Anleitung zum Einreichen einer Herstellererklärung

Transkript

1 Anleitung zum Einreichen einer Herstellererklärung gemäß 17 Absatz 4 Satz 2 des Signaturgesetzes in Verbindung mit 15 Absatz 5 Satz 1 der Signaturverordnung Stand: Anwendungsbereich Die Herstellererklärung ist ein Instrument zur Erklärung der Konformität eines Produktes für qualifizierte elektronische Signaturen mit den gesetzlichen Anforderungen des Signaturgesetzes (Gesetz über Rahmenbedingungen für elektronische Signaturen, Signaturgesetz ) und der Signaturverordnung (Verordnung zur elektronischen Signatur, Signaturverordnung SigV). Ein Hersteller kann für ein Produkt alternativ zu einer Bestätigung durch eine anerkannte Prüf- und Bestätigungsstelle selbst eine Herstellererklärung abgeben, wenn dieses einer der folgenden Produktkategorien für qualifizierte elektronische Signaturen zuzuordnen ist: Signaturanwendungskomponenten im Sinne des 2 Nummer 11 a und/oder Buchstabe b i.v.m. 17 Absatz 2 (Anwendersoftware zum Signieren und/oder Verifizieren), Technische Komponenten für Verzeichnisdienste im Sinne des 17 Absatz 3 Nummer 2 (Anbieterprodukt), Technische Komponenten zur Erzeugung qualifizierter Zeitstempel im Sinne des 17 Absatz 3 Nummer 3 (Anbieterprodukt). Für alle anderen Produkte (das heißt insbesondere für sichere Signaturerstellungseinheiten im Sinne des 17 Absatz 1 oder für technische Komponenten zur Schlüsselgenerierung im Sinne des 17 Absatz 3 Nummer 1 ) können keine Herstellererklärungen sondern ausschließlich Bestätigungen abgegeben werden. Nur wenn das Produkt alle gesetzlichen Anforderungen an ein Produkt der drei aufgelisteten Kategorien erfüllt, veröffentlicht die Bundesnetzagentur die hinterlegte Herstellererklärung in ihrem Amtsblatt. 2. Hinterlegungsfrist Nach 17 Absatz 4 Satz 3 besteht für den Hersteller die Rechtspflicht, spätestens zum Zeitpunkt des Inverkehrbringens des Produkts eine Ausfertigung der Herstellererklärung bei der Bundesnetzagentur zu hinterlegen. Die Hinterlegung der Herstellererklärung ist für den Hersteller somit eine Voraussetzung für das Inverkehrbringen seines Produktes.

2 Bundesnetzagentur: Anleitung zum Einreichen einer Herstellerklärung 2/9 3. Form Bei der Bundesnetzagentur ist eine Ausfertigung der Herstellererklärung in schriftlicher Form, auf dem Deckblatt unterschrieben von einer vertretungsberechtigten Personen des Herstellers, zu hinterlegen. Die Hinterlegung kann auch in elektronischer Form erfolgen, soweit das Dokument eine qualifizierte elektronische Signatur trägt. Ein Muster zur Herstellererklärung ist auf den Webseiten der Bundesnetzagentur zu beziehen. Die folgenden Formatmerkmale sind aufgrund der Veröffentlichung im Amtsblatt der Bundesnetzagentur einzuhalten: Dateiformat: Es ist das Portable Document Format (PDF) zu verwenden. Schriftart und Schriftgröße: Als Schriftart ist nur Arial 10 Punkt zugelassen. Die Überschriften sind dabei fettgedruckt in Arial 10 Punkt zu setzen. Abbildungen: Graphiken und Diagramme sollten ausschließlich in Graustufen gestaltet werden. Im Muster dienen folgende Hinweise als Hilfen zur Erstellung der Herstellererklärung: Eckige Klammern: Die im Muster verwendeten eckigen Klammern [...] bezeichnen variable Textbausteine. Diese Textbausteine sind durch produktspezifische Angaben zu ersetzen. Die eckigen Klammern selbst sind abschließend zu entfernen. Beispiele: Die im Fließtext mit z. B. eingeleiteten Texte sollen dem Verfasser der Herstellererklärung als Beispiel für eigene Texte dienen und sind bei Fertigstellung zu löschen. Tabellen: Die vorausgefüllten Tabellenfelder im Muster enthalten ausschließlich Mustereintragungen, die gelöscht bzw. ersetzt werden sollten. Die Tabellen können bei Bedarf um zusätzliche Zeilen erweitert werden. Kursivschrift: Die im Muster kursiv gesetzten Texte dienen als Aktionshinweise und sind beim Erstellen der Herstellererklärung zu beachten. Die kursiv gesetzten Texte sind vor Einreichung der Herstellererklärung zu löschen. Überschriften: Um die Nummerierung einheitlich zu halten, sind bei nicht zutreffenden Themenbereichen die entsprechenden Kapitel oder Unterkapitel nicht zu löschen, sondern mit der Aussage Trifft für dieses Produkt nicht zu zu versehen. Treffen vorgegebene Textpassagen nicht auf das Produkt zu, sind sie zu löschen. 4. Adressat der Herstellererklärung Die Erklärung ist zu richten an die Bundesnetzagentur Referat Qualifizierte Elektronische Signatur Canisiusstr Mainz

