BSI-Zertifizierungs- und -Anerkennungsverordnung

Verordnung über das Verfahren der Erteilung von Sicherheitszertifikaten und Anerkennungen durch das Bundesamt für Sicherheit in der Informationstechnik 1

<p>(1) Ein Antrag auf Zertifizierung von informationstechnischen Systemen kann nur von dem Betreiber des zu zertifizierenden Systems gestellt werden.</p><p>(2) Der Antrag muss neben den nach <a href="/bund/bsizertv/2" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Antragsverfahren" data-lli="3" target="_blank">§ 2</a> erforderlichen Angaben Folgendes enthalten: <dl><dt style="float: left;">1.</dt><dd><div>Angaben zu den nach <a href="/bund/bsizertv/4" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Prüfkriterien, Anforderungen, sachliche Geltungsbereiche" data-lli="2" target="_blank">§ 4 Absatz 1</a> anzuwendenden Prüfkriterien und die angestrebte Bewertungsstufe,</div></dd><dt style="float: left;">2.</dt><dd><div>die genaue Bezeichnung des zu zertifizierenden Systems,</div></dd><dt style="float: left;">3.</dt><dd><div>eine Darstellung des Entwicklungs- und Fertigungsstandes sowie Angaben über Hersteller und Rechteinhaber der verwendeten informationstechnischen Produkte,</div></dd><dt style="float: left;">4.</dt><dd><div>die Angabe der vom Bundesamt anerkannten sachverständigen Stelle, die für die Prüfung und Bewertung vorgesehen ist,</div></dd><dt style="float: left;">5.</dt><dd><div>soweit vorhanden, Angaben über Prüfungen und Bewertungen durch andere Personen oder sachverständige Stellen sowie</div></dd><dt style="float: left;">6.</dt><dd><div>die Zustimmung zur Veröffentlichung einer erteilten Zertifizierung nach <a href="/bund/bsizertv/7" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Veröffentlichung von Zertifikaten und Anerkennungen" data-lli="1" target="_blank">§ 7 Absatz 1</a> oder den Widerspruch gegen die Veröffentlichung nach <a href="/bund/bsizertv/7" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Veröffentlichung von Zertifikaten und Anerkennungen" data-lli="0" target="_blank">§ 7 Absatz 5 Satz 1</a>.</div></dd></dl></p>

Zertifizierung von informationstechnischen Systemen

<p>(1) Das Bundesamt veröffentlicht mindestens vierteljährlich im Internet oder in anderen Medien Gesamtlisten oder seit der letzten Veröffentlichung geänderte oder hinzugefügte Listeneinträge der zertifizierten informationstechnischen Systeme, Standorte, Produkte, Komponenten und Schutzprofile sowie die zugehörigen Sicherheitszertifikate und Zertifizierungsreporte.</p><p>(2) Das Bundesamt veröffentlicht mindestens vierteljährlich im Internet oder in anderen Medien Gesamtlisten oder seit der letzten Veröffentlichung geänderte oder hinzugefügte Listeneinträge der zertifizierten Personen mit deren Adresse, mit den technischen Geltungsbereichen der Zertifizierung und mit der Geltungsdauer der Zertifizierung.</p><p>(3) Das Bundesamt veröffentlicht mindestens vierteljährlich im Internet oder in anderen Medien Gesamtlisten oder seit der letzten Veröffentlichung geänderte oder hinzugefügte Listeneinträge der zertifizierten IT-Sicherheitsdienstleister mit deren Adresse, mit den technischen Geltungsbereichen der Zertifizierung und mit der Geltungsdauer der Zertifizierung.</p><p>(4) Das Bundesamt veröffentlicht mindestens vierteljährlich im Internet oder in anderen Medien Gesamtlisten oder seit der letzten Veröffentlichung geänderte oder hinzugefügte Listeneinträge der anerkannten sachverständigen Stellen mit deren Adresse, mit den technischen Geltungsbereichen der Anerkennung und mit der Geltungsdauer der Anerkennung.</p><p>(5) Der Inhaber eines Zertifikats oder einer Anerkennung kann der Veröffentlichung nach den Absätzen 1 bis 4 widersprechen. Das Bundesamt sieht von der Veröffentlichung nach den Absätzen 1 bis 4 ab, soweit durch die Veröffentlichung die öffentliche Sicherheit beeinträchtigt werden könnte. Das Bundesamt kann von der Veröffentlichung nach den Absätzen 1 bis 4 ganz oder teilweise absehen, wenn durch die Veröffentlichung öffentliche oder private Interessen beeinträchtigt würden.</p>

Veröffentlichung von Zertifikaten und Anerkennungen

<p>(1) Das Bundesamt bestimmt, soweit erforderlich, für Zertifizierungs- und Anerkennungsverfahren nach dieser Verordnung <dl><dt style="float: left;">1.</dt><dd><div>technische Geltungsbereiche,</div></dd><dt style="float: left;">2.</dt><dd><div>bedarfsgerechte Prüfkriterien (Sicherheitskriterien, Schutzprofile, Technische Richtlinien und BSI-Standards),</div></dd><dt style="float: left;">3.</dt><dd><div>Anforderungen an die Fachkunde, Ausstattung und Zuverlässigkeit und</div></dd><dt style="float: left;">4.</dt><dd><div>notwendige Nachweise</div></dd></dl>und veröffentlicht diese auf seiner Internetseite.</p><p>(2) Das Bundesamt bestimmt das Verfahren zur Erteilung von Zertifikaten und Anerkennungen nach dieser Verordnung und veröffentlicht hierzu Verfahrensbeschreibungen auf seiner Internetseite.</p><p>(3) Das Bundesamt sieht von der Veröffentlichung nach den Absätzen 1 und 2 ab, wenn durch die Veröffentlichung die öffentliche Sicherheit gefährdet würde. Das Bundesamt kann von der Veröffentlichung absehen, wenn durch die Veröffentlichung öffentliche Interessen oder die Sicherheit bestimmter Produkte, Komponenten, Produktkategorien oder Systeme beeinträchtigt würden oder die Prüfkriterien oder Verfahrensbeschreibungen als Verschlusssache eingestuft sind. Das Bundesamt gibt nicht veröffentlichte Prüfkriterien, Geltungsbereiche und Verfahrensbeschreibungen denjenigen, die als Antragsteller in Betracht kommen, bekannt, wenn diese gegenüber dem Bundesamt ein berechtigtes Interesse nachweisen und sich verpflichten, die notwendigen Sicherheitsvorkehrungen einzuhalten.</p>

Prüfkriterien, Anforderungen, sachliche Geltungsbereiche

<p>Anträge müssen schriftlich eingereicht werden und den Namen und die Anschrift des Antragstellers sowie das Datum des Antrags enthalten.</p>

§ 9 BSIZertV

Zertifizierung von informationstechnischen Systemen