Vorlage

Verordnung «%ASFF_YYYY_ID»

- Konfigurationsmanagement;

- Änderungsmanagement;

- Auswirkungsanalyse;

- Überprüfung und Verifikation;

- Dokumentationsstruktur und Vorlagen;

- Lieferantenmanagement;

- Nachentwicklungsprozesse (z. B. Produktüberwachung, Schwachstellenma- nagement).

2.7 Prüfung – Zertifizierungsempfehlung

Basierend auf den Ergebnissen der Schritte 2.3–2.6 muss der leitende Auditor prüfen, ob alle Anforderungen für eine Zertifizierung erfüllt sind.

2.8 Entscheid über die Zertifizierung

Basierend auf der Prüfung durch den leitenden Auditor muss ein unabhängiges Gre- mium die Zertifizierungsempfehlung prüfen. Es entscheidet in der Folge über die Aus- stellung des Zertifikats.

2.9 Bescheinigung, Lizenzierung

Die Zertifizierungsstelle erteilt dem Gesuchsteller das Recht, ein Zertifizierungszei- chen zu verwenden. Dabei kann die Zertifizierungsstelle ein bereits bestehendes Zei- chen weiterverwenden.

2.10. Überwachung

Die Cybersicherheits-Audits müssen sichergestellt sein. Dazu muss die zertifizierte Applikation für mobile Anwendungen kontinuierlich aktualisiert werden, und die Zer- tifizierungsstelle muss mindestens alle zwölf Monate ab der Zertifizierungsentschei- dung Überwachungsaktivitäten durchführen. Die Überwachungsaktivitäten müssen mindestens umfassen:

- Vorfallüberwachung: Nachweis, dass der Antragsteller seine Anwendung überwacht und Vorfälle angemessen behandelt;

- Änderungsmanagement: Art der Durchführung von Updates und der Gewähr- leistung ihrer Sicherheit;

- Audit: Gespräche mit relevanten Stakeholdern zum Änderungsmanagement und zu einer kontinuierlichen Verbesserung.

Alle Änderungen am Produkt oder an unterstützenden Prozessen müssen systematisch nach ihrer Auswirkung auf die Sicherheitsziele und das Vertrauensniveau klassifiziert werden. Änderungen werden als geringfügig oder als wesentlich eingestuft:

- geringfügige Änderungen: Änderungen, welche die Kernfunktionalität, das Bedrohungsmodell oder die Konformität nicht beeinflussen (z. B. kosmeti-