3 Bundesnetzagentur: Anleitung zum Einreichen einer Herstellerklärung 3/9 5. Inhalt der Herstellererklärung In der Herstellererklärung ist darzulegen, wie die Anforderungen des Signaturrechts für das Produkt konkretisiert wurden und durch welche Eigenschaften des Produktes diese konkretisierten Anforderungen erfüllt werden. Dazu ist eine genaue Beschreibung der Funktionalität des Produktes erforderlich. Es ist in der Herstellererklärung plausibel zu erläutern, in welcher Weise und mit welchen Ergebnissen der Hersteller das Produkt auf seine Gesetzeskonformität hin geprüft hat. Die Herstellererklärung ist damit eine Erklärung des Herstellers über die geprüfte Normenkonformität seines Produktes. Zu den jeweiligen Anforderungen s. Anhang I IV 6. Einzureichende Unterlagen Bei der Bundesnetzagentur sind einzureichen: 1. Ein aktueller Nachweis zur Existenz des Herstellers (in der Regel ein Handelsregisterauszug). Der Nachweis darf dabei nicht älter als sechs Monate sein. 2. Die Herstellererklärung in Papierform (mit den handschriftlichen Unterschriften der vertretungsberechtigten Personen des Herstellers auf dem Deckblatt) und elektronisch als PDF-Datei. 3. Die aus der Herstellererklärung ausgegliederte Dokumentation (vergleiche Abschnitt 7) in Papierform und elektronisch als PDF-Dateien. Alle Unterlagen sind in Deutsch vorzulegen. 7. Anforderungen an die aus der Herstellererklärung ausgegliederte Dokumentation Die hier beschriebenen Anforderungen dienen dem Nachweis der positiven Bewertung des Produktes durch den Hersteller gemäß 17 Absatz 2, 17 Absatz 3 Nummer 2 oder 17 Absatz 3 Nummer 3. Um der Anforderung aus 15 Absatz 5 SigV nach genauen Angaben zu entsprechen, hat der Hersteller darzulegen, nach welchen Kriterien, in welcher Weise und mit welchen Ergebnissen er das Produkt auf seine Gesetzeskonformität hin geprüft hat. Diese Anforderung wird in der Regel nicht alleine durch die Herstellererklärung zu erbringen sein. Der öffentliche Charakter der Herstellererklärung steht dem Interesse des Herstellers entgegen, die meist firmenvertraulichen Informationen unter Verschluss zu halten. Die nachfolgenden Ausführungen dienen als Orientierung, wie der Nachweis der Gesetzeskonformität zu erbringen ist. Die Vorlage folgender Dokumente ist sinnvoll und wird empfohlen: Die Spezifikation des Signaturproduktes beschreibt die Hauptbestandteile des Signaturprodukts und deren Zusammenwirken. Dabei ist auf technischer Ebene (in größerer Detailtiefe als in der Herstellererklärung) zu erläutern, wie die gesetzlichen Anforderungen in dem Produkt durch Sicherheitsfunktionen umgesetzt sind.

