# C_12673_Anlage

Inhaltsverzeichnis

#

- C_12673_Anlage
- 1 Änderungsbeschreibung
- 2 Änderung in gemSpec_IDP_Sek
- 3 Änderungen in Steckbriefen
- 3.1 Änderungen in gemProdT_IDP-Sek

## 1 Änderungsbeschreibung

In den Spezifikationen der TI-Föderation sind einige Fehler und unklare Formulierungen enthalten. Diese sollen korrigiert werden.

## 2 Änderung in gemSpec_IDP_Sek

Redaktionelle Änderung A_23701-01 - In Spalte 2, Zeile 2, Punkt 2 wurde "(Apple FaceID)" ergänzt.

Alt:

A_23701-01 - Verwendung von Biometrie als Faktor zur Nutzerauthentifizierung

Der Anbieter des sektoralen IDP MUSS für die Nutzung von biometrischen Sensoren zur Nutzerauthentifizierung die in der Tabelle "Biometrie" aufgeführten Einschränkungen berücksichtigen. Für die Nutzung eines biometrischen Faktors MUSS, wenn damit eine Herabstufung des Vertrauensniveaus verbunden ist, die Einwilligung des Nutzers zur Verwendung des Authentisierungsverfahrens gematik-ehealth-loa-substantial beim Zugriff auf Daten mit hohem Schutzbedarf [A_23103] vorliegen.

Tabelle 1: Biometrie

LoA | Nutzung der biometrischen Sensoren der mobilen Plattformen als biometrischer Faktor | Einschränkungen
--- | --- | ---
gematik-ehealth-loa-high | Biometrische Sensoren, welche den Anforderungen mit BAL/LoA high (vgl. BSI TR-03107-1, TR-03166) genügen | keine
gematik-ehealth-loa-substantial | Biometrische Sensoren, welche den Anforderungen mit BAL/LoA high (vgl. BSI TR-03107-1, TR-03166) genügen Biometrische Sensoren, welche den Anforderungen mit BAL/LoA substantial (vgl. BSI TR-03107-1, TR-03166) genügen | keine
Biometrie Android - Nutzung eingeschränkt auf die Erfüllung Biometric.STRONG oder Class-3 Apple-TouchID | Als Voraussetzung zur Verwendung dieser Übergangslösung ist es erforderlich, dass der Risikoträger im Rahmen einer "Risiko-Meldung" angemessen über die in Teilen leichte Überwindbarkeit dieser biometrischen Verfahren in leicht verständlicher Sprache und barrierearm informiert wird. Nach Einwilligung in die Übernahme des Risikos durch den Risikoträger dürfen die entsprechenden Verfahren angeboten werden.

[<=]

Neu:

A_23701-02 - Verwendung von Biometrie als Faktor zur Nutzerauthentifizierung

Der Anbieter des sektoralen IDP MUSS für die Nutzung von biometrischen Sensoren zur Nutzerauthentifizierung die in der Tabelle "Biometrie" aufgeführten Einschränkungen berücksichtigen. Für die Nutzung eines biometrischen Faktors MUSS, wenn damit eine Herabstufung des Vertrauensniveaus verbunden ist, die Einwilligung des Nutzers zur Verwendung des Authentisierungsverfahrens gematik-ehealth-loa-substantial beim Zugriff auf Daten mit hohem Schutzbedarf [A_23103] vorliegen.

Tabelle 2: Biometrie

LoA | Nutzung der biometrischen Sensoren der mobilen Plattformen als biometrischer Faktor | Einschränkungen
--- | --- | ---
gematik-ehealth-loa-high | Biometrische Sensoren, welche den Anforderungen mit BAL/LoA high (vgl. BSI TR-03107-1, TR-03166) genügen | keine
gematik-ehealth-loa-substantial | Biometrische Sensoren, welche den Anforderungen mit BAL/LoA high (vgl. BSI TR-03107-1, TR-03166) genügen Biometrische Sensoren, welche den Anforderungen mit BAL/LoA substantial (vgl. BSI TR-03107-1, TR-03166) genügen (Apple-FaceID) | keine
Biometrie Android - Nutzung eingeschränkt auf die Erfüllung Biometric.STRONG oder Class-3 Apple-TouchID | Als Voraussetzung zur Verwendung dieser Übergangslösung ist es erforderlich, dass der Risikoträger im Rahmen einer "Risiko-Meldung" angemessen über die in Teilen leichte Überwindbarkeit dieser biometrischen Verfahren in leicht verständlicher Sprache und barrierearm informiert wird. Nach Einwilligung in die Übernahme des Risikos durch den Risikoträger dürfen die entsprechenden Verfahren angeboten werden.

[<=]

## 3 Änderungen in Steckbriefen

### 3.1 Änderungen in gemProdT_IDP-Sek

Anmerkung: Die Anforderungen der folgenden Tabelle stellen einen Auszug dar und verteilen sich innerhalb der Tabelle des Originaldokuments [gemProdT_...]. Alle Anforderungen der Tabelle des Originaldokuments, die in der folgenden Tabelle nicht ausgewiesen sind, bleiben unverändert bestehenden.

Tabelle 3: Anforderungen zur sicherheits technischen Eignung "Produktgutachten"

Afo-ID | Afo-Bezeichnung | Quelle (Referenz)
--- | --- | ---
A_23701-01 | Verwendung von Biometrie als Faktor zur Nutzerauthentifizierung | gemSpec_IDP_Sek
A_23701-02 | Verwendung von Biometrie als Faktor zur Nutzerauthentifizierung | gemSpec_IDP_Sek