Erläuternder Bericht

3.3 Anhang 2 der ARV°2

Dieser Anhang wendet sich an die Zertifizierungsstelle (Art. 16d Abs. 1 und 16e).

In Ziffer 1 werden die Anforderungen an die Zertifizierungsstelle konkretisiert. Auf der Basis der Anfor- derungen der ARV°2 entwickelt und pflegt diese Stelle das Zertifizierungsschema, spezifiziert die Prüf- kriterien und orientiert sich dabei an internationalen Normen wie etwa den Allgemeinen Kriterien für die Bewertung der Sicherheit von Informationstechnologie Norm SN EN ISO/IEC 15408:2023 Information security, cybersecurity and privacy protection Evaluation criteria for IT security (Common Criteria), den Normen SN EN ISO/IEC 62443-4-1:2018 und 62443-4-2:2019 IT-Sicherheit für industrielle Automatisie- rungssysteme, SN EN ISO/IEC 27034:2023 Information technology – Security techniques – Application security und NF EN ETSI 303645:2024 CYBER – Cybersécurité pour l'Internet des objets grand public: Exigences de base¹² sowie dem Mobile Application Security Verification Standards (MASVS) des Open Worldwide Application Security Project (OWASP)¹³. Sie arbeitet mit verschiedenen Akteuren zusammen, darunter nationale Akkreditierungsdienste, Vertreter der Industrie und weitere Zertifizierungsstellen. Die Anforderungen ARV°2 werden dabei berücksichtigt.

Alle an der Zertifizierung beteiligten Parteien sind verpflichtet, Neutralität zu wahren und Interessenkon- flikte zu vermeiden. Vertrauliche Informationen wie Quellcode und Sicherheitsdokumente, das heisst Prozesse und Tests, die zur Entwicklung der Applikation verwendet werden, bleiben geschützt.

In Ziffer 2 werden die Elemente der Konformitätsüberprüfung beschrieben. Die technischen Anforder- ungen orientieren sich an den Common Criteria sowie am Mobile Application Security Verification Stand- ard (MASVS) V2.1.0 des Open Worldwide Application Security Project (OWASP). Letzterer bietet einen anerkannten Rahmen für Sicherheitsprüfungen bei mobilen Applikationen, um den Schutz vor aktuellen Bedrohungen sicherzustellen.

Da mobile Applikationen nach ARV°2 auf externe Hardware und Betriebssysteme angewiesen sind, ist das Prüfverfahren als Kombination von Produkt- und Prozessbewertung ausgestaltet. Die Prüfplanung erfolgt gemeinsam zwischen Zertifizierungsstelle und Antragsteller. Im ersten Schritt werden alle sicher- heitsrelevanten Dokumente anhand anerkannter Standards geprüft. Die Prüfungstiefe reicht von einer Basisprüfung über eine kritische Prüfung bis zur Stichprobenprüfung. Die Prüfungsmethoden umfassen Eigenprüfungen, die Validierung externer Berichte sowie Testbeobachtungen, bei denen einzelne Prü- fungen nachvollzogen und dokumentiert werden.

Vor Testbeobachtungen sind Testpläne und Werkzeuge offen zu legen und auf ihre Eignung und Nach- weisführung zu überprüfen. Während der Prüfung stellt der Hauptprüfer sicher, dass alle Vorgaben ein- gehalten und Abweichungen dokumentiert werden. Die beobachtenden Personen greifen dabei nicht aktiv in den Ablauf ein. Nach Abschluss wird das Ergebnis ausführlich dokumentiert.

In einem zweiten Prüfschritt wird ein Audit vorgenommen, das verschiedenen Reviews zu unterziehen ist. Sind diese erfolgreich, kann ein Zertifikat ausgestellt werden.

Nach der Erstzertifizierung ist eine jährliche Überwachung vorgesehen. Dabei wird überprüft, wie Vorfälle und Änderungen verwaltet und Audits durchgeführt werden. Stellt die Überwachung Mängel fest, kann das Zertifikat vorübergehend sistiert werden. Schwere oder nicht behobene Mängel führen zum Rück- zug. Der Betreiber wird in jedem Fall schriftlich informiert. Nachprüfungen werden bei Bedarf durchge- führt, damit die Anwendung weiterhin den gesetzlichen Vorgaben entspricht.

Ziffer 3 bezieht sich auf die Änderung der Produktevorgaben. Die Zertifizierungsstelle hat den Zertifikats- inhaber zu informieren, wenn dadurch eine erneute Überprüfung der Applikation nötig wird.

3.4 Verkehrszulassungsverordnung (VZV)

Art. 5a^bisAbs. 1 Bst. b Ziff. 1 und 2, Bst. c Ziff. 2 und 3, Art. 5k Abs. 1, Art. 7 Abs. 1, Art. 8 Abs. 5, Art. 11 Abs. 1 Einleitungssatz, Art. 11b Abs. 1, 2 und 3 Bst. a und b, Art. 27 Abs. 1 Bst. a, Anh. 1 (2. Gruppe,