4 Bundesnetzagentur: Anleitung zum Einreichen einer Herstellerklärung 4/9 Für alle Produkte sind die vom Produkt genutzten Softwarebibliotheken von Drittanbietern anzugeben (z.b. Funktionsbibliotheken). Benutzerhandbuch / Administratorhandbuch / Installationsanleitung helfen sicherzustellen, dass Anwender, Systemverwalter und/oder Operatoren des Produktes die umgebungsrelevanten Beschränkungen verstehen können. Sie geben genaue Informationen zur sicheren Benutzung und Verwaltung des Produktes. In einem Überprüfungsprozess der Umsetzung der gesetzlichen Anforderungen durch Sicherheitsfunktionen des Produktes wird eine Testdokumentation erstellt. Die Testdokumentation besteht aus der Testspezifikation und der Dokumentation der Testergebnisse. Die zugehörige Darstellung des Überprüfungsprozesses der Sicherheitsfunktionen sollte enthalten: die Beschreibung der für das Szenario geeigneten Prüfumgebung und der genutzten Werkzeuge (Betriebssystem, Kartenleser, Signaturkarte, Werkzeuge, usw.), einen Ablaufplan der Prüfungen, um die in den Sicherheitsvorgaben spezifizierten Eigenschaften systematisch zu testen, vollständige Testabdeckung der sicherheitstechnischen und signaturgesetzkonformen Produktvorgaben, die vollständigen Ergebnisse der durchgeführten Tests und eine abschließende Begründung, dass das Produkt entsprechend der Spezifikation der Sicherheitsfunktionen wirkt und somit den Anforderungen aus und SigV genügt. Die Definition und die Bestätigung der Einhaltung von Entwicklungsrichtlinien sind nötig, um darzulegen, dass die Software in einer geeigneten Umgebung entwickelt und produziert wird (Konfigurationskontrolle) und dass das Produkt damit die Sicherheitsziele wirksam umsetzen kann. Es ist vom Hersteller zu bestätigen, dass Entwickler und Administratoren die genannten Entwicklungsrichtlinien einhalten und dass eine firmeninterne Überwachung des Prozesses stattfindet. Die Vorlage der Entwicklungsrichtlinien selber ist nicht zwingend notwendig. 8. Veröffentlichung der Herstellererklärung Die Bundesnetzagentur veröffentlicht gemäß 17 Absatz 4 Satz 4 des Signaturgesetzes nur diejenigen Herstellererklärungen in Ihrem Amtsblatt sowie zur Nutzerinformation auf Ihren Internetseiten, welche den Anforderungen des Gesetzes entsprechen. Das bedeutet konkret, dass einerseits die o.g. formellen Anforderungen durch die Herstellererklärung erfüllt sein müssen und das der Herstellererklärung zugrunde liegende Produkt für qualifizierte elektronische Signaturen sämtliche gemäß 17 in Verbindung mit 15 SigV an die jeweilige Produktkategorie zu richtenden Anforderungen erfüllen muss.

