolution on Privacy by Design. 32nd International Conference of Data Protection and Privacy Commissioners. Jerusalem, Israel, October, adoptedresolutions/2010_jerusalem/2010_j5.pdf, Abruf am DPMA (2011). Marke. Abruf am

246 E ECIS (Europe s Information Society Thematic Portal) (2011). The Privacy Impact Assessment Framework for RFID Applications. /rfid/pia/index_en.htm, Abruf am ECORYS (2009). Study on Competitiveness of the EU Security Industry. _eu_security_industry_en.pdf, Abruf am Egyedi, T.M. (2007). Experts on causes of incompatibility between standard-compliant products. In: Doumeingts, G., J. P. Mueller, G. Morel, Vallespir, B. [Hrsg.] (2007). Enterprise Interoperability. Berlin, Heidelberg, New York, Egyedi, T.M., Dahanayake, A. (2003). Difficulties Implementing Standards. In: Egyedi, T.M., Krechmer, K., & K. Jakobs (Eds.), Proceedings of the 3rd IEEE Conference on Standardization and Innovation in Information Technology, SIIT 2003, October , Delft, the Netherlands, Ehmann, E. [Hrsg.] (2012). Lexikon für das IT-Recht. Die 140 wichtigsten Praxisthemen. Heidelberg, München, Landsberg, Frechen, Hamburg Eisenhardt, K. M. (1989). Building Theories from Case Study Research. In: Academy of Management Review, 14(4), Engelt, A., Hasenfuß, P. (2012). Standardisierung als Instrument zur nachhaltigen Verwertung innovativer Produkte und Dienstleistungen. Entwicklungsbegleitende Normung (EBN) im DIN. Erfahrungsbericht über die Erstellung einer DIN-Spezifikation im Sicherheitsforschungsprogramm. DIN Mitteilungen (2012/6), EPO (2012). Espacenet. 0/ 4E8744EB 66E8F944C12577D600598EEF/$File/espacenet_brochure_en.pdf, Abruf am Epstein, R. J., Marcus, A. J. (2003). Economic Analysis of the Reasonable Royalty: Simplification and Extension of the Georgia-Pacific Factors. Journal of the Patent & Trademark Office Society. Juli Ernst, H. (2002). Success factors of new product development: a review of the empirical literature. International Journal of Management Reviews, 4(1), ESRIF (2009). Final Report December security/files/esrif_final_report_en.pdf, Abruf am ETSI (2010). Ex ante disclosures of licensing terms. IPRsInETSI/Ex-ante.aspx, Abruf am ETSI (2011). ETSI TR V1.1.1 ( ). Technical Report Radio Frequency Identification (RFID); Coordinated ESO response to Phase 1 of EU Mandate M p.pdf, Abruf am ETSI (2012). Making better standards: Practical ways to success. Abruf am EUR-Lex (2007). Verordnung (EG) Nr. 1321/2007 der Kommission vom 12. November 2007 zur Festlegung von Durchführungsbestimmungen für die Zusammenführung der gemäß der Richtlinie 2003/42/EG des Europäischen Parlaments und des Rates ausgetauschten Informationen über Ereignisse in der Zivilluftfahrt in einem Zentralspeicher Abruf am EUR-Lex (2010a). Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data. LexUriServ/LexUriServ.do?uri=CELEX:31995L0046:DE:HTML, Abruf am EUR-Lex (2010b). Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications). Abruf am

247 EUR-Lex (2010c). Directive 2006/24/EC of the European Parliament and of the Council of 15 March 2006 on the retention of data generated or processed in connection with the provision of publicly available electronic communications services or of public communications networks. mode=dbl&lng1=de,de&lang=&lng2=bg, cs,da,de,el,en,es,et,fi,fr,hu,it,lt,lv,mt,nl,pl,pt,ro,sk,sl,sv,&val=425159:cs&page=&hwords=n ull, Abruf am EUR-Lex (2010d). Council Framework Decision 2008/977/JHA of 27 November 2008 on the protection of personal data processed in the framework of police and judicial cooperation in criminal matters. uri=oj:l:2008: 350:0060:01:DE:HTML, Abruf am EUR-Lex (2010e). Communication from the Commission to the European Parliament, the Council, the European Economic and Social Committee and the Committee of the Regions. A Digital Agenda for Europe /* COM/2010/0245 f/2 */. Abruf am EUR-Lex (2010f). Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. Amtsblatt Nr. L 281 vom 23/11/1995 S Abruf am EUR-Lex (2010g). Richtlinie 2010/40/EU des europäischen Parlaments und des Rates vom 7. Juli 2010 zum Rahmen für die Einführung intelligenter Verkehrssysteme im Straßenverkehr und für deren Schnittstellen zu anderen Verkehrsträgern. LexUriServ/LexUriServ.do?uri=OJ:L:2010:207:0001:0013:DE:PDF, Abruf am EUR-Lex (2011). Strategic vision for European standards, COM(2011) Abruf am EUR-Lex (2012). Mitteilung der Kommission an das Europäische Parlament und den Rat über die Verbesserung des Datenschutzes durch Technologien zum Schutz der Privatsphäre /* KOM/2007/0228 endg. */, Europäische Union, smartapi/cgi/sga_doc?smartapi!celexplus!prod!docnumber&lg=de&type_doc=comfinal& an_doc=2007&nu_doc=228, Abruf am Europa (2010a). The Stockholm Programme An open and secure Europe serving and protecting citizens. rights_within_european_union/jl0034_de.htm, Abruf am Europa (2010b). Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications). Abruf am European Council (2010). The Stockholm Programme - An Open and Secure Europe Serving and Protecting Citizens. C:2010:115:0001:0038:en:PDF, Abruf am Europäische Kommission (1992). Communication from the Commission "Intellectual Property Rights and Standardisation", COM (92) 445 final, Brussels Europäische Kommission (2006). Grünbuch über Detektionstechnologien und ihre Anwendung durch Strafverfolgungs-, Zoll- und andere Sicherheitsbehörden. Abruf am Europäische Kommission (2007). Communication From the Commission to the European Parliament and the Council on Promoting Data Protection by Privacy Enhancing Technologies (PETs). com2007_.pdf, Abruf am

248 Europäische Kommission (2008). Towards an increased contribution from standardisation to innovation in Europe. uri=com:2008: 0133:FIN:en:PDF, Abruf am Europäische Kommission (2011). Programming Mandate Addressed to CEN, CENELEC and ETSI to Establish Security Standards. ftp://ftp.cen.eu/cen/sectors/list/securityand Defence/SecurityoftheCitizen/M_487.pdf, Abruf am Europäische Kommission (2012). COM(2012) 11 final. Proposal for a Regulation of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation). com_2012_11_en.pdf, Abruf am Europäische Union (2008). Richtlinie 2008/114/EG des Rates vom 8. Dezember 2008 über die Ermittlung und Ausweisung europäischer kritischer Infrastrukturen und die Bewertung der Notwendigkeit, ihren Schutz zu verbessern. Amtsblatt der Europäischen Union. Nr. L 345, F-I Flick, U. (1995). Qualitative Forschung. Reinbek bei Hamburg. Folmer, E. (2012). Quality of Semantic Standards. Enschede, NL Fomin, V., Keil, T., Lyytinen, K. (2003). Theorizing about Standardization: Integrating Fragments of Process Theory in Light of Telecommunication Standardization Wars. Sprouts: Working Papers on Information Environments, Systems and Organizations, 3(1), Fräßdorf, H. (2008). Rechtsfragen des Zusammentreffens gewerblicher Schutzrechte, technischer Standards und technischer Standardisierung - Dissertation, Universität Hamburg, Franken, S. (2008). Internationales Management. 3. Nationalkultur. Kulturdimensionen nach G. Hofstede. Management/03IM-Kulturdimensionen.pdf, Abruf am Friedrichs, J., Lüdtke, H. (1973). Teilnehmende Beobachtung. Einführung in die sozialwissenschaftliche Feldforschung (2. Auflage). Weinheim, Basel. Ganesh, A. (2012). Standardization & Innovation - linking standards and research. Präsentation auf der 17. EURAS Annual Standardization Conference Standards and Innovation, Kosice, Slovakia, Juni Gaub, H. (2009). Vorlesungsreihe Strategische Normung. Berlin Gauch, S. (2006). Towards a theoretical assessment of the link between research and standardisation, Proceesings of the 11th EURAS Workshop on Standardisation. Gindele, K. (2013). Normung und Standardisierung. Präsentation auf der TNS- Informationsveranstaltung am 18. Februar Grindley, P. (1995). Standards, Strategy and