BSI TL-03305 Allgemeiner Teil Für staatliche VS zugelassene abstrahlgeprüfte Hardware
Bundesamt für Sicherheit in der Informationstechnik Postfach 20 03 63 53133 Bonn Tel.: +49 228-9582-5563 Internet: https://www.bsi.bund.de Bundesamt für Sicherheit in der Informationstechnik 2018
Inhaltsverzeichnis 1. Grundsätze von Vermessung, Handhabung und Vertrieb abstrahlgeprüfter IT-Produkte und Komponenten 4 2. Antragstellung auf Zulassung, Prüfgrundlagen und Verfahren 6 3. Anerkannte Abstrahlprüflabor 7 3.1 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen...7 3.1.1 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen nach SDIP 27 Level A (früher AMSG 720) 7 3.1.2 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen nach dem Nationalen Zonenmodell 8 3.2 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Kurzmessverfahren...9 3.2.1 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zonenkurzmessverfahren (Zonen-KMV) 9 3.2.2 Abstrahlprüflabor mit der Berechtigung zur Durchführung von geräte-spezifischen Kurzmessverfahren 10 Bundesamt für Sicherheit in der Informationstechnik III
1. Grundsätze von Vermessung, Handhabung und Vertrieb abstrahlgeprüfter IT-Produkte und Komponenten Es werden in diesem Abschnitt allgemeine Grundsätze zusammengestellt, welche bei allen Abstrahlprüfungen Gültigkeit haben, unabhängig vom angestrebten Grad der Zulassung. Beim Einsatz und Vertrieb abstrahlgeprüfter IT-Produkte sind die hier genannten Grundsätze ebenfalls zu beachten. 1. Abstrahlgeprüfte IT-Produkte werden im Fall von Computern, Workstations oder vergleichbaren IT-Produkten -jeweils bestehend aus Grundgerät, Tastatur, Monitor und Maus und ggf. KVM-Switch- immer als Computer-System in der zusammengehörenden Konfiguration abstrahlgeprüft und zugelassen. 2. Der Gerätestand aller abstrahlgeprüften Komponenten einschließlich Verkabelung wird festgeschrieben und dokumentiert. 3. Erst nach einem Kurzmessungverfahren ist ein Gerät bzw. Computer-System für die Verarbeitung von Verschlussachen freigegeben. Daher ist jedes VS-verarbeitende Gerät vor seinen operativen Einsatz einem Kurzmessverfahren zu unterziehen. Diese Konfiguration des einzeln abstrahlgeprüften Computer-Systems muss bis zum Endkunden beibehalten werden. Die Zulassung wird ansonsten ungültig. 4. Die Prüfdokumentation muss die Zusammengehörigkeit von Komponenten wie Grundgerät, Monitor und Tastatur, ggf. auch Maus erkennen lassen. Die Auslieferung muss so erfolgen, dass der Empfänger einen solchen zusammengehörigen Gerätesatz direkt erkennen kann. 5. Nur wenn die Komponente in der BSI TL-03305 ausdrücklich als erkennbares Einzelgerät aufgeführt ist (z.b. Drucker oder Scanner) ist das Kurzmessungverfahren und Auslieferung als Einzelgerät möglich. 6. Sofern eine abstrahlgeschützte Computer-System aus bereits in anderen Computer-Systemen zugelassenen Komponenten aufgebaut wird, entsteht ein neues IT-Produkt mit einer anderen Produktbezeichnung, das erneut einer Zulassungsmessung unterzogen, vom BSI zugelassen und vor Auslieferung dem Kurzmessverfahren unterzogen werden muss. Dabei ist es gleichgültig, ob diese Komponenten von einem oder mehreren Anbietern stammen. Für den Auftraggeber besteht nicht die Möglichkeit, aus unterschiedlichen, ggf. bereits abstrahlgeprüften IT-Produkten die eigene Wunschkonfiguration zusammenzustellen, es sei denn, es erfolgt eine Neuzulassung. 