5 Bundesnetzagentur: Anleitung zum Einreichen einer Herstellerklärung 5/9 Veröffentlicht werden können Produkte a) Zur Erzeugung qualifizierter elektronischer Signaturen (Signaturanwendungskomponenten gemäß 2 Nummer 11 a ), b) Zur Prüfung qualifizierter elektronischer Signaturen (Signaturanwendungskomponenten gemäß 2 Nummer 11 a ), c) Zum Nachprüfbar-/Abrufbarhalten qualifizierter Zertifikate (Technische Komponenten für Zertifizierungsdiensteanbieter gemäß 2 Nummer 12 b ), d) Zur Erzeugung qualifizierter Zeitstempel (Technische Komponenten für Zertifizierungsdiensteanbieter gemäß 2 Nummer 12 b ). Soweit eine Herstellererklärung bzw. das zugrunde liegende Produkt nicht sämtliche Anforderungen erfüllt und demnach nicht gemäß 17 Absatz 4 Satz 4 durch die Bundesnetzagentur veröffentlicht wird, erhält der Hersteller hierzu ein Schreiben mit einer entsprechenden Begründung.

6 Bundesnetzagentur: Anleitung zum Einreichen einer Herstellerklärung 6/9 Anhang I Anforderungen an Produkte zur Erzeugung qualifizierter elektronischer Signaturen Rechtsgrundlage Anforderung 17 Abs. 2 S. 1 und 15 Abs. 2 Nr. 1 muss vor der Erzeugung einer qualifizierten elektronischen Signatur auf die Erzeugung hinweisen (Warnfunktion) c SigV 17 Abs. 2 S. 1 muss feststellen lassen, auf welche Daten sich die Signatur bezieht 17 Abs. 2 S. 3 muss bei Bedarf den Inhalt der zu signierenden Daten hinreichend erkennen lassen (sichere Anzeige) 15 Abs. 4 SigV muss sicherheitstechnische Veränderungen an den Komponenten erkennen lassen (Integritätsschutz) 15 Abs. 5 S. 2 i.v.m. Anlage 1 Abschnitt I Nr. 1.3 und Nr. 2 muss geeignete Algorithmen und Parameter einsetzen. Diese sind auf den Seiten der Bundesnetzagentur veröffentlicht (Algorithmenkatalog). Für Konfigurationsdaten, die die Eignung und Gültigkeit von Algorithmen und Parametern festlegen, muss ein Update- Mechanismus bereitstehen. 15 Abs. 2 Nr. 1 a SigV 15 Abs. 2 Nr. 1 b SigV darf Identifikationsdaten nicht preisgeben und darf diese nur auf der jeweiligen sicheren Signaturerstellungseinheit speichern darf die Erzeugung einer qualifizierten elektronischen Signatur nur durch die berechtigte Person zulassen Falls einschlägig: 17 S. 2 SigV Bei Produkten zur Übersignatur: muss die Gültigkeit der zu erneuernden Signatur prüfen und einen qualifizierten Zeitstempel einholen 14 II SigV i.v.m. 7 Abs. 2 muss ggf. Referenz zu separaten Attributzertifikaten herstellen Soweit das Hashen nicht komplett von der sicheren Signaturerstellungseinheit übernommen wird: muss eine korrekte Hashwert-Bildung und sichere Kommunikation mit der SSEE gewährleistet werden