Policy. New York, NY Hatto, P. (2010). Standards and Standardization Handbook. research/industrial_technologies/pdf/handbook-standardisation_en.pdf, Abruf am Hatto, P. (2013). Standards and Standardisation. A practical guide for researchers. European Union Hövel, A. (2012). Grundlagen der Normung. Vortrag auf dem studiforum Sicherheitswirtschaft am Hofstede, G. (1991). Cultures and Organizations Software of the Mind. Intercultural Cooperation and its importance for survival. McGraw-Hill Hofstede, G. (2001). Lokales Denken, globales Management. Interkulturelle Zusammenarbeit und globales Management. 2. Aufl., München Hofstede, G. (2003). Geert Hofstede Cultural Dimensions. hofstede_dimensions.php, Abruf am

249 Hommels, A., Egyedi, T.M. (2010). Beyond the 'Point of No Return': Constructing Irreversibility in Decision Making on the Tetra Standard in Dutch Emergency Communication. International Journal of IT Standards & Standardization Research, 8/1, ICO (2006). Data Protection Technical Guidance Note: Privacy enhancing technologies (PETs). specialist_guides/privacy_enhancing_technologies.pdf, Abruf am ICO (2010). Privacy Impact Assessment Handbook documents/ pia_handbook_html_v2/, Abruf am IEC (2012). TC 79 Alarm and electronic security systems. Retrieved June 4, 2012: _ID,FSP_PROJECT:1269,23,25,IEC% %20Ed.%201.0, Abruf am IML (2012). Smart Container Chain Management«(SMART-CM). fraunhofer.de/content/dam/iml/de/documents/oe%20320/infoseiten%20projekte/is_smartcm_dt _neu.pdf, Abruf am InfraNorm (2011). Bedeutung von Sicherheitsnormen, -standards und -spezifikationen. norm_studie_sec_normen.pdf, Abruf am InfraNorm (2012). Sicherheitsethik, Privacy und Normung. Projektdokument. INTEREST (2006). INTEREST. Integrating Research and Standardisation. A Guide to Standardisation for R&D Organisations and Researchers. Abruf am ISO (2011). ISO deliverables. _procedures/deliverables.htm, Abruf am ISO (2012). Standard Development Process. processes_and_procedures/deliverables/deliverables_schema-2.htm, Abruf am ISO/IEC (2009a). ISO/IEC Directives, Part 1. Procedures for the technical work. Abruf am ISO/IEC (2009b). ISO/IEC Guide 2 "Standardization and related activities - General vocabulary". Abruf am ITU (2012). Privacy in Cloud Computing. ITU-T Technology Watch Report March J-L Janecek, V., Hynek, J. (2010). Incentive System as a Factor of Firms Efficiency Improvement. E & M Ekonomia Management, 13(1), KAN (2006). SPECIAL. Die Wiener und Dresdner Vereinbarung. KANbrief 1/ Abruf am Kisielnicki, J., Sroka, S. (2005). Efficiency and Effectiveness of Management in Project Oriented Organizations: The Role of Information Technology in the Organizations. In: Khosrow-Pour, M. [ed.] (2005). Proceedings of the 2005 Information Resources Management Association International Conference. Managing Modern Organizations Through Information Technology, Lamnek, S. (2005). Qualitative Sozialforschung. Weinheim [u.a.]. Leech, D. P., Scott, J. (2012). The Economic Impacts of Documentary Standards: A Case Study of the Flat Panel Display Measurement Standard (FPDM). NIST Lin, C.-Y. (2006). Öffentliche Videoüberwachung in den USA, Großbritannien und Deutschland Ein Drei-Länder-Vergleich. Dissertation an der Universität Göttingen. Abruf am

250 Liu, C., Arnett, K.P. (2000). Exploring the factors associated with Web site success in the context of electronic commerce. Information and Management, 38(1), Löwer, U. M. (2006). Interorganisational standards. Heidelberg [u.a.], M-R Madrid Resolution (2009). International Standards on the Protection of Personal Data and Privacy, International Conference of Data Protection and Privacy Commissioners. 