7. Der Austausch von einzelnen Komponenten ist nur bei Verwendung von in dem Gerätestand aufgeführten Komponenten und anschließendem Kurzmessverfahren zulässig. Wird eine dieser Komponenten geändert und somit der Gerätestand verändert, so handelt es sich um ein anderes, neues IT-Produkt ohne Zulassung. Damit ist dann eine Neuentwicklung der Abstrahlschutzmaßnahmen für die geänderte Komponente erforderlich, welche die Prüfung der Abstrahlsicherheit im Zusammenspiel mit den übrigen Komponenten des Originalproduktes gewährleistet. Daraus entsteht ein neues IT-Produkt mit einer anderen Produktbezeichnung, das als Ganzes einem neuen Zulassungsverfahren unterzogen werden muss. 8. Der oben beschriebene Prozess beim Austausch von Komponenten ist auch dann durchzuführen, wenn im Fall einer Ersatzbeschaffung eine Komponente identischen Typs, wie sie im Originalprodukt eingesetzt ist, nicht mehr zur Verfügung steht oder gegen eine höherwertige ausgetauscht werden soll. 9. Für im Betrieb befindliche zugelassene IT-Produkte kann im Reparaturfall eine Ersatzkomponente auch an einem sonst in allen Einzelheiten mit dem Originalprodukt identischen Referenzprodukt abstrahlgeprüft werden. Hinweis: Die Anwendung dieser Regelung ist nur im Reparaturfall einzelner, im Betrieb befindlichen, Geräte zulässig. Die Regelung darf nicht zum Zwecke der Modernisierung verwendet werden. Bundesamt für Sicherheit in der Informationstechnik 4
10. Das Hinzufügen von Komponenten führt zum Verlust der Zulassung, z. B. führt die Erweiterung eines Computer-Systems um einen weiteren Monitor oder einer Netzwerkkarte zum Verlust der Zulassung. 11. Das Entfernen von Komponenten ist zulässig, setzt jedoch eine ordnungsgemäße Verschließung der eventuell entstandenen Öffnung von z. B. einer Netzwerkkarte oder DVD Brenner voraus. Ein Kurzvermessung ist erforderlich. 12. Eine Komponentenliste des im Rahmen der Zulassungsmessung geprüften Gerätes einschließlich der Verkabelung ist immer dem IT-Produkt beizulegen. 13. Nicht abstrahlgeprüfte Komponenten und Kabel dürfen grundsätzlich nicht im Paket beigelegt werden. 14. Eventuell beiliegende Komponenten, die nicht in der genannten Komponentenliste oder im Prüfbericht aufgeführt sind, müssen als Nicht zulässig gekennzeichnet werden, um eine irrtümliche Verwendung beim Anwender zu vermeiden. 15. Geräte, die erkennbare Mängel wie zum Beispiel lose Dichtungen oder nicht fixierte Ferrite aufweisen dürfen nicht als abstrahlgeprüftes Gerät ausgeliefert werden und sind zurückzuweisen. 16. Abstrahlgeprüfte Produkte müssen gegen unbefugten Zugriff geschützt sein (um mögliche Manipulationen zu verhindern); ggf. sind sie vor einem erneuten Einsatz einer weiteren Abstrahlprüfung zu unterziehen. 17. Abstrahlgeprüfte Hardware kann auch außerhalb des Verschlusssachen- bzw. Behördenbereichs vertrieben und eingesetzt werden. 18. Bei der Beschaffung von Geräten, die nicht in der Liste aufgeführt sind, insbesondere bei Angeboten ausländischer Anbieter ist die beschaffende Stelle gehalten, die Zulassung solcher Geräte für den Einsatz zur Bearbeitung nationaler VS beim BSI zu verifizieren. Bundesamt für Sicherheit in der Informationstechnik 5
2. Antragstellung auf Zulassung, Prüfgrundlagen und Verfahren Anträge auf Zulassung sind zu richten an: Bundesamt für Sicherheit in der Informationstechnik Postfach 200363 53133 Bonn Fax: 0228-99 9582-5755 Dem Antrag ist ein Bedarfsnachweis einer Bundesbehörde für eine Zulassung des Produktes beizufügen; andernfalls ist eine Bearbeitung nicht möglich. Beispielsweise können Ausschreibungsunterlagen einer Bundesbehörde als Bedarfsnachweis verwendet werden. Erfolgt die Beauftragung des BSI durch eine Bundesbehörde, so ist die Bearbeitung kostenfrei; ansonsten entstehen Kosten gem. der BSI-Kostenverordnung. Details der Prüfgrundlagen sind teilweise als Verschlusssache eingestuft. Sie werden dem Hersteller bei