Vorlage

Anhang 2 (Art. 16d Abs. 1 und 16e)

Anforderungen an Zertifizierungsstellen

1. Allgemeines

1.1 Zertifizierungsstelle

Jede Zertifizierungsstelle ist verpflichtet:

- unparteilich zu arbeiten und Interessenkonflikte zu vermeiden;

- die Vertraulichkeit von proprietären Informationen, des Quellcodes und der Sicherheitsdokumentation sicherzustellen;

- das Zertifizierungsschema konsistent anzuwenden;

- Aufzeichnungen über Bewertungen und Entscheidungen zu führen.

1.2 Zertifizierungsschema

Die Zertifizierungsstelle erstellt für das Prüfen der Konformität von elektronischen Applikationen mit den Anforderungen nach Artikel 16c Absätze 1 und 2 ein Zertifi- zierungsschema unter Berücksichtigung der Richtlinien nach Ziffer 2.

Sie stellt dabei die Übereinstimmung mit den Anforderungen dieser Verordnung und mit den relevanten internationalen Standards sicher (z. B. den Allgemeinen Kriterien für die Bewertung der Sicherheit von Informationstechnologie Norm SN EN ISO/IEC 15408:2023 Information security, cybersecurity and privacy protection Evaluation criteria for IT security (Common Criteria), den Normen SN EN ISO/IEC 62443-4- 1:2018 und 62443-4-2:2019 IT-Sicherheit für industrielle Automatisierungssysteme, SN EN ISO/IEC 27034:2023 Information technology – Security techniques – Appli- cation security und NF EN ETSI 303645:2024 CYBER – Cybersécurité pour l'Internet des objets grand public: Exigences de base⁴ sowie dem Mobile Application Security Verification Standards (MASVS) des Open Worldwide Application Security Project (OWASP)⁵.

Sie verwaltet und aktualisiert das Zertifizierungsschema bei Bedarf.

⁴Die Normen können kostenlos eingesehen und gegen Bezahlung bezogen werden bei der

Schweizerischen Normen-Vereinigung (SNV), Sulzerallee 70, 8404 Winterthur;

www.snv.ch (zum Teil nur auf Englisch oder Französisch verfügbar).

⁵Abrufbar unter: https://mas.owasp.org > MASVS (Version 2.1.0).

2025-... «%ASFF_YYYY_ID»