Sicherheitsniveau

Erforderliche Elemente

Niedrig

1.  Es ist gewährleistet, dass der Antragsteller die Geschäftsbedingungen für die Benutzung des elektronischen Identifizierungsmittels kennt.

2.  Es ist gewährleistet, dass der Antragsteller die empfohlenen Sicherheitsvorkehrungen im Zusammenhang mit dem elektronischen Identifizierungsmittel kennt.

3.  Die einschlägigen Identitätsdaten für den Nachweis und die Überprüfung der Identität werden erfasst.

Substanziell

Wie für das Niveau „Niedrig“.

Hoch

Wie für das Niveau „Niedrig“.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

1.  Es kann davon ausgegangen werden, dass die Person im Besitz eines Beweismittels ist, das von dem Mitgliedstaat, in dem das elektronische Identifizierungsmittel beantragt wird, anerkannt wird und die beanspruchte Identität repräsentiert.

2.  Es kann davon ausgegangen werden, dass das Beweismittel echt ist oder laut einer verlässlichen Quelle existiert und dass das Beweismittel dem Anschein nach gültig ist.

3.  Eine verlässliche Quelle hat Kenntnis davon, dass die beanspruchte Identität existiert und es kann davon ausgegangen werden, dass die Person, die diese Identität beansprucht, damit identisch ist.

Substanziell

Zusätzlich zum Niveau „Niedrig“ muss eine der Alternativen der Nummern 1 bis 4 erfüllt sein:

1.  Es ist überprüft worden, dass die Person im Besitz eines Beweismittels ist, das von dem Mitgliedstaat, in dem das elektronische Identifizierungsmittel beantragt wird, anerkannt wird und die beanspruchte Identität repräsentiert,

und

das Beweismittel ist geprüft worden, um seine Echtheit festzustellen, oder einer verlässlichen Quelle ist bekannt, dass es existiert und sich auf eine reale Person bezieht,

und

es wurden Vorkehrungen getroffen, um das Risiko zu mindern, dass die Identität der Person nicht mit der beanspruchten Identität übereinstimmt, z. B. im Hinblick auf verlorene, gestohlene, ausgesetzte, widerrufene oder abgelaufene Beweismittel.

ODER

2.  Ein Identitätsdokument wird im Rahmen eines Registrierungsverfahrens in dem Mitgliedstaat, in dem es ausgestellt wurde, vorgelegt und bezieht sich dem Anschein nach auf die Person, die es vorlegt,

und

es wurden Vorkehrungen getroffen, um das Risiko zu mindern, dass die Identität der Person nicht mit der beanspruchten Identität übereinstimmt, z. B. im Hinblick auf verlorene, gestohlene, ausgesetzte, widerrufene oder abgelaufene Dokumente.

ODER

3.  Bieten Verfahren, die zuvor von einer öffentlichen oder privaten Stelle in demselben Mitgliedstaat für andere Zwecke als die Ausstellung elektronischer Identifizierungsmittel verwendet wurden, eine gleichwertige Sicherheit, die der des Niveaus „Substanziell“ in Abschnitt 2.1.2 entspricht, so braucht die für die Registrierung zuständige Stelle solche früheren Verfahren nicht zu wiederholen, sofern die gleichwertige Sicherheit von einer Konformitätsbewertungsstelle im Sinne des Artikels 2 Absatz 13 der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates (1) oder von einer gleichwertigen Stelle bestätigt wird.

ODER

4.  Werden elektronische Identifizierungsmittel aufgrund eines gültigen notifizierten elektronischen Identifizierungsmittels des Sicherheitsniveaus „Substanziell“ oder „Hoch“ und unter Berücksichtigung des Risikos einer Änderung der Personenidentifizierungsdaten ausgestellt, so brauchen die Prozesse für den Nachweis und die Überprüfung der Identität nicht wiederholt zu werden. Wurde das zugrunde gelegte elektronische Identifizierungsmittel nicht notifiziert, so muss das Sicherheitsniveau „Substanziell“ oder „Hoch“ von einer Konformitätsbewertungsstelle im Sinne des Artikels 2 Absatz 13 der Verordnung (EG) Nr. 765/2008 oder von einer gleichwertigen Stelle bestätigt werden.

