bijzondere informatie - Pagina niet gevonden

evaluatie door AIVD/NBV heeft ondergaan en of deze adequaat is voor het specifieke
beveiligingsprobleem.
Indien er nog geen evaluatie heeft plaatsgevonden of de evaluatie is van een te laag niveau, zal de
cryptofaciliteit namens het ministerie een evaluatie bij het NBV aanvragen. Ook kan de
cryptofaciliteit, op basis van zijn marktkennis, een alternatief ICT-beveiligingsproduct welke reeds
positief door het NBV is geëvalueerd aan de behoeftesteller voorstellen. Acceptatie van dit
alternatief blijft hierbij voorbehouden aan de behoeftesteller, waarbij wordt aangetekend dat de
prioriteit van de gevraagde evaluatie in overleg met de WBI neerwaarts wordt aangepast als het
voorgestelde alternatief redelijk is.
• Evaluatie van product door AIVD
AIVD/NBV evalueert het product. De basis van de evaluatie is het evaluatie-uitgangspunten
document dat in de voorgaande fase is geconcipieerd.
Voordat met de evaluatie kan worden begonnen dient de opdrachtgever zorg te dragen voor het
beschikbaar stellen van de benodigde informatie over het product. Ter verkrijging van deze
informatie wordt zonodig een non-disclosure agreement tussen leverancier/fabrikant en
AIVD/NBV afgesloten.
Noot: Als het product een Common Criteria (CC) evaluatie heeft ondergaan en een CC-certificaat
heeft verkregen, kan dat de doorlooptijd van de AIVD-evaluatie bekorten. Aan de hand van
het CC-evaluatierapport bepaalt AIVD dan welke aspecten nog een aanvullende evaluatie
dienen te ondergaan.
Het resultaat van een evaluatie is ofwel positief ofwel negatief. Indien er tekortkomingen zijn
geconstateerd of er is onvoldoende informatie beschikbaar om tot een oordeel te komen zal in het
algemeen een negatief advies met motivatie worden gegeven en zal de gebruiker de gehele
procedure opnieuw moeten starten. In bijzondere gevallen kan onder voorwaarden een interim
goedkeuring (ook wel Interim Approval To Operate (IATO) genoemd) worden afgegeven. Deze is
een beperkte tijd geldig. Een IATO wordt slechts afgegeven indien er voldoende zekerheid is dat de
ontbrekende informatie alsnog beschikbaar komt of dat een tekortkoming op korte termijn door de
leverancier wordt hersteld.
Het resultaat van de AIVD evaluatie, het beveiligingsadvies, wordt vastgelegd in een concept
goedkeuringsdocument. Hierin wordt vermeld voor welke rubricering en onder welke
omstandigheden het geëvalueerde product kan worden ingezet. In de bijbehorende operationele
doctrine wordt vastgelegd hoe het product moet worden omgegaan.
Het concept goedkeuringsdocument met bijbehorende operationele doctrine wordt vervolgens
voorgelegd aan de WBI. Deze werkgroep zal vervolgens nagaan of alle aspecten van het
evaluatieproces zijn doorlopen en accordeert daarna het goedkeuringsdocument. Het
goedkeuringsdocument wordt vervolgend vastgesteld door het hoofd van de AIVD namens de
minister van BZK en opgenomen in de bundel VBV 92002.
57