Bedarf bekannt gegeben, wenn dieser gegenüber dem Bundesamt ein berechtigtes Interesse nachweist und die notwendigen Sicherheitsvoraussetzungen erfüllt; dies muss durch einen Sicherheitsbescheid des Bundesministers für Wirtschaft und Arbeit bestätigt sein. Die Prüfung erfolgt an einem Seriengerät, welches zusammen mit geeigneter Peripherie bereitzustellen und beim BSI in Betrieb zu nehmen ist. Für eine Zulassung gem. SDIP 27 Level A ist von dem Hersteller ein technischer Bericht sowie weitere Hardware wie z.b. Adaptionen und Testsoftware nach Absprache bereitzustellen. Eine Übersicht zu diesem Bericht (sog. Tempest Firmenbericht TFB ) kann bei Bedarf beim BSI angefordert werden. Bundesamt für Sicherheit in der Informationstechnik 6
3. Anerkannte Abstrahlprüflabor 3.1 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen Diese Abstrahlprüflabore sind berechtigt, Untersuchungen mit dem Ziel der Zulassung (z. B. einer Erstzulassung /Typprüfung) durchzuführen. Unterschieden wird zwischen Zulassung nach SDIP 27 Level A und einer Zulassung nach dem nationalen Zonenmodell. Die Prüfpläne werden dem BSI zur Genehmigung vorgelegt, die Prüfergebnisse werden vom BSI begutachtet und zur Zulassung verwendet. Die Zulassung wird vom BSI ausgesprochen. 3.1.1 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen nach SDIP 27 Level A (früher AMSG 720) Die nachfolgend aufgeführten Abstrahlprüflabore sind berechtigt, Untersuchungen mit dem Ziel der Zulassung nach SDIP 27 Level A durchzuführen. Abstrahlprüflabor CORDSEN Engineering GmbH Am Klinggraben 163500 Seligenstadt Prüfgruppe F 17 Tel: 06182-92940 Fax: 06182-929445 GBS TEMPEST & Service GmbH Von Braun-Straße 649356 Diepholz Prüfgruppe F 16 Tel: 05441-9758100 Fax: 05441-9758128 SIEMENS AGI IA CE SE DS DST 3 Breslauer Str. 590766 Fürth Prüfgruppe F 5.2 Tel: 0911-7502295 Fax: 0911-7504664 Bundesamt für Sicherheit in der Informationstechnik 7
3.1.2 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zulassungsmessungen nach dem Nationalen Zonenmodell Die nachfolgend aufgeführten Abstrahlprüflabore sind berechtigt, Abstrahlprüfungen mit dem Ziel der Zulassung nach dem nationalen Zonenmodell durchzuführen. Die Prüfergebnisse werden vom BSI begutachtet und zur Zulassung verwendet. Die Zulassung wird vom BSI ausgesprochen. Abstrahlprüflabor Hensoldt Sensors GmbH HOHME Wörthstr. 85 89077 ULM Prüfgruppe F 13 CORDSEN Engineering GmbH Am Klinggraben 1 63500 Seligenstadt Prüfgruppe F 17 Tel: 0731-3923651 Fax: 0731-3925294 Tel: 06182-92940 Fax: 06182-929445 DSI Datensicherheit GmbH (DSI-DS) (ehemals ETG) Henleinstraße 16 28816 Stuhr Prüfgruppe F 18 GBS TEMPEST & Service GmbH Von Braun-Straße 6 49356 Diepholz Prüfgruppe F 16 SIEMENS AGI IA CE SE DS DST 3 Breslauer Str. 5 90766 Fürth Prüfgruppe F 5.2 Tel: 0421-84007920 Fax: 0421-84007929 Tel: 05441-9758112 Fax: 05441-9758128 Tel: 0911-7502295 Fax: 0911-750466 Airbus Defence and Space Claude Dornier Straße D-88090 Immenstaad Prüfgruppe F14.1 Tel: 07545-8-2859 Fax: 0 7545-8-16-2859 Bundesamt für Sicherheit in der Informationstechnik 8
3.2 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Kurzmessverfahren Abstrahlgeprüfte Hardware kann ihre Abstrahlsicherheit durch Fertigungsfehler, Defekte, Alterung oder Manipulation verlieren - auch ohne dass die Funktion erkennbar beeinträchtigt wird. Um dennoch die Abstrahlsicherheit gewährleisten zu können, regelt die VSA 39 Abs. 1 die Durchführung von Überprüfungen vor dem Ersteinsatz und in bestimmten Abständen. Für derartige Überprüfungen werden Kurzmessverfahren erarbeitet. Die Kurzmessverfahren ermöglichen es, mit vergleichsweise geringem Zeit- und Materialaufwand eine Prüfung am Seriengerät nach Fertigung, Wartung und Reparatur durchführen zu können. Unterschieden wird zwischen Zonenkurzmessverfahren (Zonen-KMV) und Geräte-spezifischen Kurzmessverfahren (KMV). 