Hoch

Es müssen entweder die Anforderungen der Nummer 1 oder der Nummer 2 erfüllt sein:

1.  Zusätzlich zum Niveau „Substanziell“ muss eine der Alternativen der Buchstaben a bis c erfüllt sein:

a)  Ist überprüft worden, dass die Person im Besitz eines mit Foto oder biometrischen Merkmalen versehenen Identitätsnachweises ist, der von dem Mitgliedstaat, in dem das elektronische Identifizierungsmittel beantragt wird, anerkannt wird, und dass der Identitätsnachweis die beanspruchte Identität repräsentiert, so wird das Beweismittel geprüft, um festzustellen, ob es laut einer verlässlichen Quelle gültig ist,

und

anhand des Vergleichs eines oder mehrerer körperlicher Merkmale der Person mit Angaben aus einer verlässlichen Quelle wird festgestellt, dass der Antragsteller mit der beanspruchten Identität übereinstimmt.

ODER

b)  Bieten Verfahren, die zuvor von einer öffentlichen oder privaten Stelle in demselben Mitgliedstaat für andere Zwecke als die Ausstellung elektronischer Identifizierungsmittel verwendet wurden, eine gleichwertige Sicherheit, die der des Niveaus „Hoch“ in Abschnitt 2.1.2 entspricht, so braucht die für die Registrierung zuständige Stelle solche früheren Verfahren nicht zu wiederholen, sofern die gleichwertige Sicherheit von einer Konformitätsbewertungsstelle im Sinne des Artikels 2 Absatz 13 der Verordnung (EG) Nr. 765/2008 oder von einer gleichwertigen Stelle bestätigt wird,

und

es werden Schritte unternommen, um zu belegen, dass die Ergebnisse der früheren Verfahren noch gültig sind.

ODER

c)  Werden elektronische Identifizierungsmittel aufgrund eines gültigen notifizierten elektronischen Identifizierungsmittels des Sicherheitsniveaus „Hoch“ und unter Berücksichtigung des Risikos einer Änderung der Personenidentifizierungsdaten ausgestellt, so brauchen die Prozesse für den Nachweis und die Überprüfung der Identität nicht wiederholt zu werden. Wurde das zugrunde gelegte elektronische Identifizierungsmittel nicht notifiziert, so muss das Sicherheitsniveau „Hoch“ von einer Konformitätsbewertungsstelle im Sinne des Artikels 2 Absatz 13 der Verordnung (EG) Nr. 765/2008 oder von einer gleichwertigen Stelle bestätigt werden,

und

es werden Schritte unternommen, um zu belegen, dass die Ergebnisse des früheren Verfahrens zur Ausstellung eines notifizierten elektronischen Identifizierungsmittels noch gültig sind.

ODER

2.  Legt der Antragsteller keinen anerkannten, mit Foto oder biometrischen Merkmalen versehenen Identitätsnachweis vor, so werden exakt dieselben Verfahren angewandt, die auf nationaler Ebene in dem Mitgliedstaat, zu dem die für die Registrierung zuständige Stelle gehört, erforderlich sind, um einen solchen anerkannten, mit Foto oder biometrischen Merkmalen versehenen Identitätsnachweis zu erlangen.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

1.  Die beanspruchte Identität der juristischen Person wird anhand eines Beweismittels nachgewiesen, das von dem Mitgliedstaat, in dem das elektronische Identifizierungsmittel beantragt wird, anerkannt wird.

2.  Das Beweismittel ist dem Anschein nach gültig und es kann davon ausgegangen werden, dass es echt ist oder laut einer verlässlichen Quelle existiert, sofern die Aufnahme einer juristischen Person in die verlässliche Quelle freiwillig und durch eine Vereinbarung zwischen der juristischen Person und der verlässlichen Quelle geregelt ist.

3.  Die verlässliche Quelle hat keine Kenntnis davon, dass sich die juristische Person in einer Lage befindet, in der sie daran gehindert wäre, als diese juristische Person zu handeln.

