Das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Deutschland legt umfassende Standards und Richtlinien für die Informationssicherheit fest. Wenn Sie eine Public Key Infrastructure (PKI) betreiben und sicherstellen möchten, dass sie den BSI-Richtlinien entspricht, sollten Sie die “Technischen Richtlinien für Zertifizierungsdiensteanbieter” des BSI (TR-03108) konsultieren. Diese Richtlinien bieten detaillierte Anforderungen und Empfehlungen für Zertifizierungsdiensteanbieter (CAs) und PKIs.

Hier sind einige wichtige Aspekte und Anforderungen, die in den BSI-Richtlinien für eine konforme PKI berücksichtigt werden sollten:

1. Sicherheitsanforderungen: Die BSI-Richtlinien enthalten detaillierte Sicherheitsanforderungen für die PKI, einschließlich der sicheren Verwaltung von Schlüsseln, der Identitätsüberprüfung, der Verschlüsselung und des Schutzes der Integrität von Zertifikaten.
2. Vertrauenswürdigkeit: Die BSI-Richtlinien betonen die Notwendigkeit, das Vertrauen in die PKI zu gewährleisten. Dies umfasst die sichere Verwaltung von Root-Zertifikaten und die ordnungsgemäße Prüfung von Zertifikatsanfragen.
3. Zertifikatsprofile: Die BSI-Richtlinien können spezifische Anforderungen an Zertifikatsprofile und -erweiterungen festlegen, die in der PKI verwendet werden können.
4. Zertifikatswiderruf: Die ordnungsgemäße Implementierung von Certificate Revocation Lists (CRLs) und des Online Certificate Status Protocol (OCSP) zur Überprüfung des Zertifikatsstatus ist wichtig.
5. Dokumentation und Protokollierung: Das BSI legt Wert auf detaillierte Protokollierung und Dokumentation aller PKI-Aktivitäten, um eine vollständige Rückverfolgbarkeit und Überprüfbarkeit sicherzustellen.
6. Compliance und Audit: Die BSI-Richtlinien können Anforderungen für Compliance-Prüfungen und Sicherheitsaudits festlegen, um sicherzustellen, dass die PKI den Standards entspricht.
7. Schlüsselverwaltung: Die ordnungsgemäße Verwaltung von Schlüsseln, einschließlich sicherer Generierung, Speicherung und Löschung, ist ein wichtiger Aspekt.
8. Physische Sicherheit: Die Sicherheit der physischen Infrastruktur, in der die PKI-Systeme betrieben werden, ist ebenfalls von Bedeutung.

Es ist wichtig zu beachten, dass die BSI-Richtlinien spezifisch für den deutschen Kontext gelten. Wenn Sie eine PKI in Deutschland betreiben oder Ihre PKI-Dienste für deutsche Kunden bereitstellen, ist es ratsam, sich an die BSI-Richtlinien zu halten und gegebenenfalls eine Zertifizierung durch das BSI zu beantragen.

Es ist auch wichtig zu beachten, dass die Anforderungen an eine PKI je nach Anwendungsbereich und den Anforderungen Ihres Unternehmens variieren können. Die genaue Umsetzung und Einhaltung der BSI-Richtlinien sollten in enger Zusammenarbeit mit Experten für Informationssicherheit und unter Berücksichtigung Ihrer spezifischen Anforderungen erfolgen.