7 Bundesnetzagentur: Anleitung zum Einreichen einer Herstellerklärung 7/9 Anhang II Anforderungen an Produkte zur Prüfung qualifizierter elektronischer Signaturen Rechtsgrundlage 17 Abs. 2 S. 2 Nr Abs. 2 S. 2 Nr Abs. 2 S. 2 Nr Abs. 2 S. 2 Nr. 4 Anforderung muss feststellen lassen, auf welche Daten sich die Signatur bezieht muss feststellen lassen, ob die signierten Daten unverändert sind muss feststellen lassen, welchem Signaturschlüssel- Inhaber die Signatur zugeordnet ist muss feststellen lassen, welche Inhalte das qualifizierte Zertifikat, auf dem die Signatur beruht, und zugehörige qualifizierte Attributzertifikate aufweisen muss feststellen lassen, zu welchem Ergebnis eine Verzeichnisdienstabfrage geführt hat 17 Abs. 2 S. 2 Nr Abs. 2 S. 3 muss bei Bedarf den Inhalt der signierten Daten hinreichend erkennen lassen 15 Abs. 2 Nr. 2 a SigV muss die Korrektheit der Signatur zuverlässig prüfen und zutreffend anzeigen 15 Abs. 2 Nr. 2 b SigV 2 Nr. 3 a muss erkennen lassen, ob die nachgeprüften qualifizierten Zertifikate im jeweiligen Zertifikatsverzeichnis zum angegebenen Zeitpunkt vorhanden und nicht gesperrt waren. Auskünfte: Gültig und nicht gesperrt Gültig und gesperrt Ungültig und nicht gesperrt Ungültig und gesperrt Nicht bekannt Achtung: Maßgeblich ist die Gültigkeit der Zertifikate zum angegebenen Zeitpunkt der Signaturerzeugung! (Kettenmodell) 15 Abs. 4 SigV muss sicherheitstechnische Veränderungen an den Komponenten erkennen lassen 15 Abs. 5 S. 2 i.v.m. Anlage 1 Abschnitt I Nr. 1.3 und Nr Abs. 2 S. 2 Nr Abs. 2 Nr. 2 a SigV 15 Abs. 5 S. 2 i.v.m. Anlage 1 Abschnitt I Nr. 1.3 und Nr. 2 muss geeignete Algorithmen und Parameter einsetzen. Diese sind auf den Seiten der Bundesnetzagentur veröffentlicht (Algorithmenkatalog). Für Konfigurationsdaten, die Wurzelzertifikate und die Eignung und Gültigkeit von Algorithmen und Parametern festlegen, muss ein Update-Mechanismus bereitstehen.

8 Bundesnetzagentur: Anleitung zum Einreichen einer Herstellerklärung 8/9 Anhang III Anforderungen an technische Komponenten zum Nachprüfbar-/Abrufbarhalten qualifizierter Zertifikate Rechtsgrundlage Anforderung 17 Abs. 3 Nr. 2 muss nachprüfbare/abrufbare Zertifikate vor Veränderung und unbefugtem Abruf schützen 15 Abs. 3 S. 1 SigV darf nicht zulassen, dass die Sperrung eines qualifizierten Zertifikats unbemerkt rückgängig gemacht werden kann 15 Abs. 3 S. 1 SigV muss erteilte Auskünfte auf ihre Echtheit hin überprüfbar machen 15 Abs. 3 S. 2 SigV muss bei erteilten Auskünften angeben, ob die nachgeprüften Zertifikate zum angegebenen Zeitpunkt vorhanden und nicht gesperrt waren (hierzu auch 15 Abs. 2 Nr. 2 b SigV) 15 Abs. 3 S. 3 darf nur nachprüfbar gehaltene Zertifikate nicht öffentlich abrufbar halten 15 Abs. 4 SigV muss sicherheitstechnische Veränderungen an den Komponenten erkennen lassen 15 Abs. 5 S. 2 i.v.m. Anlage 1 Abschnitt I Nr. 1.3 und Nr. 2 muss geeignete Algorithmen und Parameter einsetzen. Diese sind auf den Seiten der Bundesnetzagentur veröffentlicht (Algorithmenkatalog).

9 Bundesnetzagentur: Anleitung zum Einreichen einer Herstellerklärung 9/9 Anhang IV Anforderungen an technische Komponenten zur Erzeugung qualifizierter Zeitstempel Rechtsgrundlage Anforderung 17 Abs. 3 Nr. 3 muss Fälschungen und Verfälschungen bei der Zeitstempelerzeugung ausschließen 15 Abs. 3 S. 4 muss die gültige gesetzlichen Zeit unverfälscht in den qualifizierten Zeitstempel aufnehmen 15 Abs. 4 SigV muss sicherheitstechnische Veränderungen an den Komponenten erkennen lassen 15 Abs. 5 S. 2 i.v.m. Anlage 1 Abschnitt I Nr. 1.3 und Nr. 2 muss geeignete Algorithmen und Parameter einsetzen. Diese sind auf den Seiten der Bundesnetzagentur veröffentlicht (Algorithmenkatalog).