Substanziell

Zusätzlich zum Niveau „Niedrig“ muss eine der Alternativen der Nummern 1 bis 3 erfüllt sein:

1.  Die beanspruchte Identität der juristischen Person wird anhand eines Beweismittels nachgewiesen, das von dem Mitgliedstaat, in dem das elektronische Identifizierungsmittel beantragt wird, anerkannt wird und aus dem der Name, die Rechtsform und gegebenenfalls die Registriernummer der juristischen Person hervorgehen,

und

das Beweismittel ist geprüft worden, um festzustellen, ob es echt ist oder laut einer verlässlichen Quelle existiert, sofern die Aufnahme der juristischen Person in die verlässliche Quelle für die Tätigkeit in ihrem Sektor erforderlich ist,

und

es wurden Vorkehrungen getroffen, um das Risiko zu mindern, dass die Identität der juristischen Person nicht mit der beanspruchten Identität übereinstimmt, z. B. im Hinblick auf verlorene, gestohlene, ausgesetzte, widerrufene oder abgelaufene Dokumente.

ODER

2.  Bieten die Verfahren, die zuvor von einer öffentlichen oder privaten Stelle in demselben Mitgliedstaat für andere Zwecke als die Ausstellung elektronischer Identifizierungsmittel verwendet wurden, eine gleichwertige Sicherheit, die der des Niveaus „Substanziell“ in Abschnitt 2.1.3 entspricht, so braucht die für die Registrierung zuständige Stelle solche früheren Verfahren nicht zu wiederholen, sofern die gleichwertige Sicherheit von einer Konformitätsbewertungsstelle im Sinne des Artikels 2 Absatz 13 der Verordnung (EG) Nr. 765/2008 oder von einer gleichwertigen Stelle bestätigt wird.

ODER

3.  Werden elektronische Identifizierungsmittel aufgrund eines gültigen notifizierten elektronischen Identifizierungsmittels des Sicherheitsniveaus „Substanziell“ oder „Hoch“ ausgestellt, so brauchen die Prozesse für den Nachweis und die Überprüfung der Identität nicht wiederholt zu werden. Wurde das zugrunde gelegte elektronische Identifizierungsmittel nicht notifiziert, so muss das Sicherheitsniveau „Substanziell“ oder „Hoch“ von einer Konformitätsbewertungsstelle im Sinne des Artikels 2 Absatz 13 der Verordnung (EG) Nr. 765/2008 oder von einer gleichwertigen Stelle bestätigt werden.

Hoch

Zusätzlich zum Niveau „Substanziell“ muss eine der Alternativen in den Nummern 1 bis 3 erfüllt sein:

1.  Die beanspruchte Identität der juristischen Person wird anhand eines Beweismittels nachgewiesen, das von dem Mitgliedstaat, in dem das elektronische Identifizierungsmittel beantragt wird, anerkannt wird und aus dem der Name und die Rechtsform der juristischen Person sowie zumindest eine eindeutige Kennung, die die juristische im nationalen Umfeld repräsentiert, hervorgeht,

und

das Beweismittel ist geprüft worden, um festzustellen, ob es laut einer verlässlichen Quelle gültig ist.

ODER

2.  Bieten die Verfahren, die zuvor von einer öffentlichen oder privaten Stelle in demselben Mitgliedstaat für andere Zwecke als die Ausstellung elektronischer Identifizierungsmittel verwendet wurden, eine gleichwertige Sicherheit, die der des Niveaus „Hoch“ in Abschnitt 2.1.3 entspricht, so braucht die für die Registrierung zuständige Stelle solche früheren Verfahren nicht zu wiederholen, sofern die gleichwertige Sicherheit von einer Konformitätsbewertungsstelle im Sinne des Artikels 2 Absatz 13 der Verordnung (EG) Nr. 765/2008 oder von einer gleichwertigen Stelle bestätigt wird,

und

es werden Schritte unternommen, um zu belegen, dass die Ergebnisse dieses früheren Verfahrens noch gültig sind.

ODER

3.  Werden elektronische Identifizierungsmittel aufgrund eines gültigen notifizierten elektronischen Identifizierungsmittels des Sicherheitsniveaus „Hoch“ ausgestellt, so brauchen die Prozesse für den Nachweis und die Überprüfung der Identität nicht wiederholt zu werden. Wurde das zugrunde gelegte elektronische Identifizierungsmittel nicht notifiziert, so muss das Sicherheitsniveau „Hoch“ von einer Konformitätsbewertungsstelle im Sinne des Artikels 2 Absatz 13 der Verordnung (EG) Nr. 765/2008 oder von einer gleichwertigen Stelle bestätigt werden,

und

es werden Schritte unternommen, um zu belegen, dass die Ergebnisse des früheren Verfahrens zur Ausstellung eines notifizierten elektronischen Identifizierungsmittels noch gültig sind.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

1.  Das elektronische Identifizierungsmittel benutzt mindestens einen Authentifizierungsfaktor.

2.  Das elektronische Identifizierungsmittel ist so gestaltet, dass der Aussteller zumutbare Vorkehrungen trifft, um zu prüfen, dass es nur unter der Kontrolle oder im Besitz der Person, der es gehört, verwendet wird.

