Kassensicherungsverordnung – geänderte Anforderungen
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Anforderungen an die sogenannten Technischen Sicherheitseinrichtung (TSE) für Kassensysteme geändert.
Die Änderungen betreffen das für das Sicherungsmodul relevante Schutzprofil „Common Criteria Protection Profile Security Module Application for Electronic Recordkeeping Systems“.
Die neue Version enthält neben Erweiterungen der Sicherheitsanforderungen sowie Korrekturen über das gesamte Schutzprofil insbesondere folgende Änderungen:
- Das Schutzprofil des Sicherungsmoduls kann unter Berücksichtigung des reduzierten Schutzprofils zur Konfiguration des Kryptografischen Service Providers (Common Criteria Protection Profile Configuration Cryptographic Service Provider Light - CSPLight) umgesetzt werden. Das CSPLight kann allerdings ausschließlich von Unternehmen angewendet werden, die ihr IT-System u. a. in einem nach ISO 27001 zertifizierten Umfeld betreiben (vgl. „Appendix: Operational Requirements for CSPLight“ des neuen Schutzprofils).
- Die Definition des Assets „update code package“ (UCP) wurde neu gefasst.
Die neue Version V2 wurde auf der Website des BSI veröffentlicht und mit BMF-Schreiben „Bekanntmachung eines Hinweises auf die Veröffentlichung geänderter Schutzprofile des Bundesamtes für Sicherheit in der Informationstechnik; „Schutzprofil „Sicherheitsmodulanwendung für elektronische Aufzeichnungssysteme“ BSI-CC-PP-0105-V2-2020, Version 1.0“ vom 07.08.2020 (IV A 4 - S 0316-a/20/10011 :001) bekannt gemacht.
Gemäß des vorgenannten BMF-Schreibens ist auch eine Fortführung der Zertifizierung nach der ersten Fassung des Schutzprofils in Version 0.75 möglich. Ebenfalls ist die Re-Zertifizierung von Produkten unter der Version 0.75 möglich, sofern nur geringfügige Anpassungen am Produkt vorgenommen wurden und die vorherige Zertifizierung bereits nach der Version 0.75 erfolgte. Im Umkehrschluss bedeutet dies, dass nach Auffassung des BMF für alle noch in der Entwicklung befindlichen Technischen Sicherungseinrichtungen, für die eine Zertifizierung noch nicht begonnen hat, die geänderten Anforderungen zu berücksichtigen sind.