5 November documentos_adoptados/common/2009_madrid/estandares_resolucion_madrid_en.pdf, Abruf am McKinney, J. (2012). SMART Container Management: Contribution to Global Security Standards. Präsentation auf dem 7. ETSI Security Workshop am Präsentation auf dem 7. ETSI Security Workshop am Montiel-Sánchez, I. (2010). Security Standardisation Programming Mandate to the European Standardisation Organisations, ANSI Homeland Security Standards Panel, Ninth Annual Plenary Meeting. %20Activities/ Homeland%20Security%20Standards%20Panel/ANSI-HSSP%20Ninth%20Annual%20 Plenary%20Meeting/Montiel-Sanchez%20presentation.pdf, Abruf am Morikawa, M., Morrison, J. (2006). Who Develops ISO Standards? A Survey of Participation in ISO s International Standards Development Processes. reports/iso_participation/ iso_participation_study.pdf, Abruf am Nagenborg, M. (2011). Körperscanner. In: Maring, M. (Hrsg.). Fallstudien zur Ethik in Wissenschaft, Wirtschaft, Technik und Gesellschaft. Schriftenreihe des Zentrums für Technikund Wirtschaftsethik am Karlsruher Institut für Technologie, Band 4. Karlsruhe Abruf am OECD (2002). Kurzfassung OECD-Richtlinien über Datenschutz und grenzüberschreitende Ströme personenbezogener Daten. Abruf am OECD (2010). OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data. Abruf am Olabarria Uzquiano, M. (2011). Working together in the CEN-CENELEC system. Präsentation am in Berlin. Perinorm DIN, RUB (2008). benutzung/db-infos/perinorm.pdf, Abruf am Piersall, C. (2003). ISO/TC8 - Ships & Marine Technology Time to Market (The ISO/TC8 Case Study) to Second ISO Conference for Technical Committee and Subcommittee Chairs. Präsentation, Genf, PRISE (2008a). Deliverable Legal Evaluation Report. PRISE_D3.2_Legal_Evaluation_Report.pdf, Abruf am PRISE (2008b). Deliverable Criteria for privacy enhancing security technologies. nologies.pdf, Abruf am PRISE (2008c). Deliverable Proposal Report. Privacy enhancing shaping of security research and technology A participatory approach to develop acceptable and accepted principles for European Security Industries and Policies. docs/prise_d3.3_proposal_report.pdf, Abruf am Privacyrights (2010a). Fair Information Principles (U.S. Dept. of Health, Education and Welfare, 1973). Abruf am Privacyrights (2010b). Fair Information Practices (U.S. Dept. of Health, Education and Welfare, 1973). In: Smith, R. E. (1993). The Law of Privacy Explained by Robert Ellis Smith, Privacy Journal, 1993, Abruf am

251 Rannenberg, K. (2011). Standardisation in electronic identity management. The Future of European Electronic Identity Management. Digital Enlightenment Foundation. SC27WG5.pdf. Paris, Riefler, B. (2008). The Composition of Working Groups in Industry-Specific Standardization Organizations. composition_of_working_groups.pdf, Abruf am Rost, M. (2009). Die Neuen Datenschutz-Schutzziele. Because: code is not law. Berlin, Abruf am Rost, M. (2010). Die Neuen Schutzziele. Beherrschbare, faire und vertrauenswürdige IT- Infrastrukturen. ziele.pdf, Abruf am Rost, M., Pfitzmann, A. (2009). Datenschutz-Schutzziele revisited. Datenschutz- Schutzziele revisited, in: DuD - Datenschutz und Datensicherheit, 33. Jahrgang, Heft 6, Juli 2009: Abruf am S Sack, D. K. (2007). Corporate Security Standort-Security, Stuttgart/Berlin. Sáez, A. C., Urech, A., Pereira, J. (2009). Current status of Security in Mass Transport. DEMASST Deliverable 3.1: Current status of security in mass transport. November Schmid, V. (2010). German Privacy and IT-Security Law (Its Law) as a Contribution to the European Area of Freedom, Security and Justice? Paper presented at the 5th Security Research Conference. Berlin Schmidt, S., Werle, R. (1998). Coordinating Technology: Studies in the International Standardization of Telecommunications. Cambridge, MA, London SCUTUM (2010). Welcome to SCUTUM. Abruf am SCUTUM (2011a). CEN Workshop Agreement SCUTUM. news/news/65-cen-workshop-agreement-scutum.html, Abruf am SCUTUM (2011b). EGNOS-basiertes Monitoring von Gefahrguttransporten in der Praxis - das Projekt SCUTUM. SCUTUM_nutshell%20Deutsch.pdf, Abruf am Shapiro, C. (2001). Navigating the Patent