Substanziell

1.  Das elektronische Identifizierungsmittel benutzt mindestens zwei Authentifizierungsfaktoren unterschiedlicher Kategorien.

2.  Das elektronische Identifizierungsmittel ist so gestaltet, dass davon ausgegangen werden kann, dass es nur unter der Kontrolle oder im Besitz der Person, der es gehört, verwendet wird.

Hoch

Zusätzlich zum Niveau „Substanziell“:

1.  Das elektronische Identifizierungsmittel bietet Schutz vor Duplizierung und Fälschung wie auch vor Angreifern mit hohem Angriffspotential.

2.  Das elektronische Identifizierungsmittel ist so gestaltet, dass es von der Person, der es gehört, zuverlässig vor einer Benutzung durch andere geschützt werden kann.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

Nach der Ausstellung wird das elektronische Identifizierungsmittel auf eine Weise ausgeliefert, bei der davon ausgegangen werden kann, dass es nur die beabsichtigte Person erreicht.

Substanziell

Nach der Ausstellung wird das elektronische Identifizierungsmittel auf eine Weise ausgeliefert, bei der davon ausgegangen werden kann, dass es nur in den Besitz der Person gelangt, der es gehört.

Hoch

Im Aktivierungsprozess wird geprüft, dass das elektronische Identifizierungsmittel nur in den Besitz der Person gelangt ist, der es gehört.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

1.  Es ist möglich, ein elektronisches Identifizierungsmittel rasch und wirksam auszusetzen und/oder zu widerrufen.

2.  Es bestehen Vorkehrungen, um eine unbefugte Aussetzung, einen unbefugten Widerruf oder eine unbefugte Reaktivierung zu verhindern.

3.  Eine Reaktivierung darf nur erfolgen, wenn dieselben Sicherheitsanforderungen wie vor der Aussetzung oder vor dem Widerruf weiterhin erfüllt sind.

Substanziell

Wie für das Niveau „Niedrig“.

Hoch

Wie für das Niveau „Niedrig“.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

Unter Berücksichtigung des Risikos einer Änderung der Personenidentifizierungsdaten müssen für die Verlängerung oder Ersetzung dieselben Sicherheitsanforderungen wie beim ursprünglichen Identitätsnachweis- und -überprüfungsprozess erfüllt sein bzw. muss ein gültiges elektronisches Identifizierungsmittel desselben oder eines höheren Sicherheitsniveaus zugrunde gelegt werden.

Substanziell

Wie für das Niveau „Niedrig“.

Hoch

Zusätzlich zum Niveau „Niedrig“:

Erfolgt die Verlängerung oder Ersetzung aufgrund eines gültigen elektronischen Identifizierungsmittels, so werden die Identitätsdaten anhand einer verlässlichen Quelle überprüft.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

1.  Vor einer Herausgabe von Personenidentifizierungsdaten erfolgt eine zuverlässige Überprüfung des elektronischen Identifizierungsmittels und seiner Gültigkeit.

2.  Werden Personenidentifizierungsdaten als Teil des Authentifizierungsmechanismus gespeichert, müssen sie gesichert sein, um sie vor Verlust und vor Beeinträchtigung, einschließlich Offline-Analyse, zu schützen.

3.  Im Authentifizierungsmechanismus sind Sicherheitskontrollen zur Überprüfung des elektronischen Identifizierungsmittels implementiert, so dass es höchst unwahrscheinlich ist, dass ein Angreifer mit erhöhtem grundlegenden Angriffspotenzial durch Handlungen wie Erraten, Abhören, Replay oder Manipulation der Kommunikation den Authentifizierungsmechanismus aushebeln kann.

Substanziell

Zusätzlich zum Niveau „Niedrig“:

1.  Vor einer Herausgabe von Personenidentifizierungsdaten erfolgt eine zuverlässige Überprüfung des elektronischen Identifizierungsmittels und seiner Gültigkeit durch dynamische Authentifizierung.

