Beschleunigte BSI-Verfahren: Hochsicherheit schneller einsatzbereit

Aktuell hat die zertifizierte High Resistance Firewall genugate von genua eine Zulassung für VS-NfD erhalten. Damit können unsere Kunden das hochsichere zweistufige System jetzt auch zum Schutz eingestufter Netze einsetzen.

Bei der Zulassung kam ein neues, beschleunigtes Zulassungsverfahren mit der offiziellen Bezeichnung „Integrationsverfahren BSI-zertifizierter Produkte in das BSI-Zulassungsschema“ zur Anwendung. Über Produktzulassungen und Verfahren des Bundesamts für Sicherheit in der Informationstechnik (BSI) sprechen wir mit Dr. Dirk Husfeld, Experte bei genua für Zertifizierung und Zulassung.

BSI-Zulassungen werden benötigt, wenn IT-Sicherheitslösungen im öffentlichen Bereich zum Schutz vertraulicher Daten eingesetzt werden. Sie gelten aber beispielsweise auch bei KRITIS-Betreibern als starker Vertrauensanker. Wie zeitaufwendig ist ein Zulassungsprozess üblicherweise?

Dr. Dirk Husfeld: Da gibt es natürlich Schwankungen abhängig von Produkttyp und -komplexität sowie vom angestrebten Zulassungsgrad. Für die Produkte von genua wie Firewalls oder VPN-Gateways kalkulieren wir mit rund einem Jahr für eine VS-NfD-Zulassung im Standardverfahren.

Welche Alternativen bietet das BSI inzwischen zum Standardzulassungsverfahren?

Dr. Dirk Husfeld: Das „Qualifizierte VS-NfD Zulassungsverfahren“ kann genua seit gut zweieinhalb Jahren nutzen. Es führt zu einer deutlichen Beschleunigung und einer besseren zeitlichen Planbarkeit der Zulassung, da das BSI dem anerkannten Produkthersteller Vertrauen entgegenbringt und auf die routinemäßige Prüfung etlicher Nachweisdokumente verzichtet. Beim „Integrationsverfahren BSI-zertifizierter Produkte“ entsteht ein ähnlicher Vorteil, weil das BSI die Produktevaluation aus einem vorangegangenen Zertifizierungsverfahren nach Common Criteria anerkennt.

Auch aufgrund der langjährigen Expertise von genua im Bereich Public IT Security haben verschiedene Produkte das „Qualifizierte VS-NfD Zulassungsverfahren“ bereits erfolgreich durchlaufen. Welche Kriterien muss ein Unternehmen konkret erfüllen, um wie genua als „qualifizierter Hersteller“ zu gelten?

Dr. Dirk Husfeld: Zunächst muss der Hersteller Erfahrung aus mehreren erfolgreich durchgeführten Zulassungen nach dem Standardverfahren besitzen. Darüber hinaus ist dem BSI gegenüber detailliert nachzuweisen, wie Sicherheitsprodukte im Unternehmen entwickelt, zum Kunden ausgeliefert und im Lebenszyklus weiter gepflegt werden. Dabei ist der Einsatz eines leistungsfähigen Konfigurationsmanagementsystems eine wichtige Voraussetzung, das alle Abhängigkeiten der Konfigurationselemente wie z. B. Software-Module, Entwicklungs-Tools, Benutzeranleitungen und Zulassungsdokumente erfasst und die Auswirkungen einzelner Änderungen auf andere Elemente automatisch aufzeigt.

Die Firewall genugate hat kürzlich das „Integrationsverfahren BSI-zertifizierter Produkte in das BSI-Zulassungsschema“ erfolgreich passiert. Inwieweit erleichtert ein vorhandenes BSI-Zertifikat die Produktzulassung?

Dr. Dirk Husfeld: Das angesprochene BSI-Zertifikat wird nach dem erfolgreichen Abschluss einer Produktevaluierung gemäß internationalem Standard der Common Criteria verliehen. Diese Evaluierung umfasst die eingehende Prüfung der Sicherheitseigenschaften des Produktes, sodass im Rahmen einer nachfolgenden Zulassung das BSI auf die nochmalige Prüfung verzichten kann. Voraussetzung ist allerdings, dass die Sicherheitsziele und -funktionen des Produktes die entsprechenden Anforderungen des BSI an zulassungsfähige Erzeugnisse vollständig abdecken. Eben das muss vom Hersteller im Detail nachgewiesen werden.

Inwieweit wird genua die neuen Verfahren zukünftig nutzen?

Dr. Dirk Husfeld: Das „Qualifizierte VS-NfD Zulassungsverfahren“ ist mittlerweile die bei genua im Regelfall genutzte Methode, die nur in Sonderfällen wie z. B. für Zulassungen bis GEHEIM nicht zur Anwendung kommt. Die Anwendungsmöglichkeiten für das Integrationsverfahren sind dagegen im Moment ausgeschöpft, da alle zurzeit zertifizierten Produktversionen nun ebenfalls eine VS-NfD-Zulassung besitzen.

Danke für das Gespräch.