3.2.1 Abstrahlprüflabor mit der Berechtigung zur Durchführung von Zonenkurzmessverfahren (Zonen-KMV) Das Zonenkurzmessverfahren ist eine komprimierte Version des Messverfahrens zur Zonenzulassung. Dieses Messverfahren ist produktunabhängig mit fest vorgegebenen Messgeräten und Messgeräteeinstellungen. Die nachfolgend aufgeführten Abstrahlprüflabore sind berechtigt Zonenkurzmessungen an, vom BSI nach dem nationalen Zonenmodell für die Zonen 1-3, zugelassenen Produkten durchzuführen Abstrahlprüflabor Hensoldt Sensors GmbH HOHME Wörthstr. 85 89077 ULM Prüfgruppe F 13 ATM Computer Systeme GmbH Produktengineering Max-Stromeyer-Straße 11 678467 Konstanz Prüfgruppe F 15 Airbus Defence and Space Claude Dornier Straße D-88090 Immenstaad Prüfgruppe F14.1 Tel: 0731-3923651 Fax: 0731-3925294 Tel: 07531-8084282 07531-80854282 Tel: 07545-8-2859 Fax: 0 7545-8-16-2859 CORDSEN Engineering GmbH Am Klinggraben 163500 Seligenstadt Prüfgruppe F 17 Tel: 06182-92940 Fax: 06182-929445 EGL Elektronik Vertrieb GmbH Odenwaldstr. 1 63589 Linsengericht Prüfgruppe F 8 Tel: 06051-71838 Fax: 06051-74611 Bundesamt für Sicherheit in der Informationstechnik 9
Abstrahlprüflabor DSI Datensicherheit GmbH (DSI-DS)(ehemals ETG) Henleinstraße 16 28816 Stuhr Prüfgruppe F 18 GBS TEMPEST & Service GmbH Von-Braun-Str. 6 49356 Diepholz Prüfgruppe F 1 steep GmbH EMV-Zentrum Bonn Justus-von-Liebig-Straße 18 53121 Bonn Prüfgruppe F 9 SIEMENS AGI IA CE SE DS DST 3 Breslauer Str. 5 90766 Fürth Prüfgruppe F 5.2 Tel: 0421-84007920 Fax: 0421-84007929 Tel: 05441-9758112 Fax: 05441-9758128 Tel: 0228-6681558 Fax: 0228-6681774 Tel: 0911-7502295 Fax: 0911-7504664 THALES Electronic Systems GmbH Thalesplatz 1 71254 Ditzingen Prüfgruppe F 4 Tel: 07156-35323746 Fax: 07156-35323820 3.2.2 Abstrahlprüflabor mit der Berechtigung zur Durchführung von gerätespezifischen Kurzmessverfahren Für diejenigen Produkte, die gem. SDIP 27 Level A (früher AMSG-720) abstrahlgeprüft und national zugelassen sind, wird grundsätzlich ein gerätespezifisches Kurzmessverfahren erarbeitet. Diese Kurzmessverfahren sind spezielle Messverfahren, mit denen für den jeweiligen Gerätetyp kritische Bereiche gezielt überprüft werden. Diese Messverfahren erfordern spezielle Messausrüstung und spezielle Messverfahren und sind daher nur für den vorgesehenen Gerätetyp verwendbar. Abstrahlprüflabor ATM Computer Systeme GmbH Produktengineering Max-Stromeyer-Straße 116 78467 Konstanz Prüfgruppe F 15 Hensoldt Sensors GmbH HOHME Wörthstr. 85 89077 ULM Prüfgruppe F 13 Tel: 07531-808-4282 Fax: 07531-808-54282 Tel: 0731-392-3651 Fax: 0731-392-5294 Bundesamt für Sicherheit in der Informationstechnik 10
Abstrahlprüflabor CORDSEN Engineering GmbH Am Klinggraben 1 63500 Seligenstadt Prüfgruppe F 17 Tel: 06182-9294-0 Fax: 06182-9294-45 GBS TEMPEST & Service GmbH Von Braun-Straße 6 49356 Diepholz Prüfgruppe F 16 Tel: 05441-9758-100 Fax: 05441-9758-128 Rohde & Schwarz GmbH & Co. KG Service Operations West Abt. 5TSC4 Graf Zeppelinstraße 18 51147 Köln Tel: 02203-49-51814 Rohde & SchwarzMeßgerätebau GmbH Abt: ME2C/Endfertigung Rohde-und-Schwarz-Str. 1 87700 Memmingen Prüfgruppe F 2.2 SIEMENS AGI IA CE SE DS DST 3 Breslauer Str. 5 90766 Fürth Prüfgruppe F 5.2 Tel: 08331-10-81398 Tel: 0911-750-2295 Fax: 0911-750-4664 THALES Electronic Systems GmbH Thalesplatz 1 71254 Ditzingen Prüfgruppe F 4 Tel: 07156-3532-3746 Fax: 07156-3532-3820 Bundesamt für Sicherheit in der Informationstechnik 11