2.  Im Authentifizierungsmechanismus sind Sicherheitskontrollen zur Überprüfung des elektronischen Identifizierungsmittels implementiert, so dass es höchst unwahrscheinlich ist, dass ein Angreifer mit mäßigem Angriffspotenzial durch Handlungen wie Erraten, Abhören, Replay oder Manipulation der Kommunikation den Authentifizierungsmechanismus aushebeln kann.

Hoch

Zusätzlich zum Niveau „Substanziell“:

Im Authentifizierungsmechanismus sind Sicherheitskontrollen zur Überprüfung des elektronischen Identifizierungsmittels implementiert, so dass es höchst unwahrscheinlich ist, dass ein Angreifer mit hohem Angriffspotenzial durch Handlungen wie Erraten, Abhören, Replay oder Manipulation der Kommunikation den Authentifizierungsmechanismus aushebeln kann.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

1.  Betreiber, die eine unter diese Verordnung fallende betriebliche Dienstleistung erbringen, sind eine Behörde oder eine juristische Person, die als solche nach den nationalen Rechtsvorschriften eines Mitgliedstaats anerkannt ist, verfügen über eine eingerichtete Organisationsstruktur und sind in allen Teilen, die für die Bereitstellung der Dienste von Bedeutung sind, voll betriebsfähig.

2.  Die Betreiber erfüllen alle rechtlichen Anforderungen, die ihnen im Zusammenhang mit dem Betrieb und der Bereitstellung des Dienstes obliegen, unter anderem auch in Bezug darauf, welche Arten von Informationen abgefragt werden können, wie der Identitätsnachweis durchgeführt wird und welche Informationen wie lange aufbewahrt werden dürfen.

3.  Die Betreiber können ihre Fähigkeit zur Übernahme des Haftungsrisikos für Schäden nachweisen und verfügen über ausreichende finanzielle Mittel für einen fortlaufenden Betrieb und eine fortlaufende Bereitstellung der Dienste.

4.  Die Betreiber sind sowohl für die Erfüllung aller Verpflichtungen, die sie an andere Stellen untervergeben, als auch für die Einhaltung der Systemvorgaben verantwortlich, als würden sie alle Aufgaben selbst wahrnehmen.

5.  Elektronische Identifizierungssysteme, die nicht durch nationale Rechtsvorschriften eingerichtet werden, müssen über einen wirksamen Beendigungsplan verfügen. In einem solchen Plan müssen auch eine geordnete Einstellung des Dienstes bzw. die Fortsetzung durch einen anderen Betreiber, die Art und Weise, wie einschlägige Behörden und Endnutzer informiert werden, sowie Einzelheiten dazu geregelt sein, wie Daten in Übereinstimmung mit den Systemvorgaben zu schützen, aufzubewahren bzw. zu zerstören sind.

Substanziell

Wie für das Niveau „Niedrig“.

Hoch

Wie für das Niveau „Niedrig“.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

1.  Es gibt eine veröffentlichte Definition des Dienstes mit allen geltenden Geschäftsbedingungen und Entgelten sowie möglichen Nutzungsbeschränkungen. Die Definition des Dienstes enthält auch eine Datenschutzerklärung.

2.  Es sind geeignete Vorgaben und Verfahren zu schaffen, damit die Benutzer des Dienstes in rascher und verlässlicher Weise informiert werden, wenn sich die Definition des Dienstes selbst, die geltenden Geschäftsbedingungen oder die Datenschutzerklärung in Bezug auf den betreffenden Dienst ändern.

3.  Es sind geeignete Vorgaben und Verfahren zu schaffen, damit Auskunftsersuchen vollständig und richtig beantwortet werden.

Substanziell

Wie für das Niveau „Niedrig“.

Hoch

Wie für das Niveau „Niedrig“.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

Es besteht ein wirksames Informationssicherheitsmanagementsystem für das Management und die Beherrschung von Informationssicherheitsrisiken.

Substanziell

Zusätzlich zum Niveau „Niedrig“:

Das Informationssicherheitsmanagementsystem folgt bewährten Normen oder Grundsätzen für das Management und die Beherrschung von Informationssicherheitsrisiken.

Hoch

Wie für das Niveau „Substanziell“.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

1.  Die Aufzeichnung und Aufbewahrung einschlägiger Informationen erfolgt mit einem effektiven Aufzeichnungsverwaltungssystem unter Beachtung geltender Vorschriften und bewährter Verfahren auf dem Gebiet des Datenschutzes und der Datenspeicherung.

