BSI-Richtlinie TL-03420

In aanbestedingen van overheden staat vaak de eis om gegevensdragers ‘volgens BSI TL-03420’ te wissen of te vernietigen. Bedoeld is een technische richtlijn van het Duitse Federale Bureau voor Informatiebeveiliging (BSI). Hier leest u wat de richtlijn regelt, voor wie ze geldt en waarin ze zich van andere wisnormen onderscheidt.

Wat regelt de TL-03420?

Het BSI geeft technische richtlijnen (TL) uit voor de geheimhouding. Ze concretiseren hoe de voorschriften van de Instructie gerubriceerde informatie (VSA) worden technisch uitgevoerd. De TL-03420 draagt de titel ‘Richtlinien für das Löschen und Vernichten von schutzbedürftigen Informationen auf analogen und digitalen Datenträgern’ (Richtlijnen voor het wissen en vernietigen van beschermwaardige informatie op analoge en digitale gegevensdragers). Ze omvat papier en microfilm evenals elektronische, magnetische en optische gegevensdragers.

De richtlijn onderscheidt twee beveiligingsniveaus:

Beveiligingsniveau	Typische informatie
Gemiddelde beveiliging	Gerubriceerde informatie tot en met VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD) en vergelijkbare rubriceringen, persoonsgegevens
Hoge beveiliging	Gerubriceerde informatie vanaf VS-VERTRAULICH en vergelijkbare rubriceringen, bijzondere categorieën persoonsgegevens

Afhankelijk van het niveau stelt de richtlijn verschillende eisen aan wismethoden, aan vernietigingsapparatuur en aan het organisatorische verloop. Voor hogere rubriceringen komen doorgaans alleen door het BSI goedgekeurde producten in aanmerking. De actuele versie stelt het BSI beschikbaar via een intern gedeelte waartoe bevoegde instanties op aanvraag toegang krijgen.

Voor wie is de richtlijn relevant?

• Federale en deelstaatoverheden, die IT met gerubriceerde informatie afstoten.
• Bedrijven in de geheimhouding, die in opdracht van de staat met VS werken, bijvoorbeeld in de defensie- of beveiligingssector.
• Organisaties met een hoge beschermingsbehoefte, die zich vrijwillig op een officiële maatstaf oriënteren.

Voor de meeste bedrijven zonder gerubriceerde informatie zijn andere regelgevingen bepalend, zoals DIN 66399 voor vernietiging en de module CON.6 ‘Löschen und Vernichten’ (wissen en vernietigen) in de IT-Grundschutz van het BSI.

Afbakening ten opzichte van andere normen

De TL-03420 is geen certificaat voor dienstverleners, maar een voorschrift voor methoden en producten. De Amerikaanse richtlijn NIST SP 800-88 streeft een vergelijkbaar doel na, maar is geschreven voor Amerikaanse federale instanties en openbaar toegankelijk. DIN 66399 beschrijft beschermingsklassen en deeltjesgroottes voor fysieke vernietiging en is voor het bedrijfsleven de gangbare maatstaf. Aanbestedingen eisen vaak een combinatie: wissen volgens een erkende methode, vernietigen volgens DIN 66399 en, voor VS, een werkwijze conform de voorschriften van het BSI.

Hoe overheden VS-NfD-hardware in de praktijk afstoten, laat onze gids zien VS-NfD-hardware uitscheiden. Welke wismethoden geschikt zijn voor hdd’s en ssd’s, staat in de gids Harde schijven en ssd's veilig wissen.

Relatie met Second IT

Second IT verwerkt gegevensdragers conform VS-NfD en wist hdd’s, ssd’s en mobiele apparaten met Blancco, inclusief een digitaal ondertekend wiscertificaat per apparaat. Gegevensdragers die niet kunnen worden gewist, worden in eigen huis vernietigd volgens DIN 66399, gecertificeerd voor beveiligingsniveau H-5. Meer over gecertificeerde gegevensvernietiging.

Veelgestelde vragen over de BSI TL-03420

Is de TL-03420 openbaar beschikbaar?

Het BSI stelt de actuele versie via een intern gedeelte beschikbaar aan bevoegde instanties. Toegang krijgen doorgaans overheden en bedrijven in de geheimhouding op aanvraag.

Geldt de TL-03420 ook voor bedrijven?

Ze is vooral bindend voor instanties die met gerubriceerde informatie werken en voor bedrijven die in opdracht van de staat VS verwerken. Andere bedrijven kunnen zich er vrijwillig op oriënteren. Voor hen zijn meestal de AVG, DIN 66399 en de IT-Grundschutz bepalend.

Wat is het verschil tussen TL-03420 en DIN 66399?

DIN 66399 is een algemene norm voor de fysieke vernietiging van gegevensdragers met beschermingsklassen en beveiligingsniveaus. De TL-03420 is een voorschrift van het BSI voor het wissen en vernietigen van beschermwaardige informatie, vooral gerubriceerde informatie, en omvat ook wismethoden.

Is de TL-03420 een certificaat voor dienstverleners?

Nee. De TL-03420 is geen certificaat voor dienstverleners, maar een voorschrift voor methoden en producten. Aanbestedingen eisen vaak een combinatie: wissen volgens een erkende methode, vernietigen volgens DIN 66399 en, voor gerubriceerde informatie, een werkwijze conform de voorschriften van het BSI.

Welke beveiligingsniveaus onderscheidt de TL-03420?

De richtlijn kent gemiddelde en hoge beveiliging. Gemiddeld geldt bijvoorbeeld voor gerubriceerde informatie tot VS-NfD en voor persoonsgegevens. Hoog geldt vanaf VS-VERTRAULICH en voor bijzondere categorieën persoonsgegevens. Afhankelijk van het niveau veranderen wismethoden, apparatuur en processen.