Thicket: Cross Licenses, Patent Pools, and Standard Setting. Innovation Policy and the Economy, Vol. 1, Sherif, M. H. (2001). Contribution Towards A Theory Of Standardization In Telecommunications. Paper presented at the 1st IEEE Conference on Standardisation and Innovation in Information Technology, Aachen www-i4.informatik.rwth-aachen.de/~jakobs/ siit99/proceedings/ Sherif.doc, Abruf am Sherif, M. H., Jakobs, K., Egyedi, T. M. (2007). Standards of quality and quality of standards for Telecommunications and Information Technologies. In: Hörlesberger, M. Elnawawi, M. Khalil (Eds.). Challenges in the Management of New Technologies. Singapore 2007, Solove, D. (2002). Conceptualizing Privacy. California Law Review, 90, Onlineversion: Abruf am SPEC DIN (2012a). Spezifikationen im DIN. Abruf am SPEC DIN (2012b). DIN SPEC Spezifikationen im DIN. Nutzen Sie das Sprungbrett in die Normung! Abruf am SPEC DIN (2012c). PAS Verfahrensregeln. languageid=de, Abruf am

252 SPEC DIN (2012d). Geschäftsplan für ein DIN SPEC (PAS)-Vorhaben. Abruf am SPEC DIN (2013). Verfahrensregeln. menuid=81501&languageid=de&cmsareaid= Abruf am Swann, G. P. (2000). The Economics of standardization. Final Report for Standards and Technical Regulations Directorate Department of Trade and Industry. Manchester Business School. University of Manchester Manchester T-Z Tassey, G. (1982). The Role of Government in Supporting Measurement Standards for High- Technology Industries, Research Policy, 11, Tassey, G. (2000). Standardization in Technology-Based Markets. Research Policy, 29 (4-5), Thoma, K. (2010). Positionspapier des wissenschaftlichen Programmausschusses zum nationalen Sicherheitsforschungsprogramm. papier_2010.pdf, Abruf am UDHR (1948). Universal Declaration of Human Rights, Abruf über UDHR/ART29.HTM am Updegrove, A. (2007a). Chapter 2: Participating In Standard Setting Organizations: Value Propositions, Roles And Strategies. essentialguide/ participating1.php, Abruf am Updegrove, A. (2007b). Chapter 3: Getting the Most from Your Membership. Essential Guide to Standards. Abruf am Varian, H. R. (1996). Economic Aspects of Personal Privacy, University of California at Berkeley. Abruf am VDI/VDE/IT (2009). Marktpotenzial von Sicherheitstechnologien und Sicherheitsdienstleistungen. Thema: Der Markt für Sicherheitstechnologien in Deutschland und Europa - Wachstumsperspektiven und Marktchancen für deutsche Unternehmen. Schlussbericht. Abruf am W3C (2002). Current Patent Practice. W3C Note 24 January Abruf am W3C (2004). W3C Patent Policy /#def-essential-definition, Abruf am Wakke, P., Blind, K. (2012). The Impact of Participation within Formal Standardization on Firm Performance. SSRN: und /ssrn , Abruf am Warren, S. L., Brandeis, L. D. (1890). The Right to Privacy. Harvard Law Review Vol. IV, No Abruf am Wehnert, J. (2006). Ready Set Slow: A View from Inside a CEN Working Group. In: Jakobs, K. (Ed.). Advanced topics in information technology standards and standardization research, Vol. 1, Weichert, T. (2010). Datenschutzgerechte Sicherheitstechnik. VfS-Kongress 2010: Mit der Sicherheitsbranche im konstruktiven Dialog, Leipzig , Abruf am Weimerskirch, A. (2012). Privacy in ITS. Präsentation auf dem 7. ETSI Security Workshop am Wilkins, L., Christians, C. G. (2008). The handbook of mass media ethics. New York, Württemberger, T. (2012). Rechtswissenschaftliche Begleitforschung zur intelligenten Videoüberwachung. BMBF-Innovationsforum Zivile Sicherheit. I_Wuerttemberger_Redemanuskript.pdf, Abruf am Yin, R. K. (2003). Case study research, design and methods, 3. Aufl., Newbury Park

253 Anhang: Vorlage zur Erstellung eines Geschäftsplans für DIN SPECs Geschäftsplan für ein DIN SPEC (PAS)- Vorhaben zum Thema "<Titel>" Status: Stellungnahmen und Interessensbekundungen zu dem Vorhaben sind erbeten und bis zum <Ende Veröffentlichungsfrist> an zu übermitteln Berlin, xx. yyyyy 20zz 253