2.  Aufzeichnungen werden, soweit nach nationalem Recht oder anderen nationalen Verwaltungsregelungen zulässig, aufbewahrt und geschützt, solange dies für Prüfungszwecke und für die Untersuchung von Sicherheitsverletzungen sowie für die Zwecke der Datenspeicherung erforderlich ist; danach werden die Aufzeichnungen auf sichere Weise vernichtet.

Substanziell

Wie für das Niveau „Niedrig“.

Hoch

Wie für das Niveau „Niedrig“.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

1.  Es gibt Verfahren, die sicherstellen, dass alle Mitarbeiter und Unterauftragnehmer eine ausreichende Ausbildung, Qualifikation und Erfahrung bezüglich der ihnen übertragenen Aufgaben haben.

2.  Es gibt eine ausreichende Anzahl von Mitarbeitern und Unterauftragnehmern für einen angemessenen Betrieb und eine angemessene Ausstattung des Dienstes entsprechend den Vorgaben und Verfahren.

3.  Die zur Bereitstellung des Dienstes genutzten Einrichtungen werden ständig überwacht und vor Schäden durch Umgebungseinflüsse, unbefugten Zugriff oder andere Faktoren geschützt, die die Sicherheit des Dienstes beeinträchtigen können.

4.  Die zur Bereitstellung des Dienstes genutzten Einrichtungen gewährleisten, dass nur befugte Mitarbeiter und Unterauftragnehmer Zugang zu Bereichen haben, in denen personenbezogene Daten, kryptografische oder andere sensible Informationen verarbeitet werden.

Substanziell

Wie für das Niveau „Niedrig“.

Hoch

Wie für das Niveau „Niedrig“.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

1.  Es gibt angemessene technische Kontrollen für das Risikomanagement in Bezug auf die Sicherheit der Dienste sowie zum Schutz der Vertraulichkeit, Unversehrtheit und Verfügbarkeit der verarbeiteten Informationen.

2.  Elektronische Kommunikationswege, die zur Übermittlung personenbezogener oder sensibler Informationen verwendet werden, müssen gegen Abhören, Manipulation und Replay geschützt sein.

3.  Der Zugang zu sensiblem kryptografischen Material, das für die Ausstellung elektronischer Identifizierungsmittel und für die Authentifizierung verwendet wird, ist streng auf die Rollen und Anwendungen beschränkt, die diesen Zugang unbedingt benötigen. Es ist sichergestellt, dass solches Material niemals dauerhaft im Klartext gespeichert wird.

4.  Es gibt Verfahren, die gewährleisten, dass die Sicherheit dauerhaft aufrechterhalten wird und dass auf geänderte Risikostufen, Vorfälle und Sicherheitsverletzungen reagiert werden kann.

5.  Alle Speichermedien, die personenbezogene, kryptografische oder andere sensible Informationen enthalten, werden in sicherer und geschützter Weise aufbewahrt, transportiert und entsorgt.

Substanziell

Zusätzlich zum Niveau „Niedrig“:

Sensibles kryptografisches Material, das für die Ausstellung elektronischer Identifizierungsmittel und für die Authentifizierung verwendet wird, ist vor Fälschung geschützt.

Hoch

Wie für das Niveau „Substanziell“.

Sicherheitsniveau

Erforderliche Elemente

Niedrig

Es gibt regelmäßige interne Prüfungen (Audits) aller Bestandteile, die für die Bereitstellung der Dienste von Bedeutung sind, um die Einhaltung der betreffenden Vorgaben zu gewährleisten.

Substanziell

Es gibt regelmäßige unabhängige interne oder externe Prüfungen (Audits) aller Bestandteile, die für die Bereitstellung der Dienste von Bedeutung sind, um die Einhaltung der betreffenden Vorgaben zu gewährleisten.

Hoch

1.  Es gibt regelmäßige unabhängige externe Prüfungen (Audits) aller Bestandteile, die für die Bereitstellung der Dienste von Bedeutung sind, um die Einhaltung der betreffenden Vorgaben zu gewährleisten.

2.  Wird das System direkt von einer staatlichen Stelle verwaltet, so erfolgen die Prüfungen nach den nationalen Rechtsvorschriften.